Команда Mbed TLS объявила о готовящейся смене модели поддержки. С апреля 2027 года нынешние maintainers прекратят разработку и сопровождение входящих в проект библиотек TLS и X.509. Если к этому моменту новые участники не присоединятся и не освоят работу, прекратятся реакция на инциденты безопасности, выпуск исправлений и новые релизы. При этом TF-PSA-Crypto останется активно поддерживаемой частью проекта: объявление её не касается.
Долгосрочная схема сопровождения TLS и X.509 пока не определена. Команда ищет организации и частных разработчиков, готовых помочь инженерными ресурсами, финансированием или другими средствами. Нынешние maintainers обещают помочь преемникам войти в проект и принять ответственность за библиотеки.
Новость вызвала беспокойство из-за сроков поддержки Mbed TLS 4.x. Представитель Godot Engine Фабио Алессандрелли написал, что проект много лет использует Mbed TLS как слой криптографии и TLS и недавно перешёл на версию 4 ради опубликованного графика поддержки. По его мнению, об изменении стоило сообщить одновременно с объявлением EoL версии 3, а не после миграции пользователей. Янош Фоллат из команды Mbed TLS ответил, что во время того объявления maintainers ещё не знали о грядущем изменении и сообщили о нём настолько рано, насколько могли.
Другие участники рассылки отметили, что Mbed TLS 4.x изначально заявлен как поддерживаемая до марта 2029 года. Представитель Schneider Electric написал, что компания использует библиотеку в нескольких продуктах и теперь рассматривает как переход на другой TLS-стек, так и сотрудничество с партнёрами ради продолжения поддержки.
На вопрос о новых проектах Фоллат посоветовал в любом случае оценивать альтернативные TLS-стеки и выбирать подходящий под конкретную задачу. Он лично допустил бы использование Mbed TLS с запасным планом, но прямо оговорил, что это не рекомендация: как разработчик проекта он не может считаться беспристрастным.
Объявление относится к репозиторию Mbed-TLS/mbedtls на GitHub. Pull requests, не влитые до апреля, останутся открытыми; новая команда сможет заняться ими после формирования. До появления такой команды пользователям с длинным жизненным циклом продуктов приходится учитывать риск прекращения поддержки уже при выборе архитектуры.