CentOS 6.6: версия OpenSSL

У меня есть система CentOS 6.6. Когда я openssl version командной строки openssl version , система дает мне OpenSSL 1.0.1e-fips 11 Feb 2013 . Когда я yum update openssl , тогда yum говорит « No Packages marked for Update .

С этой информацией я предполагаю, что OpenSSL на моей системе обновлен. Но, глядя на https://openssl.org/ , похоже, более актуальная версия.

Поэтому возникает вопрос: почему у моей системы старая версия OpenSSL, когда есть более новые версии?

2 Solutions collect form web for “CentOS 6.6: версия OpenSSL”

Cent OS основана на Red Hat Enterprise Linux, и основная цель дистрибутива, выпускаемого для корпоративных клиентов, – обеспечить надежную, стабильную и надежную ОС и системное программное обеспечение.

Основные выпуски обычно содержат недавние, но установленные версии текущего программного обеспечения. Последующие незначительные выпуски будут содержать пакеты с небольшими обновлениями этого программного обеспечения.

Однако у них не будет обновлений программного обеспечения с крупными версиями, т. Е. Их пакеты обновления содержат только незначительные улучшения, которые не должны вызывать проблем с совместимостью.

В твоем случае:

  • 6 – основной выпуск
  • 6.6 – младший выпуск

Когда Red Hat выпустила версию 6 своего Enterprise Linux, они выбрали версию 1.0.0 для OpenSSL, но в ходе небольших обновлений для RHEL 6.6 они были обновлены до версии 1.0.1e. На этой странице описаны обновления пакета Red Hat OpenSSL для младших выпусков RHEL 6.

В то время как более новые версии программного обеспечения для восходящего потока содержат исправления ошибок, включенные в расширенные функции, Red Hat поддерживает исправления и исправления ошибок в своих пакетах, чтобы их клиенты могли извлечь выгоду из последних исправлений безопасности восходящего потока, сохраняя при этом стабильность и совместимость с другими пакетами программного обеспечения ,

Из исправлений безопасности Backporting

У Backporting есть ряд преимуществ для клиентов, но это может создать путаницу, когда это не понято. Клиенты должны знать, что просто просмотр номера версии пакета не означает, что они уязвимы или нет. Например, рассказы в прессе могут включать такие фразы, как «обновление до Apache httpd 2.0.43 для исправления проблемы», которое учитывает только номер версии восходящего канала. Это может вызвать путаницу, так как даже после установки обновленных пакетов у поставщика вряд ли у клиентов будет последняя версия восходящего потока. Вместо этого у них будет более старая версия восходящего потока с примененными обратными патчами.

Кроме того, некоторые инструменты сканирования и аудита безопасности принимают решения об уязвимостях, основанные исключительно на количестве версий компонентов, которые они находят. Это приводит к ложным срабатываниям, так как в инструментах не учитываются исправления безопасности с резервным доступом.

См. Также В чем разница между основным, второстепенным и асинхронным выпуском? ,

Несмотря на то, что RHEL / CentOS не является последней версией, в настоящее время RHEL / CentOS будет поддерживать изменения в новых версиях источника OpenSSL для версии, которую вы используете в своем ящике CentOS 6.

Что касается того, почему CentOS не использует самую последнюю версию. Это может быть по различным причинам, включая:

  • зависимости
  • стабильность
  • Совместимость
  • Сбой компиляции на версии 1.0.2p
  • Как извлечь корневой ЦС и подчиненный ЦС из цепочки сертификатов в Linux?
  • Как сгенерировать только ключ с помощью openssl
  • Как encyrpt сообщение с использованием файла smme.p7s
  • Проверка, требует ли Apache SSL-фразы
  • Установка разделяемых библиотек OpenSSL на CentOS 6.5
  • показать значения закрытого ключа ed22519, хранящегося в формате OpenSSH
  • Как я могу зашифровать большой файл с помощью OpenSSL с помощью ключей RSA?
  • Уязвимость OpenSSL Padding для Oracle (CVE-2016-2107) + Nginx
  • Шифровать хэш с помощью RSA
  • Получить общее имя (CN) из сертификата SSL?
  • Linux и Unix - лучшая ОС в мире.