trinadh465/openssl-1_0_1g_cve-2015-3197
OpenSSL 1.0.1g 7 Apr 2014
Copyright (c) 1998-2011 The OpenSSL Project Copyright (c) 1995-1998 Eric A. Young, Tim J. Hudson جميع الحقوق محفوظة.
مشروع OpenSSL هو جهد تعاوني لتطوير مجموعة أدوات قوية وذات جودة تجارية وكاملة الميزات ومفتوحة المصدر، تنفّذ بروتوكولات Secure Sockets Layer (SSL v2/v3) وTransport Layer Security (TLS v1) بالإضافة إلى مكتبة تشفير عامة كاملة القوة. يُدار المشروع من قبل مجتمع عالمي من المتطوعين يستخدمون الإنترنت للتواصل والتخطيط وتطوير مجموعة أدوات OpenSSL وتوثيقها ذي الصلة.
يستند OpenSSL إلى مكتبة SSLeay الممتازة التي طورها Eric A. Young وTim J. Hudson. تُرخَّص مجموعة أدوات OpenSSL بموجب ترخيص مزدوج (ترخيص OpenSSL بالإضافة إلى ترخيص SSLeay)، وهو ما يعني أساساً أنك حر في الحصول عليها واستخدامها لأغراض تجارية وغير تجارية طالما استوفيت شروط الترخيصين معاً.
تتضمن مجموعة أدوات OpenSSL ما يلي:
libssl.a: تنفيذ لكل من SSLv2 وSSLv3 وTLSv1 والكود المطلوب لدعم كل من SSLv2 وSSLv3 وTLSv1 في خادم وعميل واحد.
libcrypto.a: مواد التشفير العامة وX.509 v1/v3 المطلوبة بواسطة SSL/TLS ولكنها ليست جزءاً منطقياً منه في الواقع. وتتضمن إجراءات لما يلي:
التشفيرات
libdes - حزمة تشفير DES من EAY والتي كانت متداولة
على الشبكة لعدة سنوات، ثم أعاد ترخيصها
كجزء من SSLeay. وتتضمن 15 'نمطاً/تنويعة'
من DES (إصدارات بمفاتيح 1 و2 و3 من ecb وcbc وcfb وofb؛
وpcbc وصيغة أكثر عمومية من cfb وofb) بما في ذلك desx
في نمط cbc، وcrypt(3) سريع، وإجراءات لقراءة
كلمات المرور من لوحة المفاتيح.
تشفير RC4،
تشفير RC2 - 4 أنماط مختلفة: ecb وcbc وcfb وofb.
تشفير Blowfish - 4 أنماط مختلفة: ecb وcbc وcfb وofb.
تشفير IDEA - 4 أنماط مختلفة: ecb وcbc وcfb وofb.
ملخصات الرسائل
خوارزميتا ملخص الرسائل MD5 وMD2 بتنفيذات سريعة،
خوارزميتا ملخص الرسائل SHA (SHA-0) وSHA-1،
ملخص رسائل MDC2. تجزئة قائمة على DES تحظى بشعبية على البطاقات الذكية.
المفتاح العام
تشفير/فك تشفير/توليد RSA.
لا يوجد حد لعدد البتات.
تشفير/فك تشفير/توليد DSA.
لا يوجد حد لعدد البتات.
تبادل المفاتيح/توليد المفاتيح Diffie-Hellman.
لا يوجد حد لعدد البتات.
شهادات X.509v3
ترميز/فك ترميز X509 إلى/من ASN1 الثنائي وترميز PEM
القائم على ASCII-ثنائي والذي يدعم التشفير بمفتاح
خاص. برنامج لتوليد طلبات شهادات RSA وDSA
ولتوليد شهادات RSA وDSA.
الأنظمة
إجراءات المغلف الرقمي الاعتيادية وترميز base64. وصول
بمستوى أعلى إلى التشفيرات وملخصات الرسائل حسب الاسم. يمكن تحميل
تشفيرات جديدة في وقت التشغيل. نظام الإدخال/الإخراج BIO وهو تجريد
بسيط غير حاجب للإدخال/الإخراج. الطرق المدعومة حالياً هي واصفات الملفات،
والمقابس (sockets)، وقبول المقابس، والاتصال عبر المقابس، ومخزن الذاكرة،
والتخزين المؤقت، وعميل/خادم SSL، ومؤشر الملف، والتشفير، وملخص الرسائل،
واختبار عدم الحجب، وnull.
بنى البيانات
نظام تجزئة ينمو ديناميكياً
مكدس بسيط.
مُحمِّل إعدادات يستخدم صيغة مشابهة لملفات MS .ini.
openssl: أداة سطر أوامر يمكن استخدامها من أجل: إنشاء معاملات المفاتيح RSA وDH وDSA إنشاء شهادات X.509 وCSRs وCRLs حساب ملخصات الرسائل التشفير وفك التشفير باستخدام التشفيرات اختبارات عميل وخادم SSL/TLS التعامل مع البريد الموقّع أو المشفَّر S/MIME
تمتلك شركات مختلفة براءات اختراع مختلفة لخوارزميات مختلفة في مواقع مختلفة حول العالم. أنت مسؤول عن ضمان أن استخدامك لأي خوارزميات قانوني من خلال التحقق من وجود أي براءات اختراع في بلدك. يحتوي هذا الملف على بعض براءات الاختراع التي نعرفها أو التي يُشاع وجودها. هذه ليست قائمة نهائية.
تمتلك RSA Security براءات اختراع برمجية على خوارزمية RC5. إذا كنت تعتزم استخدام هذا التشفير، فيجب عليك الاتصال بـ RSA Security لمعرفة شروط الترخيص. صفحة الويب الخاصة بهم هي http://www.rsasecurity.com/.
RC4 علامة تجارية لـ RSA Security، لذا ربما ينبغي استخدام هذا التصنيف فقط بإذن من RSA Security.
خوارزمية IDEA مسجلة كبراءة اختراع من قبل Ascom في النمسا وفرنسا وألمانيا وإيطاليا واليابان وهولندا وإسبانيا والسويد وسويسرا والمملكة المتحدة والولايات المتحدة. ويجب الاتصال بهم إذا كان سيتم استخدام تلك الخوارزمية؛ صفحة الويب الخاصة بهم هي http://www.ascom.ch/.
تمتلك NTT وMitsubishi براءات اختراع وبراءات اختراع قيد الانتظار على خوارزمية Camellia، لكنهما تسمحان بالاستخدام مجاناً دون الحاجة إلى اتفاقية ترخيص صريحة: http://info.isl.ntt.co.jp/crypt/eng/info/chiteki.html
لتثبيت هذه الحزمة على أحد اشتقاقات Unix، اقرأ ملف INSTALL. بالنسبة لمنصة Win32، اقرأ ملف INSTALL.W32. بالنسبة لأنظمة OpenVMS، اقرأ INSTALL.VMS.
اقرأ التوثيق في مجلد doc/. إنه تقريبي إلى حد ما، لكنه يسرد الدوال؛ ربما ستحتاج إلى النظر في الكود لمعرفة كيفية استخدامها. انظر إلى البرامج النموذجية.
بالنسبة لبعض المنصات، توجد بعض المشكلات المعروفة التي قد تؤثر على المستخدم أو مؤلف التطبيق. نحاول جمعها في doc/PROBLEMS، مع الأفكار الحالية حول كيفية حلها في مستقبل OpenSSL.
راجع موقع OpenSSL الإلكتروني www.openssl.org للحصول على تفاصيل حول كيفية الحصول على دعم فني تجاري.
إذا كانت لديك أي مشكلات مع OpenSSL فيرجى اتخاذ الخطوات التالية أولاً:
- قم بتنزيل أحدث snapshot من ftp://ftp.openssl.org/snapshot/
لمعرفة ما إذا كانت المشكلة قد عولجت بالفعل
- قم بإزالة إصدارات ASM من المكتبات
- قم بإزالة أعلام تحسين المترجم
إذا كنت ترغب في الإبلاغ عن خطأ برمجي فيرجى تضمين المعلومات التالية في أي تقرير خطأ:
- على أنظمة Unix:
تقرير الاختبار الذاتي الذي يولده 'make report'
- على الأنظمة الأخرى:
إصدار OpenSSL: مخرجات 'openssl version -a'
اسم نظام التشغيل وإصداره ومنصة العتاد
تفاصيل المترجم (الاسم والإصدار)
- تفاصيل التطبيق (الاسم والإصدار)
- وصف المشكلة (الخطوات التي تعيد إنتاج المشكلة، إذا كانت معروفة)
- أثر الاستدعاءات (إذا كان التطبيق يُحدث تفريغاً للنواة)
أبلغ عن الخطأ إلى مشروع OpenSSL عبر Request Tracker (http://www.openssl.org/support/rt.html) بالبريد إلى:
لاحظ أنه لا ينبغي استخدام Request Tracker للمساعدة العامة أو استعلامات الدعم. مجرد أن شيئاً لا يعمل بالطريقة التي تتوقعها لا يعني بالضرورة أنه خطأ في OpenSSL.
لاحظ أن البريد المرسل إلى [email protected] يُسجَّل في قاعدة بيانات Request Tracker القابلة للقراءة علناً ويُعاد توجيهه إلى قائمة بريدية عامة. يمكن إرسال البريد السري إلى [email protected] (مفتاح PGP متاح من خوادم المفاتيح).
يتم تنسيق التطوير على القائمة البريدية openssl-dev (انظر http://www.openssl.org للحصول على معلومات حول الاشتراك). إذا كنت ترغب في تقديم تصحيح (patch)، فأرسله إلى [email protected] مع وضع السلسلة "[PATCH]" في الموضوع. يرجى التأكد من تضمين شرح نصي لما يفعله التصحيح.
إذا لم تكن متأكداً مما إذا كانت ميزة ما ستكون مفيدة لمجتمع OpenSSL العام، فيرجى مناقشتها على القائمة البريدية openssl-dev أولاً. ربما يكون شخص ما يعمل بالفعل على الأمر نفسه أو قد يكون هناك سبب وجيه لعدم تنفيذ تلك الميزة.
يجب أن تكون التصحيحات حديثة قدر الإمكان، ويفضل أن تكون نسبية إلى Git الحالي أو آخر snapshot. يجب أن تتبع أسلوب الترميز الخاص بـ OpenSSL وأن تُجمَّع دون تحذيرات. يمكن استخدام بعض أهداف مطوري الفريق الأساسي لأغراض الاختبار (debug-steve64، debug-geoff، إلخ). يُجمَّع OpenSSL على العديد من المنصات المتنوعة: حاول التأكد من أنك تستخدم فقط الميزات القابلة للنقل.
ملاحظة: لأسباب قانونية، لا يمكن قبول المساهمات من الولايات المتحدة إلا إذا تم إرسال إشعار TSU ونسخة من التصحيح إلى [email protected] (سابقاً BXA) مع نسخة إلى منسق طلبات التشفير ENC؛ يرجى أخذ بعض الوقت للنظر في http://www.bis.doc.gov/Encryption/PubAvailEncSourceCodeNofify.html [sic] و http://w3.access.gpo.gov/bis/ear/pdf/740.pdf (القسم 740.13(e) من EAR) للحصول على التفاصيل. إذا كانت "شفرة مصدر التشفير الخاصة بك كبيرة جداً بحيث لا يمكن إرسالها كمرفق بريد إلكتروني"، فسيسعدهم استلامها بالفاكس بدلاً من ذلك؛ نأمل أن تكون لديك خطة اتصالات بعيدة المدى رخيصة.
الصيغة المفضلة لدينا للتغييرات هي مخرجات "diff -u". يمكنك توليدها على النحو التالي: