A Amazon Web Services lançou sua própria biblioteca TLS de código aberto

A Amazon Web Services acaba de lançar uma nova biblioteca de código aberto que criptografa o TLS usando muito menos código do que a biblioteca OpenSSL existente.

Os desenvolvedores o nomearam s2n de “sinal para ruĂ­do” e incluem pouco mais de 6.000 linhas de cĂłdigo C.CĂłdigo da Amazon

Em comparação, o OpenSSL consiste em mais de 500.000 linhas de código e cerca de 70.000 delas compÔem a criptografia TLS.

“É claro que existe um risco de erro em cada linha de cĂłdigo, mas cĂłdigos grandes tambĂ©m representam mais desafios a controles, inspeçÔes de segurança, desempenho e eficiĂȘncia”, disse o chefe de segurança da AWS, Stephen Schmidt, em comunicado ao s2n.

Com o desenvolvimento de um novo aplicativo TLS do zero em uma biblioteca mais simples que exclui “extensĂ”es e opçÔes raramente usadas”, a AWS espera que seja mais fĂĄcil localizar vulnerabilidades no cĂłdigo.

Schmidt disse que a AWS realizou trĂȘs avaliaçÔes de segurança e testes de penetração s2n por parceiros externos, e planeja continuar essa prĂĄtica.

A segurança do Projeto OpenSSL é monitorada de perto desde 2014, quando foi revelado que o erro do Heartbleed permite que hackers roubem as chamadas comunicaçÔes seguras.

Logo após a revelação da vulnerabilidade do Heartbleed, vårios outros problemas críticos foram identificados no OpenSSL, e alguns desenvolvedores relataram que a biblioteca é tão grande e complexa que eles não sabem por onde começar.

A biblioteca s2n nĂŁo substitui o OpenSSL. Somente o protocolo TLS Ă© executado e nĂŁo os algoritmos que manipulam a criptografia real. Schmidt disse que a Amazon continuarĂĄ apoiando o desenvolvimento da biblioteca de criptografia OpenSSL por meio da iniciativa de infraestrutura principal da Linux Foundation.

Nos próximos meses, no entanto, a Amazon planeja usar o s2n em vez do OpenSSL para criptografar o TLS em vårios serviços da AWS.

O Amazon Web Services lançou o s2n com um código Apache 2.0 de código aberto e o código estå disponível no GitHub.