Làm cách nào để nâng cấp OpenSSL trong OS X?

Ngày nay, heartbleed OpenSSL khai thác đã được công bố trong tự nhiên, cho phép kẻ tấn công lén lút phát hiện và đánh cắp chìa khóa private server (cho phép họ MITM và giải mã dữ liệu được mã hóa của bạn và ăn cắp mật khẩu). Điều này ảnh hưởng đến các phiên bản OpenSSL bao gồm 1.0.1f, đây là phiên bản trên máy tính Mavericks cập nhật của tôi (vì tôi đã sử dụng port / brew để cài đặt phần mềm khác cập nhật openssl của tôi mà tôi không nhận ra )

$ openssl version
OpenSSL 1.0.1f 6 Jan 2014

Điều này chứng tỏ tôi không sử dụng phiên bản Mavericks của OpenSSL:

$ which openssl
/opt/local/bin/openssl

OpenSSL đã phát hành bản sửa lỗi ngày hôm nay trong 1.0.1g và tôi tự hỏi làm thế nào tôi có thể cài đặt phiên bản cố định này so với phiên bản hiện tại của tôi?

Đối với những gì nó có giá trị, tôi chỉ sử dụng homebrew ( http://brew.sh/ ):

brew update  
brew install openssl  
brew link --force openssl 
openssl version -a  

Nếu một trong những phiên bản xấu xuất hiện (1.0.1a-f), bạn có thể tìm ra phiên bản openssl nào bạn đang sử dụng, theo cách này:

which openssl

Thường thì đây là từ / usr / bin. Để đảm bảo bạn có được phiên bản cập nhật, hãy thả một liên kết tượng trưng vào / usr / local / bin để trỏ đến openssl được cập nhật, như thế này:

ln -s /usr/local/Cellar/openssl/1.0.1g/bin/openssl /usr/local/bin/openssl

Thay thế cho bước cuối cùng đó, một số người thay thế openssl /usr/binbằng một liên kết tượng trưng đến /usr/local/Cellar/openssl/1.0.1g/bin/openssl(hoặc bất kể phiên bản của bạn là gì):

mv /usr/bin/openssl /usr/bin/openssl_OLD  
ln -s /usr/local/Cellar/openssl/1.0.1g/bin/openssl /usr/bin/openssl

Nhưng điều này được biết là gây ra vấn đề với một số phiên bản OSX mới hơn. Tốt hơn là chỉ cần chèn một liên kết tượng trưng mới vào / usr / local / bin, điều này sẽ được ưu tiên trên đường dẫn của bạn hơn / usr / bin.

Hoặc cho những người đang sử dụng cổng mac và không lo lắng về việc giữ phiên bản

sudo port upgrade openssl

đơn giản :-)

Đối với việc giải quyết các OCSP Status Yêu cầu mở rộng phát triển bộ nhớ không giới hạn (CVE-2016-6304) trên hệ điều hành MacOS Sierra sử dụng brewvới hệ thống bảo vệ toàn vẹn được kích hoạt:

1. Điều chỉnh tạm thời quyền trên /usr/localđể brew có thể cập nhật:

   sudo chgrp -R admin /usr/local
   sudo chmod -R g+w /usr/local
   

2. Cài đặt phiên bản cập nhật của OpenSSL (bạn có thể muốn 1.0.2i):

   brew install openssl
   

3. Bạn có thể muốn / cần xóa một liên kết tượng trưng hiện có để openssl từ /usr/local/bin:

   rm /usr/local/bin/openssl
   

4. Liên kết lại phiên bản ủ phù hợp:

   sudo ln -s /usr/local/Cellar/openssl/1.0.2i/bin/openssl /usr/local/bin/openssl
   

5. Khôi phục quyền ban đầu trên /usr/local/bin:

   sudo chown root:wheel /usr/local
   

Bất cứ ai không muốn sử dụng brew hoặc cổng và chỉ muốn thay thế cài đặt OpenSSL 0.9.8 mặc định luôn có thể vô hiệu hóa bảo vệ toàn vẹn hệ thống bằng cách khởi động lại vào chế độ phục hồi (cmd + R) và phát hành

csrutil disable

và sau đó biên dịch openssl với

./config --prefix=/usr
make install

Nó đã thay thế thành công OpenSSL trong ElCapitan cho tôi và tôi đã có thể biên dịch httpd 2.4 của curl và apache mà không gặp sự cố trực tiếp nào từ các nguồn. Lý do đằng sau phương pháp mà một số người có thể cân nhắc quyết liệt là ElCapitan không còn được Apple duy trì và không có bản cập nhật nào sắp ra mắt nên có khả năng nó sẽ không bị hỏng. Thứ hai, nó giúp bạn tiết kiệm từ việc trỏ đến thư mục openssl trong / usr / local cho mọi chương trình bạn biên dịch làm cho quá trình biên dịch mạnh mẽ hơn.