Comment mettre à jour OpenSSL sous OS X?

Aujourd'hui, l' exploit OpenSSL a été annoncé dans la nature, ce qui permet à un attaquant de détecter et de voler subrepticement des clés de serveur privées (en leur permettant de MitM, de déchiffrer vos données cryptées et de voler des mots de passe). Cela concerne les versions OpenSSL, y compris la version 1.0.1f, qui est la version de mon ordinateur Mac Mavericks mis à jour (car j'ai utilisé le port / brassage pour installer un autre logiciel qui a mis à jour mon openssl sans que je m'en rende compte ):

$ openssl version
OpenSSL 1.0.1f 6 Jan 2014

Cela montre que je n'utilise pas la version OpenSSL de Mavericks:

$ which openssl
/opt/local/bin/openssl

OpenSSL a publié un correctif aujourd'hui dans la version 1.0.1g et je me demande comment je peux obtenir cette version corrigée installée sur ma version actuelle.

Pour ce que ça vaut, je viens d'utiliser homebrew ( http://brew.sh/ ):

brew update  
brew install openssl  
brew link --force openssl 
openssl version -a  

Si l’une des mauvaises versions apparaît (1.0.1a-f), vous pouvez déterminer quelle version d’OpenSL vous utilisez, de cette façon:

which openssl

Cela provient souvent de / usr / bin. Pour vous assurer d'obtenir la version mise à jour, déposez un lien symbolique dans / usr / local / bin pour qu'il pointe vers le fichier openssl mis à jour, comme ceci:

ln -s /usr/local/Cellar/openssl/1.0.1g/bin/openssl /usr/local/bin/openssl

Au lieu de cette dernière étape, certaines personnes remplacent openssl /usr/binpar un lien symbolique vers /usr/local/Cellar/openssl/1.0.1g/bin/openssl(ou quelle que soit votre version):

mv /usr/bin/openssl /usr/bin/openssl_OLD  
ln -s /usr/local/Cellar/openssl/1.0.1g/bin/openssl /usr/bin/openssl

Mais cela est connu pour causer des problèmes avec certaines versions plus récentes d’OSX. Mieux vaut simplement insérer un nouveau lien symbolique dans / usr / local / bin, qui devrait prévaloir sur votre chemin plutôt que / usr / bin.

Ou pour ceux qui utilisent des ports mac, et ne craignent pas de garder la version

sudo port upgrade openssl

simples :-)

Pour résoudre OCSP Etat demande l' extension croissance de la mémoire non lié (CVE-2016-6304) sur macOS Sierra à l' aide brewde la protection de l' intégrité du système activé:

1. Ajustez temporairement les autorisations sur /usr/localafin que l'infusion puisse être mise à jour:

   sudo chgrp -R admin /usr/local
   sudo chmod -R g+w /usr/local
   

2. Installez la version mise à jour de OpenSSL (vous voulez probablement 1.0.2i):

   brew install openssl
   

3. Vous voudrez peut-être / aurez besoin de supprimer un lien symbolique existant vers openssl à partir de /usr/local/bin:

   rm /usr/local/bin/openssl
   

4. Re-liez la version de brassage appropriée:

   sudo ln -s /usr/local/Cellar/openssl/1.0.2i/bin/openssl /usr/local/bin/openssl
   

5. Restaurer les autorisations d'origine sur /usr/local/bin:

   sudo chown root:wheel /usr/local
   

Quiconque ne veut pas utiliser d'infusion ou de ports et veut juste remplacer l'installation par défaut d'OpenSSL 0.9.8 peut toujours désactiver la protection de l'intégrité du système en redémarrant en mode de récupération (cmd + R) et en émettant

csrutil disable

et ensuite compiler openssl avec

./config --prefix=/usr
make install

Il a réussi à remplacer OpenSSL dans ElCapitan pour moi et j'ai pu compiler curl et httpd 2.4 d'Apache sans aucun problème directement à partir des sources. Le raisonnement derrière la méthode que certains pourraient considérer comme radicale est qu'ElCapitan n'est plus mis à jour par Apple et qu'aucune mise à jour n'est à venir, de sorte qu'elle ne fonctionnera probablement pas. Deuxièmement, cela vous évite de pointer vers le dossier openssl de / usr / local pour chaque programme que vous compilez, ce qui rend la compilation plus robuste.