Por que meu servidor está exibindo o openssl 0.9.8 quando eu tenho o openssl1.0.1 instalado?

Question

Estou criando um servidor de teste que é vulnerável ao bug heartbleed.

Meu servidor está executando o Apache 2.4 em uma VM do FreeBSD. Por padrão, o FreeBSD parece ter o OpenSSL 0.9.8 instalado por padrão. Eu tentei desinstalar o OpenSSL das portas, mas desde que eu não o instalei via portas (veio por padrão) eu não pude desinstalá-lo dessa maneira.

Depois tentei ignorá-lo e instalei o OpenSSL 1.0.1 a partir do código-fonte; mas quando eu reiniciei o servidor apache, e verifiquei o site usando curl --head 127.0.0.1 "OpenSSL 0.9.8" foi exibido.

Depois tentei reinstalar / reconfigurar o apache, mas o mesmo teste gerou "OpenSSL 0.9.8".

Então, eu tentei substituir o padrão OpenSSL da seguinte forma:
 instalado um novo OpenSSL via portas (em uma tentativa de substituir a versão padrão)
 - desinstalar o OpenSSL instalado na porta (na tentativa de apagar completamente o OpenSSL padrão)
 - com a minha fonte - instale a única que sobrou, achei que isso tinha que ter mudado.  - o teste ainda rendeu "OpenSSL 0.9.8" (tristeza)

Então, por que ainda está exibindo "OpenSSL 0.9.8"?

Eu também quero alterar o site para usar o OpenSSL 1.0.1, portanto, conselhos sobre isso seriam úteis.

    

Answer 1

O passo em falta é que você deve dizer ao sistema que você quer usar OpenSSL das portas em cima do sistema base:

• construa OpenSSL nas portas:

• crie / adicione ao seu /etc/make.conf a seguinte linha:

  WITH_OPENSSL_PORT=yes
  

• então reinstala todos os outros módulos que precisam do OpenSSL ( devel/apr1 , www/apache24 , ...)

• você pode verificar o OpenSSL lib usado pelo apache24 (na verdade, o módulo apache24 mod_ssl ):

  # ldd /usr/local/libexec/apache24/mod_ssl.so |grep ssl 
  /usr/local/libexec/apache24/mod_ssl.so:
          libssl.so.8 => /usr/local/lib/libssl.so.8 (0x801634000)
  

  O apache24 mod_ssl está agora usando a biblioteca OpenSSL das portas.

Answer 2

A compilação do OpenSSL não ajudará muito. Seu Apache ainda está vinculado ao antigo OpenSSL. Você pode verificar isso usando o comando ldd .

Você deve recompilar o Apache ou o mod_ssl para que ele seja vinculado ao seu novo OpenSSL.