OpenSSLのメジャーバージョン変更（アップデート）の方法について

Question

OpenSSL バージョン1.0.1から、バージョン1.0.2または1.1.0にアップグレードする場合の手順（コマンド）を
教えていただけないでしょうか。

[環境]
・Webサーバ
・CentOS 6.7

※検索で方法を探してみたのですが、yum update による方法しか見当たらず。
yum updateでは同じバージョンの中でマイナーアップデートを行う認識です。

また、同じサーバにApache2.2、Tomcat7 がインストールしています。
SSL証明書を導入し、WEBにhttpsアクセスをさせています。
OpenSSLバージョンアップに伴い、これらのソフトへの影響はありますでしょうか？
別途これらソフトのアップデートや設定変更が必要でしょうか。

宜しくお願いいたします。

Answer 1

はっきり言います。OS標準のOpenSSLを、標準リポジトリ以外のルートで入れ替えるのはやめたほうがいいです。

OpenSSLはOSの深くに絡んでくるライブラリであって、しかもバージョンアップごとにAPI・ABIが変わってくるので、他のライブラリも、再コンパイルが必要になったりと、極めて複雑怪奇なことになってしまいます。

たとえば、「Apacheでこの暗号化方式を使いたい」ということで新しいOpenSSLが必要、ということでしたら、

1. 新しいOpenSSLを、標準のとは別な場所にインストールする
2. 新しく入れたOpenSSLにリンクする形でApacheをソースから入れる

というな形で、「必要なところにだけ効かせる」形にすることをおすすめします。

Comments

[Masashi_Ikuz]

maisumakun さん

ご回答ありがとうございます。

OpenSSL1.0.1系が2016年でサポート終了、OpenSSL公式サイトでも1.0.2または1.10のパッケージしかなかったので、ある脆弱性に対応するため1.0.1から1.0.2にアップデートをする必要があると考えていました。

しかし、yum update の場合、1.0.1の最新ver（1.0.1e-57.el6）までしかアップデートできません。
皆さんはどのように対応されているのでしょうか。

何か根本的なところで間違えているのかもしれません。教えていただけないでしょうか。
よろしくお願い致します。

[maisumakun]

RHEL系は、新しいバージョンで行われた脆弱性修正を、古いバージョンにもバックポートしています（CentOS ６のPHP 5.3.3もそのように保守されています）。

アップデート履歴を確認して、脆弱性対策が行われているか確認してみましょう。

[Masashi_Ikuz]

maisumakun さん

ご返信ありがとうございます。
バックポートされているとのこと、「rpm -q --changelog openssl」にてアップデート履歴を確認します。

似たような質問も既にありましたね。失礼しました。
https://teratail.com/questions/66648

しかし、調べてみると以下のようにOpenSSLからダウンロードして対応している記事をみつけました。
http://www.ehowstuff.com/how-to-install-and-update-openssl-on-centos-6-centos-7/

基本的には上記対応は必要ないと認識でよろしいでしょうか。
（例としてあるのかわかりませんが）バックポートされていない脆弱性に対応するため、上記対応をする場合もあるということでしょうか。

以上、よろしくお願いいたします。

[maisumakun]

上の記事のコメントにもありますが、OSのOpenSSLを入れ替えて、全環境できちんと動作させるには、Apache、PHP、MySQLなど、OpenSSLライブラリに結びついたすべてを再コンパイルする必要が出てきます。

もともと全コンパイルが当たり前なGentooのようなディストリビューションならいざしらず、CentOSでそこまで大掛かりなことをやってしまうと、あとあとの保守管理が極めて面倒になってしまいます（事実上、yumからのインストールが不可能となります）。

[Masashi_Ikuz]

すみません。追加でアップデート履歴について確認をさせてください。

例えばlogjam（CVE2015-4000）の対応をしたい場合、

OpenSSLのアップデートによる、修正パッチ適用の判断は、
「rpm -q --changelog openssl」の結果、以下表記を確認できれば適用されているということでしょうか。
※他に確認が必要なポイントがあれば教えてください。

　---------------------------------------------------------------
　fix CVE2015-4000 prevent the logjam attack on client - restrict
---------------------------------------------------------------

以上、宜しくお願いいたします。