Um in Zukunft nicht Angriffen von großen Quantencomputern ausgeliefert zu sein, ergänzen viele Bibliotheken Post-Quanten-Verfahren. So auch OpenSSL, die im September 2024 ankündigten, die frisch standardisierten Post-Quanten-Verfahren zeitnah zu implementieren. Das ist nun geschehen: Mit der neuen Version 3.5.0 unterstützt OpenSSL die Verfahren ML-KEM, ML-DSA und SLH-DSA.

PQC-Verfahren im Überblick

Die Verfahren sind das Ergebnis eines 2016 gestarteten Auswahlverfahren der US-amerikanischen Standardisierungsbehörde NIST (National Institute of Standards and Technology). Dieser mündete 2024 in drei Standards: FIPS-203, FIPS-204 und FIPS-205. Deutsche Forscher waren an vielen der eingereichten Verfahren beteiligt.

FIPS-203 basiert auf dem asymmetrischen Kyber-Algorithmus (jetzt kurz ML-KEM genannt, früher CRYSTALS-Kyber), der künftig klassische Schlüsselaustauschverfahren wie RSA oder ECDSA ablösen soll. FIPS-204 beruht auf dem Dilithium-Algorithmus (ML-DSA, früher CRYSTALS-Dilithium) und dient für digitale Signaturen. Als Alternative zu ML-DSA standardisierte das NIST mit FIPS-205 noch Sphincs+ (SLH-DSA).

Neue Version 3.5.0 ist eine LTS

Abseits der Implementation der PQC-Verfahren stufte OpenSSL mit der Version 3.5.0 sämtliche Funktionen von BIO_meth_get_*() als veraltet (deprecated) ein. Zudem löst für die Befehle req, cms und smime das symmetrische Verfahren aes-256-cbc nun des-ede3-cbc als Standard ab. Alle weiteren Änderungen finden sich auf GitHub in den Release-Informationen dokumentiert.

Die am 8. April 2025 veröffentlichte Version ist zudem eine LTS (long term stable) und wird für fünf Jahre bis zum 8. April 2030 mit Updates versorgt. Die nächste Version 3.6 soll im Oktober 2025 erscheinen.