TLS нового поколения: почему AWS и Google инвестируют в Rustls?

ISRG опубликовала пост о развитии библиотеки Rustls, ориентированной на безопасность памяти и высокую производительность. Проект стремится создать TLS-решение, превосходящее существующие решения по скорости и защищённости.

Rustls представляет собой безопасную TLS-реализацию, готовую к применению в различных производственных средах. Поддержка C API и соответствие стандарту FIPS делает Rustls совместимой с существующими системами. Это важно, поскольку распространённые решения на базе OpenSSL продолжают сталкиваться с уязвимостями безопасности памяти, что побуждает переходить на альтернативные TLS-реализации, не зависящие от языка C.

Тестирование производительности библиотеки показало рекордную скорость установления соединений. Оценивалось количество завершённых TLS-рукопожатий в секунду на одинаковом оборудовании без учёта сетевых задержек. Rustls продемонстрировала стабильное превосходство. Также проводилось тестирование пропускной способности. Библиотека показала высокие результаты при передаче данных, обеспечив более быструю обработку на тех же ресурсах.

Испытания проводились на сервере с процессором Intel Xeon E-2386G с отключённой гиперпоточностью и динамическим изменением частоты. Режим производительности был активирован на всех ядрах для повышения точности анализа.

Rustls уже доступен для внедрения в производственных системах. Библиотека также поддерживает:

• API для C и Rust;
• Соответствие FIPS;
• Постквантовый обмен ключами (новые алгоритмы появятся в ближайшее время);
• Зашифрованный Client Hello на стороне клиента;
• Доверенные сертификаты ОС.

Проект развивается при поддержке AWS, предоставившей криптографическую библиотеку aws-lc-rs и участвовавшей в её оптимизации с помощью технологий Intel AVX-512. Поддержка от Sovereign Tech Fund, Alpha-Omega, Google, Fly.io и Amazon Web Services также внесла важный вклад в успех проекта.