OpenSSL 4.1.0 是一个功能发布，增加了对 OpenSSL 的重要新功能。该版本包含以下可能重要或不兼容的更改：添加了 VC-WIN32-MSVC2013 和 VC-WIN64A-MSVC2013 构建目标，以提供内置功能，弥补 MSVC 2013 中存在的 C99 标准支持的空白。增加了在 ppc64le 上优化的 ML-DSA 和 ML-KEM NTT 操作；在 x86_64 上优化的 ML-DSA 操作；在 x86_64 上针对 ML-DSA 的 AVX-512 优化 SHAKE x4 操作；在 x86_64 上的 AES-CBC 解密的 AVX-512 和 VAES 优化。更改 tsget 实用程序以使用 Net::Curl::Easy（来自 Net-Curl CPAN 分发），而不是被弃用的 WWW::Curl::Easy。依赖 tsget 的用户在升级之前应安装 Net::Curl::Easy。从配置中删除了 Windows-on-Itanium（VC-WIN64I）和 Windows CE（VC-CE）目标。从配置中删除了 no-ecdsa 和 no-ecdh 选项，因为这些选项并没有真正禁用实现。使用 no-ec 来禁用椭圆曲线支持。此版本增加了以下新功能：支持 DTLS 1.3（RFC 9147）。有关详细信息，请参阅 ossl-guide-dtlsv13(7) 手册页。支持 RFC 8701 GREASE（生成随机扩展并维持可扩展性）。SSL 监听 API 中的 DTLS 支持。支持 IKEV2 KDF。对 Elbrus2000（e2k）架构的初步支持。已知问题 4.1.0：#32878 当接收到 DTLS 1.3 KeyUpdate 时，所有其他未完成的后握手记录都会从重传缓冲区中删除。这意味着仍在等待 ACK 的后握手记录（例如 NewSessionTicket）如果原始传输丢失，将不再被重传。修复工作正在进行中，并计划在未来的发布中完成。#33277 在 DTLS 监听器上出现永久接收失败，可以在已接受的连接上报告为 SSL_ERROR_WANT_READ。轮询和后续的接受调用也可能未能报告错误，导致应用程序在永久故障后继续等待。#33278 从 DTLS 监听器接受的非阻塞连接上的可重试写入失败可以报告为 SSL_ERROR_SYSCALL 而不是 SSL_ERROR_WANT_WRITE。将此结果视为致命的应用程序可能会关闭仍然可用的连接。#33242 DTLS 1.3 服务器可能在客户端确认服务器的第一轮中的部分或全部内容后发出 unexpected_message 警报而中止握手。这可能发生在数据包丢失后或客户端准备其身份验证响应时。