OpenSSL Upgrade Rehberi

OpenSSL, sunucudaki web, posta ve VPN servislerinin birçoğunun kullandığı ortak kütüphanedir. Eski sürümler güvenlik güncellemesi almadığından yükseltme gereklidir; 1.1.1 serisi desteğini sonlandırmıştır ve güncel hedef 3.x serisidir.

1. Mevcut durumu belirleyin

openssl version -a
ldd $(which nginx) | grep -i ssl
lsof -n | grep -i libssl | awk '{print $1}' | sort -u

Hangi servislerin hangi kütüphaneye bağlı olduğunu görmek, yükseltme sonrası neyi yeniden başlatmanız gerektiğini gösterir.

2. Paket yöneticisiyle güncelleyin

# Debian/Ubuntu
apt update && apt install --only-upgrade openssl libssl3

# RHEL ailesi
dnf update openssl

Dağıtımlar güvenlik yamalarını çoğu zaman sürüm numarasını değiştirmeden uygular (backport). Sürüm numarasına değil, dağıtımın güvenlik duyurularına ve paket değişiklik kaydına bakın. Kaynak koddan derlediğiniz bir sürümü sistem yoluna üzerine yazmayın; /opt/openssl gibi ayrı bir dizine kurup uygulamaya ayrıca bağlayın.

3. Servisleri yeniden başlatın

Kütüphane güncellense de çalışan süreçler eski sürümü bellekte tutar. needrestart (Debian/Ubuntu) veya elle systemctl restart nginx gibi komutlarla yeniden başlatın.

4. OpenSSL 3.x geçiş notları

• MD4, RC4, DES gibi eski algoritmalar varsayılan olarak "legacy provider" arkasındadır.
• openssl.cnf içinde özel ayarlarınız varsa yeni provider bölümleri gerekebilir.
• PKCS#12 dosyaları eski algoritmalarla oluşturulmuşsa içe aktarırken -legacy seçeneği gerekebilir.
• Kendi yazdığınız C uygulamalarında kullanımdan kaldırılan (deprecated) API'ler uyarı verebilir.

5. Doğrulama

1. openssl version ile yeni sürümü görün.
2. Web sitenizi SSL kontrol aracıyla kontrol edin.
3. Posta, veritabanı ve API bağlantılarını test edin.

Geri dönüş planı

Yükseltme sonrası bir servis çalışmazsa önceki paketi apt install openssl=<sürüm> veya dnf downgrade openssl ile geri yükleyebilirsiniz. Bu nedenle yükseltmeyi önce bir test makinesinde deneyin ve değişiklik öncesinde openssl.cnf dosyasını yedekleyin. Güvenlik duyurularını dağıtımınızın bülteninden izlemek, hangi yamaların kritik olduğunu anlamanıza yardım eder.

Yükseltme öncesinde sunucunun anlık görüntüsünü veya yedeğini alın. Sertifika yönetimi ve seçenekler için SSL sertifikaları sayfasını inceleyebilirsiniz.