奇客 LibreSSL 难以取代 OpenSSL 用于 Linux 发行版

2014 年前，我们很多人并不知道许多关键基础组件虽然人人用但却无人维护。Heartbleed 漏洞的披露让人们意识到 OpenSSL 就是这样一个组件。这促使 Linux 基金会发起了 Core Infrastructure Initiative 倡议，资助关键基础组件的开发和维护。OpenBSD 项目则采用了另一种方法：创建 OpenSSL 分支 LibreSSL。该分支之后被 OpenBSD 发行版使用并活跃开发至今。自 2018 年底发布的 2.9.0 起，LibreSSL 项目合并了 36 名开发者的 1,554 个补丁。但在同一时间内，OpenSSL 合并了 276 名开发者的 5000 多个补丁。绝大部分工作是由使用 OpenSSL 的组织完成的，包括了 Oracle、Siemens、Akamai、Red Hat、IBM、VMware、Intel 和 Arm，以及 OpenSSL 软件基金会。如此程度的支持让 OpenSSL 项目解决了它的许多长期问题，它更安全也更稳定了。结果是很少有 Linux 发行版迁移到 LibreSSL。Alpine Linux 和 Gentoo 发行版尝试提供 LibreSSL，其中 Alpine Linux 很快就返回到了 OpenSSL，而 Gentoo 对 LibreSSL 的支持将在今年 2 月结束。.Gentoo 开发者支出，LibreSSL 相比 OpenSSL 并没有提供多少好处，反而增加了更多成本。