升级OpenSSL修复高危漏洞Heartbleed
升级OpenSSL修复高危漏洞Heartbleed
背景：
OpenSSL全称为Secure Socket Layer，是Netscape所研发，利用数据加密(Encryption)作技术保障在Internet上数据传输的安全。可确保数据在网络上的传输不会被窃听及截取。
当然，OpenSSL是一个强大的密码库，我们在使用SSL协议的时候不一定非得采用OpenSSL，不过目前基本上都是用的OpenSSL，因为它更安全，使用起来也更简单。
在近期互联网安全协议OpenSSL v1.0.1到1.0.1f的密码算法库中发现了一个非常严重bug(CVE-2014-0160)，该bug允许攻击者读取存在bug的系统的64k处 理内存，暴露加密流量的密钥，用户的名字和密码，以及访问的内容。这个漏洞被称之为heartbleed,心脏流血。
据solidot 在April 7报道，OpenSSL已经发布了1.0.1g修复bug，Debian发行版也在半小时修复bug，Fedora发布了一个权宜的修正方案。该bug在 2011年引入OpenSSL中，使用OpenSSL 0.9.8的发现版本不受影响，但Debian Wheezy、Ubuntu 12.04.4、CentOS 6.5、Fedora 18、SUSE 12.2、OpenBSD 5.4、FreeBSD 8.4和NetBSD 5.0.2之后的版本都收到影响。如果你的允许的系统有如上集中，建议将补丁修复到1.0.1g或以上版本。
修复建议：
1、 如果有使用OpenSSL 1.0.1到OpenSSL1.0.1f的版本建议升级到OpenSSL1.0.1g或最新的OpenSSL1.0.1h。
2、 使用DEPENSSL_NO_HEARTBEATS参数重新编译低版本的OpenSSL以禁用Heartbleed模块。
3、 删除OpenSSL组件。
升级OpenSSL修复Heartbleed漏洞
由于我们现在用的基本上都是RHEL 5.8或OEL5.8，其OpenSSL的版本为OpenSSL0.9.8e，是不存在该漏洞的，不过有些新上的项目可能会涉及到，当然他们对于修复这个漏洞的方法都是一样。
1、 查看操作系统版本及OpenSSL版本
root@namenode1:~# uname -a Linux namenode1.quanshi.com 3.2.0-23-generic #36-Ubuntu SMP Tue Apr 10 20:39:51 UTC 2012 x86_64 x86_64 x86_64 GNU/Linux root@namenode1:~# openssl version OpenSSL 1.0.1 14 Mar 2012
2、 下载最新的openssl-1.0.1h.tar.gz源码包
3、 解压缩编译安装
root@namenode1:~# tar zxf openssl-1.0.1h.tar.gz root@namenode1:~# cd openssl-1.0.1h root@namenode1:~# ./config shared zlib root@namenode1:~# make root@namenode1:~# make install
4、 将新编译的openssl替换系统老版本的
root@namenode1:~# rm -rf /usr/bin/openssl root@namenode1:~# rm -rf /usr/include/openssl/ root@namenode1:~# ln -s /usr/local/ssl/bin/openssl /usr/bin/openssl root@namenode1:~# ln -s /usr/local/ssl/include/openssl/ /usr/include/openssl
5、 配置文件搜索路径
root@namenode1:~# echo "/usr/local/ssl/lib/" >> /etc/ld.so.conf root@namenode1:~# ldconfig -v |grep openssl libgnutls-openssl.so.27 -> libgnutls-openssl.so.27.0.0
6、 查看安装完成后的最新版本
root@namenode1:~# openssl version -a OpenSSL 1.0.1h 5 Jun 2014 built on: Thu May 7 12:33:22 CST 2015 platform: linux-x86_64 options: bn(64,64) rc4(16x,int) des(idx,cisc,16,int) idea(int) blowfish(idx) compiler: gcc -DOPENSSL_THREADS -D_REENTRANT -DDSO_DLFCN -DHAVE_DLFCN_H -Wa,--noexecstack -m64 -DL_ENDIAN -DTERMIO -O3 -Wall -DOPENSSL_IA32_SSE2 -DOPENSSL_BN_ASM_MONT -DOPENSSL_BN_ASM_MONT5 -DOPENSSL_BN_ASM_GF2m -DSHA1_ASM -DSHA256_ASM -DSHA512_ASM -DMD5_ASM -DAES_ASM -DVPAES_ASM -DBSAES_ASM -DWHIRLPOOL_ASM -DGHASH_ASM OPENSSLDIR: "/usr/local/ssl"