升级 openssl 及 Python 禁用不安全的SSL协议版本
一、 环境介绍
系统：Redhat 5.4
Python：系统原始为Python2.4，升级到Python-2.7.13
GCC：4.1.2 编译openssl需要4.2以上，因此升级gcc至5.4
openssl： 0.9.8，升级到1.0.2
二、编译gcc 5.4.0
系统自带的gcc为4.1.2版本，编译openssl时会报编译器错误，从这个帖子中得知4.2是支持的最低的版本，因此，需要升级gcc到4.2版本以上。这里我们将编译5.4.0版本的gcc。
1. 将gcc-5.4.0的源码包解压，准备进行编译安装。
tar zxvf gcc-5.4.0.tar.gz
cd gcc-5.4.0
2. 下载依赖包
./contrib/download_prerequisites
3. 配置编译参数
cd ..
mkdir gcc-build-5.4.0
cd gcc-build-5.4.0
../gcc-5.4.0/configure \
--enable-checking=release \
--enable-languages=c,c++ \
--disable-multilib
4. 编译并安装
make -j4 #允许4个编译命令同时执行，加速编译过程
make install
5. 检查编译是否成功
gcc编译完成后默认会安装至/usr/local/bin
$ /usr/local/bin/gcc -v
...
gcc version 5.4.0 (GCC)
...
6. 配置PATH指向新的gcc
在命令行中临时将PATH修改为优先从/usr/local/bin中查找命令
export PATH=/usr/local/bin/:$PATH
三、编译安装openssl
升级完gcc，就可以编译openssl了
1. 下载源码
编译环境为Redhat5.4，openssl版本比较低，是0.9.8e-fips-rhel5，因此，需要将openssl升级到1.0.2以上。
首先，从openssl官方网站下载1.0.2版本的openssl源码。
wget https://www.openssl.org/source/old/1.0.2/openssl-1.0.2u.tar.gz
2. 配置编译参数
因为openssl与系统中很多程序息息相关，为了避免升级openssl给系统带来的未知影响，我们不能用新的openssl覆盖系统中原始的openssl，因此，在编译之前，进行一些编译参数的配置，并将openssl安装在/opt/openssl-1.0.2目录下。
./config \
--prefix=/opt/openssl-1.0.2 \
--openssldir=/opt/openssl-1.0.2 \
enable-ec_nistp_64_gcc_128 \
-fPIC
3. 编译与安装开始编译
执行以下命令：
$ make depend
$ make
$ make install
编译完成，看下openssl版本
$ /opt/openssl-1.0.2/bin/openssl version
OpenSSL 1.0.2u 20 Dec 2019
四、重新编译python并使用新的openssl
1. 准备源码
wget https://www.python.org/ftp/python/2.7.13/Python-2.7.13.tgz
tar zxvf Python-2.7.13.tgz
cd Python-2.7.13
2. 修改编译脚本，指向新的openssl路径
修改setup.py，增加我们自定义的openssl路径/opt/openssl-1.0.2/include和/opt/openssl-1.0.2/lib
# Detect SSL support for the socket module (via _ssl)
search_for_ssl_incs_in = [
'/usr/local/ssl/include',
'/opt/openssl-1.0.2/include',
'/usr/contrib/ssl/include/'
]
ssl_incs = find_file('openssl/ssl.h', inc_dirs,
search_for_ssl_incs_in
)
if ssl_incs is not None:
krb5_h = find_file('krb5.h', inc_dirs,
['/usr/kerberos/include'])
if krb5_h:
ssl_incs += krb5_h
ssl_libs = find_library_file(self.compiler, 'ssl',lib_dirs,
['/usr/local/ssl/lib',
'/opt/openssl-1.0.2/lib',
'/usr/contrib/ssl/lib/'
] )
继续修改Modules/Setup.dist配置文件
找到下列SSL所在行并按下列内容修改，其中SSL为openssl自定义安装的路径
# Socket module helper for SSL support; you must comment out the other
# socket line above, and possibly edit the SSL variable:
SSL=/opt/openssl-1.0.2
_ssl _ssl.c \
-DUSE_SSL -I$(SSL)/include -I$(SSL)/include/openssl \
-L$(SSL)/lib -lssl -lcrypto
3. 编译与安装
编译参数的配置：
./configure \
--prefix=/opt/python2.7.13 \
--enable-shared
编译并安装
make
make install
安装完毕，执行以下命令测试Python是否使用了新的openssl
$ python -c 'import ssl; print(ssl.OPENSSL_VERSION)'
OpenSSL 1.0.2u 20 Dec 2019
五、修改SSL连接代码，禁用不安全的SSL协议版本
1. 修改server端SSL连接代码
在server端禁用了SSLv3 SSLv2 TLS1.0 TLS1.1这几个版本
context = ssl.create_default_context(ssl.Purpose.CLIENT_AUTH)
context.options |= ssl.OP_NO_SSLv3
context.options |= ssl.OP_NO_SSLv2
context.options |= ssl.OP_NO_TLSv1
context.options |= ssl.OP_NO_TLSv1_1
2. 修改client端SSL连接代码
采用client端与server端支持的最高协议版本进行通信
在client端
context = ssl.SSLContext(ssl.PROTOCOL_SSLv23)
