OpenSSL 4.1 ya está disponible como nueva versión de la biblioteca criptográfica utilizada por multitud de aplicaciones, servicios y distribuciones GNU/Linux. Este lanzamiento introduce soporte para DTLS 1.3, amplía las optimizaciones para algoritmos criptográficos poscuánticos y añade nuevas funciones destinadas a mejorar la compatibilidad con protocolos de red.

Publicado el 23 de octubre de 2026, OpenSSL 4.1 continúa la evolución de la serie 4.x con cambios que interesan especialmente a desarrolladores, administradores de servidores y responsables de mantener aplicaciones que utilizan TLS y otros protocolos de seguridad. Aunque muchas de estas novedades funcionan en segundo plano, afectan a la infraestructura que permite establecer conexiones cifradas, autenticar sistemas y proteger el intercambio de datos.

DTLS 1.3 llega a OpenSSL 4.1

La novedad más destacada es la incorporación de soporte para DTLS 1.3, definido en el estándar RFC 9147. Este protocolo adapta los mecanismos de seguridad de TLS a transportes basados en datagramas, como UDP, donde los paquetes pueden perderse, llegar desordenados o necesitar retransmisiones.

DTLS resulta útil para aplicaciones que requieren comunicaciones cifradas sin utilizar una conexión TCP convencional, incluidos determinados servicios de tiempo real y sistemas de comunicación de baja latencia. La versión 1.3 introduce mejoras en el establecimiento de conexiones y en el tratamiento de los mensajes, con el objetivo de reducir la sobrecarga y reforzar la seguridad.

OpenSSL 4.1 también incorpora soporte DTLS en su API de escucha SSL. Esta interfaz permite gestionar conexiones entrantes mediante una API adaptada al nuevo protocolo. Para los desarrolladores, supone disponer de nuevas herramientas para integrar DTLS 1.3 en sus aplicaciones sin tener que implementar por su cuenta los mecanismos criptográficos subyacentes.

No obstante, la implementación todavía presenta limitaciones documentadas por el proyecto. Por ello, quienes desarrollen servidores DTLS deben revisar las notas de publicación y probar sus aplicaciones antes de desplegar la nueva versión en producción.

Más optimizaciones para la criptografía poscuántica

OpenSSL 4.1 continúa mejorando el rendimiento de algoritmos criptográficos diseñados para resistir ataques de ordenadores cuánticos suficientemente avanzados. Entre los cambios se encuentran operaciones optimizadas para ML-DSA y ML-KEM, dos algoritmos estandarizados por el NIST para firmas digitales y establecimiento de claves, respectivamente.

Las mejoras incluyen operaciones NTT optimizadas para ML-DSA y ML-KEM en sistemas con arquitectura ppc64le, así como optimizaciones de ML-DSA para x86-64. En procesadores compatibles también se incorporan operaciones SHAKE x4 aceleradas mediante AVX-512 y mejoras con AVX-512 y VAES para el descifrado AES-CBC.

Estas optimizaciones buscan reducir el coste computacional de determinadas operaciones criptográficas. Su beneficio real depende del procesador, de las instrucciones disponibles y de los algoritmos utilizados por cada aplicación.

Compatibilidad con GREASE e IKEv2

Otra novedad es la compatibilidad con GREASE, mecanismo definido en el RFC 8701 que permite enviar valores reservados aparentemente desconocidos durante las negociaciones de protocolos. Su objetivo es detectar implementaciones que gestionan incorrectamente las extensiones que no reconocen y mejorar la interoperabilidad del ecosistema TLS.

OpenSSL 4.1 incorpora asimismo soporte para IKEv2 KDF, una función de derivación de claves relacionada con el protocolo IKEv2, utilizado para establecer asociaciones de seguridad en redes IPsec.

La versión añade además soporte inicial para la arquitectura Elbrus2000 (e2k), ampliando las plataformas para las que se puede preparar la biblioteca.

Cambios para desarrolladores y sistemas Linux

La actualización incluye modificaciones que conviene revisar antes de cambiar una instalación existente. La herramienta `tsget`, utilizada para interactuar con servicios de sellado de tiempo, pasa a utilizar `Net::Curl::Easy` en lugar de la biblioteca abandonada `WWW::Curl::Easy`. Quienes dependan de esta herramienta deben instalar la nueva dependencia de Perl antes de actualizar.

También desaparecen los objetivos de compilación para Windows sobre Itanium y Windows CE. Por otra parte, se añaden objetivos para Microsoft Visual C++ 2013 que facilitan cubrir determinadas carencias de compatibilidad con C99 de ese compilador.

OpenSSL 4.1 elimina igualmente las opciones `no-ecdsa` y `no-ecdh` de su configuración, puesto que no deshabilitaban realmente las implementaciones correspondientes. Para desactivar el soporte de curvas elípticas se debe utilizar `no-ec`.

En Linux, estos cambios afectan sobre todo a quienes compilan OpenSSL manualmente, mantienen paquetes o desarrollan software que depende directamente de sus bibliotecas. No significa que todas las distribuciones vayan a sustituir inmediatamente su versión del sistema por la 4.1.

Descarga y soporte de OpenSSL 4.1

El código fuente de OpenSSL 4.1.0 se puede descargar desde la página oficial del proyecto. La nueva rama no es una versión LTS: su soporte está previsto hasta noviembre de 2027. La siguiente versión LTS de la hoja de ruta, OpenSSL 4.2, está prevista para abril de 2027.

Los administradores deben comprobar qué versión proporciona su distribución antes de actualizar manualmente la biblioteca, ya que numerosas aplicaciones dependen de OpenSSL y pueden estar vinculadas a una versión concreta del sistema.

El código fuente, las sumas de comprobación y los detalles de cada rama están disponibles en la página oficial de descargas de OpenSSL. Las novedades completas pueden consultarse también en el anuncio de OpenSSL 4.1.0 en GitHub.

Artículo original