Da SSLeay a OpenSSL
La storia di OpenSSL inizia nel 1995, quando Eric Young e Tim Hudson, due sviluppatori australiani, creano SSLeay, una libreria crittografica Open Source che implementa il protocollo SSL (Secure Sockets Layer). Il nome è un gioco di parole: SSL + Eric A. Young. SSLeay nasce come alternativa libera alle implementazioni commerciali di SSL, in un periodo in cui la crittografia è ancora soggetta a rigide restrizioni all’esportazione da parte degli Stati Uniti.
Nel 1998, dopo che Young e Hudson lasciano il progetto per lavorare in RSA Security, un gruppo di sviluppatori fonda il progetto OpenSSL come fork di SSLeay, con l’obiettivo di mantenere e far evolvere la libreria sotto una licenza Open Source.
Cosa fa OpenSSL
OpenSSL è un toolkit crittografico completo che implementa i protocolli SSL v2/v3 e TLS 1.0 (Transport Layer Security, il successore di SSL), oltre a una libreria crittografica general-purpose. Le funzionalità principali comprendono:
- Crittografia simmetrica: algoritmi come AES, 3DES, Blowfish, RC4 per la cifratura dei dati
- Crittografia asimmetrica: RSA, DSA, Diffie-Hellman per lo scambio di chiavi e le firme digitali
- Funzioni hash: MD5, SHA-1, SHA-256 per l’integrità dei dati
- Certificati X.509: generazione, gestione e verifica di certificati digitali
- Strumenti a riga di comando: un’interfaccia CLI per generare chiavi, creare certificati, testare connessioni SSL/TLS
L’infrastruttura invisibile
OpenSSL è la libreria che rende possibile la comunicazione sicura su internet nella sua forma attuale. Quando un browser stabilisce una connessione HTTPS, nella maggior parte dei casi il server utilizza OpenSSL per negoziare la sessione crittografata. Lo stesso vale per i protocolli di posta sicura — SMTPS, IMAPS, POP3S — e per qualsiasi servizio che richieda TLS.
Apache con mod_ssl, il server web più diffuso all’epoca, dipende direttamente da OpenSSL. Lo stesso vale per OpenSSH, che utilizza la libreria per le primitive crittografiche. Server LDAP, server VPN, applicazioni custom: la catena di dipendenze è pervasiva.
Il paradosso del progetto critico
OpenSSL rappresenta un caso emblematico nell’ecosistema Open Source: un componente di infrastruttura critica, da cui dipende la sicurezza di milioni di server, mantenuto da un team ristretto di volontari con risorse limitate. La complessità del codice — che eredita scelte architetturali da SSLeay — è la delicatezza del dominio crittografico rendono la manutenzione particolarmente impegnativa.
Nonostante questo, OpenSSL resta la scelta predefinita per la crittografia server-side su praticamente ogni piattaforma Unix e Linux, un tassello invisibile ma essenziale dell’infrastruttura di internet.