RHEL7 における openssl

RHEL7 の openssl は openssl-1.0.1e をベースにしていましたが、RHEL7.4 で openssl-1.0.2k にリベースされました。

この記事は、Securing Applications Collection の一部です。

RHEL7 のライフサイクル中に明らかになった TLS の設計上の問題と openssl の実装上の問題のため、常に最新バージョン、少なくとも以下のバージョンを使用する必要があります。

 openssl-1.0.2k-21.el7_9

機能

プロトコル

• TLSv1.2
• TLSv1.1
• TLSv1
• SSLv3
• SSLv2 - RHEL7.4/openssl-1.0.2k で削除されました

Ciphers

$ openssl ciphers -v

証明書

• RSA キーと SHA-1 または SHA-256 の署名付き証明書
• EC キーと DSA または SHA-256 の署名付き証明書

ハッシュ

• md5 message digest algorithm (dgst サブコマンドのデフォルト)
• md4 message digest algorithm
• md2 message digest algorithm
• sha1 message digest algorithm
• sha message digest algorithm
• sha224 message digest algorithm
• sha256 message digest algorithm (署名のデフォルト)
• sha384 message digest algorithm
• sha512 message digest algorithm
• ripemd160 message digest algorithm
• whirlpool message digest algorithm

7.4/1.0.2k の注記事項

• MD5, MD4, and SHA0 can no longer be used as signing algorithms in OpenSSL

追記

1.0.2k へのアップデートでは、その他のさまざまな改良も行われました。

• Datagram Transport Layer Security TLS (DTLS) プロトコルバージョン 1.2 のサポートが追加されました。
• TLS での ECDHE 鍵交換用の楕円曲線の自動選択に対するサポートが追加されました。
• Application-Layer Protocol Negotiation (ALPN) のサポートが追加されました。

• 次のスキームに対する Cryptographic Message Syntax (CMS) のサポートが追加されました: RSA-PSS、RSA-OAEP、ECDH、X9.42 DH。

• MD5, MD4, and SHA0 can no longer be used as signing algorithms in OpenSSL

• OpenSSL クライアントは、DH が 1024 ビット未満のサーバーへの接続を許可しなくなりました。
• SSL2.0 のサポートは OpenSSL から完全に削除されました。
• OpenSSL の EXPORT 暗号スイートは非推奨になりました。

詳細は、リリースノートと非推奨ノートを参照してください。

• openssl rebased to version 1.0.2k
• 非推奨の機能