9.2. 安全性

oqsprovider 和 liboqs 已被弃用

为 OpenSSL 3.0 提供 post-quantum 加密(PQC)的 oqsprovider 和 liboqs 软件包已被弃用，并可能在以后的主发行版本中删除。反之，使用 OpenSSL 3.5 提供的 PQC 功能。

X25519-MLKEM768 在 crypto-policies中弃用并别名为 MLKEM768-X25519

系统范围的加密策略中的 X25519-MLKEM768 值已弃用，并别名到 MLKEM768-X25519 值。这会统一串联顺序，允许两个变体正常工作。

OpenSSL 中的 ENGINE API 已弃用

在 RHEL 10 中，ENGINE API 已弃用，并计划在以后的主发行版本中删除。没有新的应使用 ENGINE API 构建的应用程序。为了保持应用程序二进制接口(ABI)和现有应用程序正常工作，OpenSSL 仍然导出 ENGINE 符号。要防止新应用程序使用 ENGINE API，OpenSSL 会设置系统范围的 OPENSSL_NO_ENGINE 标志，且公开 ENGINE API 的头文件 engine.h 已被删除。

crypto-policies 现在为 GnuTLS 设置 allow-rsa-pkcs1-encrypt = false

在 RHEL 10 中，GnuTLS 库默认使用 RSA PKCS #1 v1.5 填充阻止加密和解密。除 LEGACY 策略外，allow-rsa-pkcs1-encrypt = false 选项已在所有系统范围加密策略(DEFAULT、FUTURE 和 FIPS)中指定。

FIPS 模式中的 HMAC-SHA-1 已弃用

HMAC-SHA-1 加密算法在 FIPS 模式中已弃用，它可能会在以后的版本中删除。在 FIPS 模式之外，保留了对 HMAC-SHA-1 的支持。