Andrew Ayer (que es abiertamente crítico con GnuTLS desde hace tiempo), fundador de SSLMate se queja de que intentando implementar un innecesario sistema de rotación de claves más complejo, introdujeron una vulnerabilidad. Nikos Mavrogiannopoulos, contribuidor de Red Hat, la defiende: la rotación sirve para que las aplicaciones (que al fin y al cabo usan y "mandan" sobre la librería) que no roten sus claves, tengan mayor protección por defecto.

Pero las voces en contra son más numerosas. Desde Filippo Valsorda de Google, a Thomas H. Ptacek de Matasano, desde los desarrolladores de Debian (que quieren que más programas dependan de OpenSSL) al fundador de mgIT que también están migrando a OpenSSL. Todos mandan el mensaje de que es mejor evitar GnuTLS o usar OpenSSL.

McClanahan, contribuidor de software libre y trabajador de Twitter añade leña al debate. Básicamente alega que Google, en vez de quejarse o criticar el software, debería usar su músculo para mejorarlo. Andew Ayer va más allá, indicando que ya es malo cometer un error implementando algo útil, pero mucho peor cometerlo implementando algo inútil de por sí.

¿Es más seguro entonces usar OpenSSL? Pues recordemos que tras muchos y graves escándalos de seguridad en 2014 (HeartBleed…), apareció LibreSSL como iniciativa de OpenBSD porque pensaban que OpenSSL no tenía remedio.

Fuente: CyberPulse | The Register