尝试LibreSSL还为时过早吗？[关闭]

9

我一直在关注LibreSSL的开发和最新发行，并且碰巧我最近有一个新的FreeBSD Web服务器正在为我的个人/爱好者项目配置。不过，我对sysadmin和大量的Unix东西还是很满意的。

我看到现在有一个security/libressl端口。如果我只是一个系统管理员，那么我是否可以配置Nginx来使用它而不会比使用OpenSSL承受更多的压力（因为我过去已经成功设置了两次）？

那么其他期望使用OpenSSL的端口又如何呢？例如，当我去配置时databases/mariadb55-server，我可以选择使用OpenSSL，而不使用LibreSSL。如果我安装了LibreSSL，是否会看到其库并将其用作OpenSSL，还是必须等待MariaDB端口更新以显式支持LibreSSL？

我想更广泛的问题是，从业余sysadmin的角度来看，LibreSSL与OpenSSL的互换性如何？我应该推迟到LibreSSL被更广泛地使用和期望吗？

freebsd openssl

— 加勒特·奥尔布赖特
source

2

您专门询问了LibreSSL在FreeBSD上的状态：OpenBSD基金会负责人，LibreSSL团队成员Bob Beck在本周的BSDnow播客中写道，以指出FreeBSD的本机随机数生成器存在严重问题在libc中，请参阅此处以获取完整消息。有传言说，安全团队正在审查Ted Unangst提出的修复方案，但似乎还没有任何进展。该LibreSSL主页还告诫这些问题。

— 达米安

7

您是否在问LibreSSL是否打算替代OpenSSL？如果是这样，是。这是开发人员明确表达的意图。当前版本的一个目的是通过让负责二进制程序包和源存储库的人员对其进行测试来确保实现该目标。仍然存在一些问题，但其中大多数都是次要问题：这是一篇有关Hanno Boeck 在Gentoo上相当成功的LibreSSL实验的不错的博客文章。

另一方面，您的问题也可以解释为“ LibreSSL生产就绪”吗？

答案是：不，不是。默认情况下，甚至没有当前的OpenBSD（开发分支）链接到LibreSSL。

可以预期会有更多问题报告，例如仅几天之久的OpenSSL分支LibreSSL被宣布为“对Linux不安全”，将在接下来的几天和几周内冲击技术新闻站点。这些问题肯定会在接下来的几个月中得到解决。请记住，fork只有三个月大了，它是一个庞大而复杂的代码库。

我不允许发布两个以上的链接，但是通过Googling稍微查找各种博客文章，问题报告等是很容易的。阅读发行版开发人员的邮件列表，以获取有关情况的可靠的第一手信息，不要对当前正在进行的所有宣传大肆宣传。

摆脱您的期望，但是在开发过程的这个早期阶段，我不会太信任LibreSSL，更不用说将其投入生产了。

— 用户名
source

1

我认为Ars的文章并不真正公平，因为它假定了某些荒谬的情况，并且尽管LibreSSL在这些情况下肯定仍然可以工作，但OpenSSL在这些非常具体的极端情况下也表现出不良的情况。话虽这么说，您的其他观点也很合理-我现在会坚持使用OpenSSL，然后再重新考虑事情（可能是OpenBSD随附）。

— 加勒特·奥尔布赖特2014年

3

这个答案已经过时了。自2014

— Evan Carroll

1

从我看来，他们没有更改库和二进制名称。因此，USE_OPENSSL如果您WITH_OPENSSL_PORT在自己的容器中定义，则每个设置的端口也应与libressl一起使用make.conf

二进制软件包仍将使用基本系统的openssl。

— 狂暴的
source