logo
搜索
我的图书馆

发文章

发文工具

其他工具

留言交流
搜索
分享

升级OpenSSL修复高危漏洞Heartbleed

 看见就非常 2014-07-30

升级OpenSSL修复高危漏洞Heartbleed

背景：

         OpenSSL全称为Secure Socket Layer，是Netscape所研发，利用数据加密(Encryption)作技术保障在Internet上数据传输的安全。可确保数据在网络上的传输不会被窃听及截取。

         当然，OpenSSL是一个强大的密码库，我们在使用SSL协议的时候不一定非得采用OpenSSL，不过目前基本上都是用的OpenSSL，因为它更安全，使用起来也更简单。

         在近期互联网安全协议OpenSSL v1.0.1到1.0.1f的密码算法库中发现了一个非常严重bug(CVE-2014-0160)，该bug允许攻击者读取存在bug的系统的64k处理内存，暴露加密流量的密钥，用户的名字和密码，以及访问的内容。这个漏洞被称之为heartbleed,心脏流血。

         据solidot 在April 7报道，OpenSSL已经发布了1.0.1g修复bug，Debian发行版也在半小时修复bug，Fedora发布了一个权宜的修正方案。该bug在2011年引入OpenSSL中，使用OpenSSL 0.9.8的发现版本不受影响，但Debian Wheezy、Ubuntu 12.04.4、CentOS 6.5、Fedora 18、SUSE 12.2、OpenBSD 5.4、FreeBSD 8.4和NetBSD 5.0.2之后的版本都收到影响。如果你的允许的系统有如上集中，建议将补丁修复到1.0.1g或以上版本。

 

修复建议：

1、  如果有使用OpenSSL 1.0.1到OpenSSL1.0.1f的版本建议升级到OpenSSL1.0.1g或最新的OpenSSL1.0.1h。

2、  使用DEPENSSL_NO_HEARTBEATS参数重新编译低版本的OpenSSL以禁用Heartbleed模块。

3、  删除OpenSSL组件。

 

升级OpenSSL修复Heartbleed漏洞

         由于我们现在用的基本上都是RHEL 5.8或OEL5.8，其OpenSSL的版本为OpenSSL0.9.8e，是不存在该漏洞的，不过有些新上的项目可能会涉及到，当然他们对于修复这个漏洞的方法都是一样。

 

详细步骤如下：

 

1、  查看操作系统版本及OpenSSL版本

  1. [root@pru1~]# uname -a  
  2. Linuxpru1 2.6.18-308.el5 #1 SMP Fri Jan 27 17:17:51 EST 2012 x86_64 x86_64 x86_64GNU/Linux  
  3.    
  4. [root@pru1~]# openssl version  
  5. OpenSSL0.9.8e-fips-rhel5 01 Jul 2008  


2、  下载最新的openssl-1.0.1h.tar.gz源码包

 

3、  解压缩编译安装

  1. [root@pru1openssl]# ls  
  2. openssl-1.0.1h.tar.gz  
  3.   
  4. [root@pru1openssl]# tar -zxf openssl-1.0.1h.tar.gz  
  5. [root@pru1openssl]# ls  
  6. openssl-1.0.1h  openssl-1.0.1h.tar.gz  
  7.   
  8. [root@pru1openssl]# cd openssl-1.0.1h  
  9. [root@pru1openssl-1.0.1h]# ls  
  10. ACKNOWLEDGMENTS  config    e_os2.h      INSTALL.DJGPP  INSTALL.W64  Makefile.org     openssl.doxy  README.ASN1   tools  
  11. apps             Configure  e_os.h      INSTALL.MacOS  INSTALL.WCE   Makefile.shared  openssl.spec README.ENGINE  util  
  12. bugs             crypto     FAQ          INSTALL.NW     LICENSE       makevms.com      os2           shlib          VMS  
  13. certs            demos      include      INSTALL.OS2    MacOS         ms               perl          ssl  
  14. CHANGES          doc        INSTALL      INSTALL.VMS    Makefile      Netware          PROBLEMS      test  
  15. CHANGES.SSLeay   engines   install.com  INSTALL.W32    Makefile.bak  NEWS             README        times  
  16.   
  17. [root@pru1openssl-1.0.1h]# ./config shared zlib  
  18. Operatingsystem: x86_64-whatever-linux2  
  19. Configuringfor linux-x86_64  
  20. Configuringfor linux-x86_64  
  21.     no-ec_nistp_64_gcc_128 [default]  OPENSSL_NO_EC_NISTP_64_GCC_128 (skip dir)  
  22.     no-gmp          [default]  OPENSSL_NO_GMP (skip dir)  
  23.     no-jpake        [experimental] OPENSSL_NO_JPAKE (skipdir)  
  24.     no-krb5         [krb5-flavor not specified]OPENSSL_NO_KRB5  
  25.     no-md2          [default]  OPENSSL_NO_MD2 (skip dir)  
  26.     no-rc5          [default]  OPENSSL_NO_RC5 (skip dir)  
  27.     no-rfc3779      [default] OPENSSL_NO_RFC3779 (skip dir)  
  28.     no-sctp         [default]  OPENSSL_NO_SCTP (skip dir)  
  29.     no-store        [experimental] OPENSSL_NO_STORE (skipdir)  
  30.     no-zlib-dynamic [default]  
  31. IsMK1MF=0  
  32. CC            =gcc  
  33. CFLAG         =-fPIC -DOPENSSL_PIC -DZLIB-DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -Wa,--noexecstack-m64 -DL_ENDIAN -DTERMIO -O3 -Wall -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT-DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM-DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM-DGHASH_ASM  
  34. EX_LIBS       =-ldl -lz  
  35. CPUID_OBJ     =x86_64cpuid.o  
  36. BN_ASM        =x86_64-gcc.o x86_64-mont.ox86_64-mont5.o x86_64-gf2m.o modexp512-x86_64.o  
  37. DES_ENC       =des_enc.o fcrypt_b.o  
  38. AES_ENC       =aes-x86_64.o vpaes-x86_64.obsaes-x86_64.o aesni-x86_64.o aesni-sha1-x86_64.o  
  39. BF_ENC        =bf_enc.o  
  40. CAST_ENC      =c_enc.o  
  41. RC4_ENC       =rc4-x86_64.o rc4-md5-x86_64.o  
  42. RC5_ENC       =rc5_enc.o  
  43. MD5_OBJ_ASM   =md5-x86_64.o  
  44. SHA1_OBJ_ASM  =sha1-x86_64.o sha256-x86_64.osha512-x86_64.o  
  45. RMD160_OBJ_ASM=  
  46. CMLL_ENC      =cmll-x86_64.o cmll_misc.o  
  47. MODES_OBJ     =ghash-x86_64.o  
  48. ENGINES_OBJ   =  
  49. PROCESSOR     =  
  50. RANLIB        =/usr/bin/ranlib  
  51. ARFLAGS       =  
  52. PERL          =/usr/bin/perl  
  53. SIXTY_FOUR_BIT_LONGmode  
  54. DES_UNROLLused  
  55. DES_INTused  
  56. RC4_CHUNKis unsigned long  
  57. e_os2.h=> include/openssl/e_os2.h  
  58. makinglinks in crypto...  
  59. make[1]:Entering directory `/root/openssl/openssl-1.0.1h/crypto'  
  60. crypto.h=> ../include/openssl/crypto.h  
  61. opensslv.h=> ../include/openssl/opensslv.h  
  62. opensslconf.h=> ../include/openssl/opensslconf.h  
  63. ebcdic.h=> ../include/openssl/ebcdic.h  
  64. symhacks.h=> ../include/openssl/symhacks.h  
  65. ossl_typ.h=> ../include/openssl/ossl_typ.h  
  66. makinglinks in crypto/objects...  
  67. ………….  
  68. Configuredfor linux-x86_64.  
  69.   
  70. [root@pru1openssl-1.0.1h]# make  
  71. makingall in crypto...  
  72. make[1]:Entering directory `/root/openssl/openssl-1.0.1h/crypto'  
  73. ( echo"#ifndef MK1MF_BUILD"; \  
  74.         echo ' /* auto-generated by crypto/Makefile for crypto/cversion.c */'; \  
  75.         echo ' #define CFLAGS "gcc -fPIC -DOPENSSL_PIC -DZLIB -DOPENSSL_THREADS-D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -Wa,--noexecstack -m64 -DL_ENDIAN-DTERMIO -O3 -Wall -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT-DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM-DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM-DGHASH_ASM"'; \  
  76.         echo ' #define PLATFORM "linux-x86_64"'; \  
  77.         echo "  #define DATE \"`LC_ALL=C LC_TIME=Cdate`\""; \  
  78.         echo '#endif' ) >buildinf.h  
  79. gcc -I.-I.. -I../include  -fPIC -DOPENSSL_PIC-DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H-Wa,--noexecstack -m64 -DL_ENDIAN -DTERMIO -O3 -Wall -DOPENSSL_IA32_SSE2-DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM-DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM-DWHIRLPOOL_ASM -DGHASH_ASM   -c -ocryptlib.o cryptlib.c  
  80. cryptlib.c:In function a€?OPENSSL_ia32cap_loca€?:  
  81. cryptlib.c:677:warning: dereferencing type-punned pointer will break strict-aliasing rules  
  82. gcc -I.-I.. -I../include  -fPIC -DOPENSSL_PIC-DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H-Wa,--noexecstack -m64 -DL_ENDIAN -DTERMIO -O3 -Wall -DOPENSSL_IA32_SSE2-DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM-DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM-DWHIRLPOOL_ASM -DGHASH_ASM   -c -o mem.omem.c  
  83. gcc -I.-I.. -I../include  -fPIC -DOPENSSL_PIC-DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H-Wa,--noexecstack -m64 -DL_ENDIAN -DTERMIO -O3 -Wall -DOPENSSL_IA32_SSE2-DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM-DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM-DWHIRLPOOL_ASM -DGHASH_ASM   -c -omem_dbg.o mem_dbg.c  
  84. …………….  
  85.    
  86. [root@pru1openssl-1.0.1h]# make install  
  87. …….  

4、  将新编译的openssl替换系统老版本的

  1. [root@pru1openssl-1.0.1h]# rm -rf /usr/bin/openssl  
  2. [root@pru1openssl-1.0.1h]# rm -rf /usr/include/openssl/  
  3. [root@pru1openssl-1.0.1h]# ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl  
  4. [root@pru1openssl-1.0.1h]# ln -s /usr/local/ssl/include/openssl/ /usr/include/openssl  

 5、  配置文件搜索路径

  1. [root@pru1openssl-1.0.1h]# echo "/usr/local/ssl/lib/" >> /etc/ld.so.conf  
  2. [root@pru1openssl-1.0.1h]# ldconfig -v |grep openssl  
  3.         libgnutls-openssl.so.13 ->libgnutls-openssl.so.13.0.6  
  4.         libgnutls-openssl.so.13 ->libgnutls-openssl.so.13.0.6  

6、  查看安装完成后的最新版本

  1. [root@pru1openssl-1.0.1h]# openssl version  
  2. OpenSSL1.0.1h 5 Jun 2014  
  3.   
  4. [root@pru1openssl-1.0.1h]# openssl version -a  
  5. OpenSSL1.0.1h 5 Jun 2014  
  6. builton: Sun Jun  8 09:05:39 CST 2014  
  7. platform:linux-x86_64  
  8. options:  bn(64,64) rc4(16x,int) des(idx,cisc,16,int)idea(int) blowfish(idx)  
  9. compiler:gcc -fPIC -DOPENSSL_PIC -DZLIB -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN-DHAVE_DLFCN_H -Wa,--noexecstack -m64 -DL_ENDIAN -DTERMIO -O3 -Wall-DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5-DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM-DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM -DGHASH_ASM  
  10. OPENSSLDIR:"/usr/local/ssl"  
  11. [root@pru1openssl-1.0.1h]#  

7、 至此已全部完成OpenSSL的升级工作

    本站是提供个人知识管理的网络存储空间，所有内容均由用户发布，不代表本站观点。请注意甄别内容中的联系方式、诱导购买等信息，谨防诈骗。如发现有害或侵权内容，请点击一键举报。
    转藏 分享 献花（0）

    来自： 看见就非常 > 《safe》

    举报/认领

    0条评论

    发表

    请遵守用户 评论公约

    类似文章 更多