RHEL6 openssl + httpd confusão

Question

Eu tenho uma confusão em torno de openssl + httpd (SSL).

Eu tenho um servidor rhel 6 para gerenciar, do administrador anterior. Este servidor hospeda um site (HTTPS).

Recentemente, atualizei o openssl para uma versão mais atualizada - OpenSSL 1.0.2a 19 mar 2015

Eu acho que agora eu preciso também re-gerar as chaves / cert para httpd ..? Alguém pode me confirmar ou me corrigir aqui?

Editar: O problema é que, embora o Openssl seja uma versão recente, uma varredura vuln continua dizendo o contrário - TCP 443, openssl versão mais antiga (< 1.0.2) em uso .. Como posso verificar se o openssl em uso é somente 1.0.2 e nenhuma outra versão.?

.....

Editar2: Adicionando mais informações depois de ler uma nova resposta.

No início, os seguintes pacotes openssl foram instalados:

# yum list openssl
Installed Packages
openssl.i686 1.0.0-27.el6
openssl.x86_64 1.0.0-27.el6

Noto que o repositório configurado para pacotes (servidor diferente) tem novos pacotes, mas a caixa rhel6 não vê nenhuma nova atualização.

Então, copiei manualmente os pacotes openssl recentes do rpm

openssl-1.0.1e-42.el6.i686.rpm
openssl-1.0.1e-42.el6.x86_64.rpm

E removemos o pacote existente:

# yum remove openssl-1.0.0-27.el6.i686
It removed this version as well as several dependencies.

Em seguida, tentei instalar uma versão atual:

# yum install openssl-1.0.1e-42.el6.i686.rpm  
  Setting up Install Process Examining openssl-1.0.1e-42.el6.i686.rpm:
  openssl-1.0.1e-42.el6.i686 Marking openssl-1.0.1e-42.el6.i686.rpm as
  an update to openssl-1.0.0-27.el6.x86_64 
  Error: Nothing to do

Por isso, não foi instalado.

Então eu verifiquei a versão atual:

# openssl version
OpenSSL 1.0.2a 19 Mar 2015

Parece que este 1.0.2a também foi instalado anteriormente e agora se tornou a versão atual.

.....

Editar3:

Adicionando informações do rpm do openssl:

$ rpm -q openssl
openssl-1.0.0-27.el6.x86_64

.....

Portanto, a versão do rpm e a versão do openssl são diferentes. Não tenho certeza se isso parece certo.

.....

Muito obrigado.

    

Answer 1

Depende de por que você atualizou seu OpenSSL:

• Se você atualizou porque fornece um algoritmo criptográfico que não estava disponível em sua versão original, então você obviamente precisa usar o novo OpenSSL para criar novas chaves com este novo algoritmo.

• Se você atualizou devido a alguns bugs conhecidos no OpenSSL e acredita que seu site foi comprometido, você deve substituir seus certificados. Seria sábio substituí-los, independentemente de você achar que foi comprometido - só para ficar do lado seguro; especialmente se você não souber o que o administrador anterior fez em relação à manutenção. Este artigo da Red Hat pode ajudar.

• Se você fez o upgrade apenas como parte de um processo de manutenção regular, não há necessidade de alterar os certificados. O OpenSSL, assim como outros pacotes, pode ser atualizado pelos mantenedores em intervalos regulares, mas não há necessidade de substituir os certificados de cada vez.

Answer 2

Você geralmente não precisa regenerar chaves e certificados ao atualizar o OpenSSL. Isso só é necessário se houver algo errado com a criação da chave / certificado como o problema que o Debian tinha .

    

Answer 3

Não. Chaves e certificados são armazenados em um formato independente da versão OpenSSL (funciona mesmo com outras implementações SSL / TLS). A única posibilidade é que o OpenSSL 1.0.2 pode ter recursos desabilitados por razões de segurança nas quais suas chaves antigas dependem (improvável se a chave não for antiga). Mas isso é fácil de verificar: inicie seu servidor; se você puder se conectar via TLS, isso funciona.