OpenSSL 4.1 ออกแล้ว รองรับ DTLS 1.3 ขณะที่ OpenSSL 3.6 หมดซัพพอร์ต 1 พ.ย. 2026
OpenSSL 4.1 ออกเมื่อ 23 ต.ค. 2026 รองรับ DTLS 1.3 และ GREASE ซัพพอร์ตถึง พ.ย. 2027 ส่วนสาย 3.4 หมดซัพพอร์ตแล้ว 22 ต.ค. และสาย 3.6 จะหมด 1 พ.ย. 2026
โดย กองบรรณาธิการ THAI DATA อ่าน 5 นาที
สรุปประเด็นสำคัญ
- โครงการ OpenSSL ออก OpenSSL 4.1.0 เมื่อ 23 ตุลาคม 2026 เป็นรุ่นเพิ่มฟีเจอร์ตามรอบทุก 6 เดือน ได้รับการสนับสนุนถึง พฤศจิกายน 2027
- ฟีเจอร์หลักคือ DTLS 1.3 ตามมาตรฐาน RFC 9147, GREASE ตาม RFC 8701, DTLS ใน SSL listener API และ IKEV2 KDF พร้อมเร่งความเร็ว ML-DSA และ ML-KEM บน x86_64 และ ppc64le
- สาย OpenSSL 3.4 หมดการสนับสนุนแล้วเมื่อ 22 ตุลาคม 2026 และสาย 3.6 จะหมดวันที่ 1 พฤศจิกายน 2026 ส่วน 3.5 LTS ได้รับการสนับสนุนถึง 8 เมษายน 2030
- รุ่น 4.1.0 มี known issues 4 รายการ ที่เกี่ยวกับ DTLS เช่น เซิร์ฟเวอร์ DTLS 1.3 อาจยกเลิก handshake เมื่อเกิด packet loss ทีมพัฒนาจึงควรทดสอบก่อนใช้กับระบบจริง
- LTS รุ่นถัดไปคือ 4.2 ในเดือนเมษายน 2027 และ OpenSSL 5.0 มีกำหนดออก ตุลาคม 2027 ตามตารางที่โครงการประกาศเมื่อ 7 พฤษภาคม 2026
โครงการ OpenSSL ออก OpenSSL 4.1.0 เมื่อวันที่ 23 ตุลาคม 2026 ตามรอบออกรุ่นใหม่ทุก 6 เดือน จุดเด่นคือรองรับโปรโตคอล DTLS 1.3 และ GREASE โดยสาย 4.1 ได้รับการสนับสนุนถึงพฤศจิกายน 2027 ขณะเดียวกันสาย 3.4 หมดการสนับสนุนไปแล้วเมื่อ 22 ตุลาคม และสาย 3.6 จะหมดในวันที่ 1 พฤศจิกายน 2026
OpenSSL เป็นไลบรารีเข้ารหัสแบบ Open Source ที่อยู่เบื้องหลังการเชื่อมต่อ TLS ของเว็บเซิร์ฟเวอร์ ระบบปฏิบัติการตระกูลลินุกซ์ และแอปพลิเคชันจำนวนมาก ตั้งแต่รุ่น 3.0 โครงการใช้สัญญาอนุญาต Apache License 2.0 รุ่นใหม่ที่ออกจึงมีผลต่อทั้งทีมพัฒนาที่คอมไพล์ OpenSSL เอง และทีมที่รอแพ็กเกจจากผู้ผลิตระบบปฏิบัติการ
OpenSSL 4.1 เพิ่มอะไรบ้าง
หน้า release ของ OpenSSL 4.1.0 บน GitHub แยกรายการเปลี่ยนแปลงเป็นฟีเจอร์ใหม่และการเปลี่ยนแปลงที่อาจไม่เข้ากับของเดิม สรุปได้ดังนี้
| ประเภท | รายการใน OpenSSL 4.1.0 |
|---|---|
| ฟีเจอร์ใหม่ | DTLS 1.3 ตาม RFC 9147 (คู่มืออยู่ใน man page ossl-guide-dtlsv13(7)) |
| ฟีเจอร์ใหม่ | GREASE ตาม RFC 8701 สำหรับทดสอบว่าอีกฝั่งรับส่วนขยายที่ไม่รู้จักได้ถูกต้อง |
| ฟีเจอร์ใหม่ | ใช้ DTLS กับ SSL listener API ได้, รองรับ IKEV2 KDF และรองรับสถาปัตยกรรม Elbrus2000 (e2k) ขั้นต้น |
| ประสิทธิภาพ | เร่ง ML-DSA และ ML-KEM บน ppc64le และ x86_64, SHAKE x4 ด้วย AVX-512 และ AES-CBC ขาถอดรหัสด้วย AVX-512 กับ VAES |
| อาจกระทบของเดิม | ตัด target Windows-on-Itanium (VC-WIN64I) และ Windows CE (VC-CE), ตัดตัวเลือก no-ecdsa และ no-ecdh (ให้ใช้ no-ec แทน) |
| อาจกระทบของเดิม | เครื่องมือ tsget เปลี่ยนไปใช้ Net::Curl::Easy แทน WWW::Curl::Easy ผู้ใช้ต้องติดตั้งโมดูลใหม่ก่อนอัปเกรด |
ML-DSA และ ML-KEM คืออัลกอริทึมลายเซ็นและแลกเปลี่ยนกุญแจแบบต้านควอนตัมที่ OpenSSL เพิ่มเข้ามาตั้งแต่รุ่น 3.5 รุ่น 4.1 ไม่ได้เพิ่มอัลกอริทึมใหม่ในกลุ่มนี้ แต่ทำให้ทำงานเร็วขึ้นบนซีพียูที่องค์กรใช้กันมาก
DTLS 1.3 คืออะไร และใครได้ประโยชน์
DTLS คือ TLS ที่ปรับให้ใช้กับการรับส่งข้อมูลแบบ datagram (UDP) ซึ่งพบในงานอย่าง VPN, IoT, การสื่อสารแบบเรียลไทม์ และอุปกรณ์ที่มีทรัพยากรน้อย บล็อกของ OpenSSL เมื่อ 9 กันยายน 2026 อธิบายว่า DTLS 1.3 ได้ประโยชน์ชุดเดียวกับที่ TLS 1.3 ให้เมื่อเทียบกับรุ่น 1.2 คือ handshake ใช้รอบไป-กลับน้อยลงจึงเร็วขึ้น ตัดอัลกอริทึมเข้ารหัสที่ล้าสมัยออกจึงปลอดภัยขึ้น และเปิดทางให้ใช้อัลกอริทึมต้านควอนตัม (PQC) ที่มีมาตั้งแต่ OpenSSL 3.5
บล็อกเดียวกันเตือนผู้ดูแลซอฟต์แวร์ที่ใช้ DTLS 1.2 ว่าฟังก์ชัน DTLSv1_listen() เดิมไม่รองรับ DTLS 1.3 ต้องย้ายไปใช้ SSL_new_listener() ซึ่งรองรับ DTLS แล้ว แอปที่จะเปิด DTLS 1.3 จึงต้องแก้โค้ดฝั่งรับการเชื่อมต่อด้วย ไม่ใช่แค่เปลี่ยนเวอร์ชันไลบรารี
Known issues ของ OpenSSL 4.1.0 ที่ควรรู้
หน้า release ระบุปัญหาที่ทราบแล้ว 4 รายการ ทั้งหมดเกี่ยวกับ DTLS
- เมื่อได้รับ KeyUpdate ของ DTLS 1.3 เรคอร์ดหลัง handshake ที่ยังรอ ACK (เช่น NewSessionTicket) จะถูกลบออกจากบัฟเฟอร์ส่งซ้ำ ทีมพัฒนาระบุว่ากำลังแก้และจะออกในรุ่นถัดไป
- ความล้มเหลวถาวรของ DTLS listener อาจถูกรายงานเป็น SSL_ERROR_WANT_READ ทำให้แอปรอต่อไปทั้งที่การเชื่อมต่อใช้ไม่ได้แล้ว
- การเขียนที่ควรลองใหม่ได้บนการเชื่อมต่อแบบ nonblocking อาจถูกรายงานเป็น SSL_ERROR_SYSCALL แอปที่ถือว่าเป็นข้อผิดพลาดร้ายแรงอาจปิดการเชื่อมต่อที่ยังใช้ได้
- เซิร์ฟเวอร์ DTLS 1.3 อาจยกเลิก handshake ด้วย alert unexpected_message เมื่อไคลเอนต์ตอบรับบางส่วนของข้อความชุดแรกก่อน ซึ่งเกิดได้หลัง packet loss
OpenSSL 4.1 กับรอบซัพพอร์ตของแต่ละสาย
ตารางบนหน้า Downloads และหน้า Release Strategy ของโครงการ ณ 25 ตุลาคม 2026 แสดงสายที่ยังได้รับการสนับสนุนดังนี้
| สาย | ออกรุ่นแรก | รุ่นล่าสุด | สิ้นสุดการสนับสนุน |
|---|---|---|---|
| 4.1 | 23 ต.ค. 2026 | 4.1.0 | พ.ย. 2027 |
| 4.0 | 14 เม.ย. 2026 | 4.0.3 | 14 พ.ค. 2027 |
| 3.6 | 1 ต.ค. 2025 | 3.6.5 | 1 พ.ย. 2026 |
| 3.5 (LTS) | 8 เม.ย. 2025 | 3.5.9 | 8 เม.ย. 2030 |
| 3.4 | 22 ต.ค. 2024 | 3.4.8 | 22 ต.ค. 2026 (หมดแล้ว) |
หน้า Downloads เขียนชัดว่ารุ่นที่ไม่อยู่ในตารางหมดการสนับสนุนแล้วและไม่ควรใช้กับ production ส่วนสาย 3.0, 1.1.1 และ 1.0.2 ยังหาแพตช์ได้ผ่านบริการ Extended LTS แบบเสียเงินของ OpenSSL Corporation
ทำไมเรื่องนี้สำคัญ
โครงการประกาศเมื่อ 7 พฤษภาคม 2026 ว่าจากนี้จะมีรุ่นหลัก (major) ทุกสองปี LTS รุ่นถัดไปคือ 4.2 ในเดือนเมษายน 2027 แล้วตามด้วย OpenSSL 5.0 ในเดือนตุลาคม 2027 รุ่น 4.x สุดท้ายจะได้รับการสนับสนุนตลอดช่วงของสาย 5.x องค์กรที่อยู่บน 3.5 LTS จึงเลือกได้ว่าจะย้ายไป 4.2 LTS หลังเดือนเมษายน 2027 หรือข้ามไปสาย 5.x ภายหลัง ส่วนการย้ายจากสาย 3.x ไป 4.x ต้องทดสอบให้ดี เพราะรุ่น 4.0 ได้ตัดฟีเจอร์ที่เลิกใช้แล้วหลายอย่างออกไป รวมถึง SSLv3 ส่วน OpenSSL 4.1 คือรุ่นที่ให้ทีมพัฒนาเริ่มลองสาย 4.x พร้อม DTLS 1.3 ก่อนถึงรุ่น LTS
ผลต่อองค์กรไทยและทีมพัฒนา
- สำรวจเวอร์ชันในระบบทั้งหมด ทั้งเซิร์ฟเวอร์ คอนเทนเนอร์ image และแอปที่ฝังไลบรารีมาเอง เครื่องที่คอมไพล์ OpenSSL 3.4 เองหมดแพตช์แล้ว ส่วน 3.6 เหลือเวลาถึง 1 พฤศจิกายน 2026
- ระบบที่ต้องการความนิ่งให้ยึด 3.5 LTS ซึ่งได้แพตช์ถึง 8 เมษายน 2030 และมีอัลกอริทึมต้านควอนตัมอยู่แล้ว ส่วนแพ็กเกจที่มากับลินุกซ์ดิสโทรให้ตามนโยบายแพตช์ของผู้ผลิตดิสโทรนั้น
- ทีมที่ใช้ DTLS (VPN, IoT, WebRTC) ทดลอง OpenSSL 4.1 กับเครื่องทดสอบก่อน ไล่โค้ดที่ยังเรียก DTLSv1_listen() และทดสอบกรณี packet loss ตาม known issues
- ทีมที่ build บน Windows หรือใช้ tsget ตรวจ target ที่ถูกตัดและติดตั้ง Net::Curl::Easy ก่อนอัปเกรด
ติดตามข่าวโครงการ Open Source และเครื่องมือของนักพัฒนาเพิ่มเติมได้ที่หมวดซอฟต์แวร์
คำถามที่พบบ่อย
OpenSSL 4.1 ออกเมื่อไร และได้รับการสนับสนุนถึงเมื่อไร?
OpenSSL 4.1.0 ออกเมื่อวันที่ 23 ตุลาคม 2026 ตามหน้า Downloads และ Release Timeline ของโครงการ OpenSSL ซึ่งระบุวันสิ้นสุดการสนับสนุนของสาย 4.1 ไว้ที่เดือนพฤศจิกายน 2027 เพราะไม่ใช่รุ่น LTS
OpenSSL 4.1 มีอะไรใหม่?
OpenSSL 4.1 เพิ่มการรองรับ DTLS 1.3 ตาม RFC 9147, GREASE ตาม RFC 8701, การใช้ DTLS กับ SSL listener API และ IKEV2 KDF รวมทั้งเร่งความเร็วอัลกอริทึมต้านควอนตัม ML-DSA และ ML-KEM บน x86_64 และ ppc64le และเร่ง AES-CBC ขาถอดรหัสด้วย AVX-512 และ VAES
OpenSSL 3.6 หมดซัพพอร์ตวันไหน?
OpenSSL 3.6 หมดการสนับสนุนวันที่ 1 พฤศจิกายน 2026 ส่วนสาย 3.4 หมดไปแล้วเมื่อ 22 ตุลาคม 2026 หน้า Downloads ของโครงการระบุว่ารุ่นที่ไม่อยู่ในตารางถือว่าหมดการสนับสนุนและไม่ควรใช้กับระบบ production
ควรอัปเกรดเป็น OpenSSL 4.1 หรือใช้ 3.5 LTS ต่อ?
ระบบที่ต้องการรอบซัพพอร์ตยาวใช้ OpenSSL 3.5 LTS ต่อได้ถึง 8 เมษายน 2030 ส่วนระบบที่ต้องการ DTLS 1.3 หรือ GREASE ต้องใช้ OpenSSL 4.1 ซึ่งได้รับการสนับสนุนถึงพฤศจิกายน 2027 และควรทดสอบ known issues ฝั่ง DTLS ก่อน หรือรอ LTS รุ่นถัดไปคือ 4.2 ในเดือนเมษายน 2027
แหล่งอ้างอิง
- Release OpenSSL 4.1.0 · openssl/openssl — OpenSSL (GitHub)
- Downloads — OpenSSL Library
- Release Strategy — OpenSSL Library
- The OpenSSL Library supports DTLS 1.3 — OpenSSL Library
- Future release schedule — OpenSSL Library
บุคคล องค์กร และสถานที่ในข่าวนี้
เลือกชื่อเพื่ออ่านข่าวทั้งหมดที่กล่าวถึง ตัวเลขคือจำนวนข่าว
- องค์กรและบริษัท
- GitHub72
พบข้อมูลคลาดเคลื่อน? แจ้งกองบรรณาธิการ