openssl版本升级升级

K8S的etcd kube-apiserver kube-scheduler等组件的ssl漏洞均为系统的ssl问题，可以通过升级系统openssl处理。

修复"避免使用IDEA、DES和3DES算法"漏洞需要升级openssl。

修复建议

1、OpenSSL Security Advisory [22 Sep 2016]
链接：https://www.openssl.org/news/secadv/20160922.txt
请在下列网页下载最新版本：  
https://www.openssl.org/source/
2、对于nginx、apache、lighttpd等服务器禁止使用DES加密算法 
主要是修改conf文件
3、Windows系统可以参考如下链接：
https://social.technet.microsoft.com/Forums/en-US/31b3ba6f-d0e6-417a-b6f1-d0103f054f8d/ssl-medium-strength-cipher-suites-supported-sweet32cve20162183?forum=ws2016

https://docs.microsoft.com/zh-cn/troubleshoot/windows-server/windows-security/restrict-cryptographic-algorithms-protocols-schannel

查看原来版本

openssl version

为OpenSSL 1.0.2k-fips  26 Jan 2017

有修复建议可知，1.x系列已经停止维护，因此升级到最新是3.0.x版本。

使用源码安装，在https://www.openssl.org/source/中下载最新的openssl-3.0.15.tar.gz 上传到服务器

1.解压

tar -zxvf openssl-3.0.15.tar.gz
cd openssl-3.0.15 

2.安装依赖

yum -y install gcc zlib zlib-devel gcc perl perl-IPC-Cmd

先查看之前的openssl的位置

whereis openssl看到openssl位置在/usr/bin/openssl

3.然后进行编译安装,通常建议安装到/usr/local下，方便管理

./config --prefix=/usr/local/openssl 

make && make install

4.更新系统路径和链接

mv /usr/bin/openssl{,_bak}
ln -s /usr/local/openssl/bin/openssl  /usr/bin/openssl

ln -s /usr/local/openssl/lib64/libssl.so.3 /usr/lib64/libssl.so.3 

ln -s /usr/local/openssl/lib64/libcrypto.so.3 /usr/lib64/libcrypto.so.3

5.验证版本

openssl version