如何从源代码升级CentOS 6.5/Linux/Unix中的OpenSSL？

Question

如何在CentOS 6.5中升级OpenSSL？

我使用过这些命令,但没有发生:

 cd /usr/src
 wget http://www.openssl.org/source/openssl-1.0.1g.tar.gz
 tar -zxf openssl-1.0.1g.tar.gz
 cd openssl-1.0.1g
 ./config
 make
 make test
 make install
 cd /usr/src
 rm -rf openssl-1.0.1g.tar.gz
 rm -rf openssl-1.0.1g

使用此命令后,我得到旧版本

openssl version

Answer 1

对于此修复程序heartbleed漏洞已回迁到1.0.1e-16红帽企业Linux的见的,因此这是官方的修复程序CentOS的船只.

用上游的最新版本(即1.0.1g)替换OpenSSL存在引入功能更改的风险,这些功能更改可能会以不可预测的方式破坏与应用程序/客户端的兼容性,导致系统偏离RHEL,并使您能够亲自维护该包的未来更新.通过使用简单的make config替换openssl && make && make install意味着您也失去了使用rpm来管理该包并对其执行查询的能力(例如,验证所有文件是否存在且未被修改或权限已更改没有更新RPM数据库).

我还要提醒一下,加密软件对看似很小的东西(如编译器选项)非常敏感,如果你不知道自己在做什么,可能会在本地安装中引入漏洞.

Answer 2

./config --prefix=/usr --openssldir=/usr/local/openssl shared

请尝试使用此配置行来覆盖默认值.当您不使用前缀时,它会在您的设置中默认安装到/ usr/local/ssl前缀.你可能有"/ usr/local/ssl/bin/openssl"而不是覆盖/ usr/bin/openssl.您也可以使用/ usr/local作为前缀,但如果您的路径上还没有相应的路径,则需要相应地调整路径.这是INSTALL文档:

  $ ./config
  $ make
  $ make test
  $ make install

 [If any of these steps fails, see section Installation in Detail below.]

This will build and install OpenSSL in the default location, which is (for
historical reasons) /usr/local/ssl. If you want to install it anywhere else,
run config like this:

  $ ./config --prefix=/usr/local --openssldir=/usr/local/openssl

https://github.com/openssl/openssl/blob/master/INSTALL http://heartbleed.com/

Answer 3

要手动编译OpenSSL,请执行以下操作:

$ cd /usr/src

$ wget https://www.openssl.org/source/openssl-1.0.1g.tar.gz -O openssl-1.0.1g.tar.gz

$ tar -zxf openssl-1.0.1g.tar.gz

$ cd openssl-1.0.1g

$ ./config

$ make

$ make test

$ make install

$ openssl version

如果显示旧版本,请执行以下步骤.

$ mv /usr/bin/openssl /root/

$ ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl
openssl version
OpenSSL 1.0.1g 7 Apr 2014

http://olaitanmayowa.com/heartbleed-how-to-upgrade-openssl-in-centos/

Answer 4

sudo yum update openssl 是你所需要的全部.

这将带你到openssl-1.0.1e-16.el6_5.7.

您需要在更新后重新启动Apache.或者更好的是,如果可能的话重启盒子,以便所有使用OpenSSL的应用程序都会加载新版本.

Answer 5

你唯一要做的就是执行一个yum update.

它将自动下载并更新openssl-1.0.1e-16.el6_5.7已被RedHat修补并且禁用心跳的后移版本.

要验证更新,只需检查更改日志:
# rpm -q --changelog openssl-1.0.1e | grep -B 1 CVE-2014-0160
您应该看到以下内容:
* Mon Apr 07 2014 Tomáš Mráz <tmraz@redhat.com> 1.0.1e-16.7 - fix CVE-2014-0160 - information disclosure in TLS heartbeat extension

确保重新启动服务器,因为Apache和SSH等重要服务使用openSSL.