LibreSSL, un fork de OpenSSL para superar el caos de Heartbleed

Theo de Raadt, creador del sistema operativo libre basado en Unix, OpenBSD, está trabajando en LibreSSL, un fork de OpenSSL que pretende superar el caos de Heartbleed, la vulnerabilidad de mayor alcance de la historia de la Web.

Preguntado por la nueva versión de este sistema de administración de cifrado, muy utilizado para accesos seguros en sitios HTTPS y por defecto para el cifrado de servidores Apache o nginx, De Raadt explica que «se ha eliminado la mitad del árbol del código fuente de OpenSSL en una semana» con motivo de la amplia revisión ante Heartbleed, dando a entender que es un caos trabajar ahora sobre el mismo.

El programador canadiense explica que  «un modelo de código abierto depende de las personas que sean capaces de leer el código. Depende de la claridad y OpenSSL ya no es un código claro». El código base de LibreSSL está disponible en OpenBSD.org, y el proyecto está financiado por la OpenBSD Foundation y OpenBSD Project.

LibreSSL está construido inicialmente para OpenBSD y soportará múltiples sistemas operativos después que el código y la financiación están apuntaladas.

El presidente de OpenSSL, Steve Marquess, no ha querido comentar este fork que puede abrir un nuevo camino en el paquete de herramientas de administración y bibliotecas para cifrado o terminar por reventar el proyecto OpenSSL.

Veremos. Marquess sigue quejándose amargamente de la falta de financiación de OpenSSL y critica duramente a los se lucran con el proyecto:  «Los que incluyen OpenSSL en firewall, appliance, productos financieros, de seguridad en la nube, o los que lo utilizan para asegurar su infraestructura interna y las comunicaciones. Los que nos regañan por servicios de consultoría gratuita cuando no pueden encontrar la manera de usarlo. Los que nunca han movido un dedo para contribuir a la comunidad de código abierto que le ha dado este regalo…«.

Preguntado sobre Heartbleed y los dos años de presencia de la vulnerabilidad sin detectarla, Marquess comentaba que «el misterio no es que algunos voluntarios con exceso de trabajo hayan cometido un error. El misterio es por qué no ha ocurrido más a menudo«. Increible para un paquete de herramientas de seguridad que se utiliza en dos tercios de servidores de Internet.