Ruido

Rustls (pronunciado « rustls » ^{[ 2 ]} ) es una implementación de código abierto del protocolo criptográfico Transport Layer Security (TLS) escrita en el lenguaje de programación Rust . TLS es esencial para la seguridad en internet , y Rustls busca habilitar conexiones TLS seguras y rápidas . Rustls utiliza la protección de memoria de Rust para reducir el riesgo de vulnerabilidades de seguridad . Forma parte de los esfuerzos para mejorar la seguridad en internet mediante la sustitución de bibliotecas de software que no son seguras para la memoria , como OpenSSL , por alternativas seguras para la memoria.

Joe Birr-Pixton inició Rustls en 2016 y sigue siendo el desarrollador principal en 2024. ^{[ 1 ]} El Internet Security Research Group (ISRG), una organización sin fines de lucro con sede en Estados Unidos, ha patrocinado el proyecto desde 2021 como parte de su iniciativa Prossimo. ^{[ 3 ] [ 4 ]} ISRG tiene como objetivo hacer de Rustls una alternativa viable a OpenSSL , que es ampliamente utilizado por los servidores de internet pero difícil de usar correctamente y ha tenido errores de seguridad , como Heartbleed , causados ​​por código inseguro de memoria. ^{[ 3 ] [ 5 ]}

ISRG ha pagado a varios programadores para trabajar en Rustls, incluidos Birr-Pixton, Daniel McCarney y Dirkjan Ochtman, utilizando dinero aportado por Google y otras empresas y organizaciones. ^{[ 3 ] [ 6 ]} En 2023, la iniciativa Alpha-Omega de la Open Source Security Foundation dio a ISRG $530,000 para el desarrollo de la opción de usar diferentes backends criptográficos y para el proyecto separado Rust para Linux . ^{[ 7 ] [ 8 ]} Ese dinero provino de Google, Amazon Web Services y Microsoft . ^{[ 9 ]} Amazon Web Services también dio a ISRG $1 millón en 2023 para proyectos de seguridad de memoria, incluido Rustls. ^{[ 10 ]} El Sovereign Tech Fund , apoyado por el gobierno alemán, dio $1.5 millones a ISRG en 2023 para trabajar en Rustls y otros proyectos que proporcionan versiones seguras de memoria de herramientas de código abierto críticas para la seguridad de Internet. ^{[ 11 ] [ 12 ]} Craig Newmark Philanthropies otorgó $100,000 a ISRG para proyectos de seguridad de la memoria en 2024. ^{[ 13 ]} Fly.io, ^{[ 14 ]} una plataforma en la nube que utiliza Rustls, ha proporcionado financiación adicional. ^{[ 15 ]}

La Oficina del Director Nacional de Ciberseguridad de los Estados Unidos ha alentado el trabajo en software de seguridad que protege la memoria ^{[ 16 ]} y felicitó al equipo de Rustls. ^{[ 14 ]} Google otorgó bonificaciones de pares de código abierto a Birr-Pixton y Ochtman por su trabajo en Rustls. ^{[ 17 ]}

Rustls es una biblioteca de software de bajo nivel centrada en la implementación de TLS . ^{[ 18 ]} Esto significa que no admite otros protocolos de Internet por sí misma, como HTTPS , pero el software que implementa otros protocolos puede usar Rustls como un componente. ^{[ 18 ]}

Por defecto, Rustls utiliza primitivas criptográficas de Amazon Web Services Libcrypto para Rust ( aws-lc-rs ), que admite los Estándares Federales de Procesamiento de Información (FIPS) . ^{[ 19 ]} Rustls permite utilizar bibliotecas criptográficas alternativas en lugar de aws-lc-rs , como ring . ^{[ 19 ]} El proyecto cuenta con soporte experimental para criptografía postcuántica : un método de intercambio de claves con un mecanismo especial de encapsulación de claves ( Kyber ). ^{[ 20 ]}

Rustls utiliza su propia bifurcación de la biblioteca webpki para verificar certificados de infraestructura de clave pública , un paso en el protocolo de enlace TLS . ^{[ 2 ] [ 21 ]} Rustls admite la Indicación de Nombre de Servidor (SNI), que permite que un servidor web sirva múltiples sitios web HTTPS en la misma dirección IP con diferentes certificados. ^{[ 22 ]} También admite certificados TLS que contienen direcciones IP en lugar de nombres de dominio . ^{[ 23 ]}

Los programas en C pueden usar Rustls a través de una API de interfaz de función externa , rustls-ffi . ^{[ 2 ] [ 5 ]} Por ejemplo, cURL es una herramienta popular escrita en C, y permite usar Rustls a través de rustls-ffi . ^{[ 24 ] [ 25 ]} Rustls también tiene una capa de compatibilidad con OpenSSL que permite configurar el servidor web Nginx, ampliamente utilizado , para usar Rustls en lugar de OpenSSL. ^{[ 14 ] [ 26 ]}

Rustls está disponible bajo múltiples licencias de software libre : Apache 2.0 , MIT e ISC . ^{[ 1 ]}

Al igual que otras implementaciones de TLS, un usuario de computadora puede usar Rustls sin ser consciente de ello, como parte subyacente de una aplicación o sitio web. Un programador puede usar Rustls directamente o configurando una biblioteca o herramienta de nivel superior para que lo utilice. En particular, Rustls es utilizado por algunos proyectos que desean garantizar una cadena de suministro de software segura . ^{[ 30 ]} La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. ha recomendado el uso de productos en lenguajes seguros para memoria como parte de su iniciativa "Seguro por Diseño". ^{[ 31 ]}

Algunas bibliotecas admiten Rustls como una de varias opciones para implementaciones de TLS. La biblioteca cliente HTTP reqwest ofrece la opción de usar Rustls para TLS en lugar de la biblioteca TLS predeterminada del sistema (por ejemplo, en Windows la predeterminada es la Interfaz del Proveedor de Soporte de Seguridad ). ^{[ 32 ] [ 33 ]} En 2020, un ingeniero de software de ISRG habilitó el uso de Rustls como un backend TLS para cURL . ^{[ 34 ] [ 35 ]} s2n-quic, una implementación del protocolo de red QUIC en Rust, admite tanto Rustls como s2n-tls para TLS. ^{[ 36 ]}

En 2021, Google financió la creación de mod_tls , un nuevo módulo TLS para Apache HTTP Server que utiliza Rustls. ^{[ 37 ] [ 38 ]} El nuevo módulo está diseñado para ser un sucesor del módulo mod_ssl que utiliza OpenSSL, como una opción predeterminada más segura. ^{[ 37 ] [ 39 ]} A partir de agosto de 2024, mod_tls está disponible en la última versión de Apache, pero aún está marcado como experimental. ^{[ 40 ]} La Internet Society , una organización sin fines de lucro que aboga por una internet abierta y segura , sugiere que las organizaciones utilicen este módulo como un paso hacia una mayor seguridad de la memoria. ^{[ 41 ]}

Rustls es la implementación TLS predeterminada en algunas aplicaciones. El programa de utilidad cargo_audit, que verifica las dependencias de proyectos Rust en busca de vulnerabilidades de seguridad, utiliza Rustls. ^{[ 42 ]} Linkerd , que "agrega seguridad, observabilidad y confiabilidad a cualquier clúster de Kubernetes ", incluye un servidor proxy construido con Rustls. ^{[ 43 ]} Wolfi, una herramienta para hacer contenedores Linux seguros en cuanto a memoria , utiliza Rustls. ^{[ 44 ] [ 45 ]} En 2024, ISRG anunció planes para comenzar a reemplazar OpenSSL con Rustls en Let's Encrypt , su autoridad de certificación gratuita utilizada por cientos de millones de sitios web. ^{[ 14 ] [ 46 ]}

• Comparación de implementaciones de TLS

• Iniciativa Rustls en Prossimo