Indy OpenSSL Sicherheitsupdates

[notAssertor]

Sorry, ich bin jung und brauchte die aktuellen OpenSSL-DLLs ASAP :cry:

Assertor hat sie freundlicherweise bereits zur Verfügung gestellt, auf

http://indy.fulgan.com/SSL/

nach unten scrollen zu den beiden

openssl-1.0.2e-Zip-Dateien.

Vielen Dank dafür, Assertor!

@Assertor: Entschuldige bitte meinen recht einfallslosen DP-Benutzernamen :oops:

Gruß notAssertor

[win568]

Hi

Wann sind Versionen mit 1.0.1r bzw. 1.0.2f geplant ??

[querter]

Stand: 2016-01-30

Direktlinks OpenSSL 1.0.2f
Win x32: openssl-1.0.2f-i386-win32.zip
Win x64: openssl-1.0.2f-x64_86-win64.zip

Direktlinks OpenSSL 1.0.1r
Win x32: openssl-1.0.1r-i386-win32.zip
Win x64: openssl-1.0.1r-i386-win64.zip

Direktlinks OpenSSL 1.0.0t
Win x32: openssl-1.0.0t-i386-win32.zip
Win x64: openssl-1.0.0t-x64_86-win64.zip

Direktlinks OpenSSL 0.9.8zh
Win x32: openssl-0.9.8zh-i386-win32.zip
Win x64: openssl-0.9.8zh-x64_86-win64.zip

[christophspaeth]

Hallo,
danke an Assertor für's Bauen, danke auch an querter für's verlinken.

Nachdem von meinem Vorposter auch die builds aus den alten Zweigen verlinkt wurden, sollte man aber vielleicht nochmal erwähnen, dass die Unterstützung für Version 0.9.8 und 1.0.0 zum Jahreswechsel eingestellt wurde und es für diese beiden Zweige keine Sicherheitsfixes mehr gibt:!:

Zitat:

Support for version 0.9.8 will cease on 2015-12-31. No further releases of 0.9.8 will be made after that date. Security fixes only will be applied to 0.9.8 until then.
Support for version 1.0.0 will cease on 2015-12-31. No further releases of 1.0.0 will be made after that date. Security fixes only will be applied to 1.0.0 until then.

Quelle: https://www.openssl.org/policies/releasestrat.html
Version 1.0.1 soll demnach bis Ende 2016 unterstützt werden, 1.0.2 bis Ende 2019

[Assertor]

Danke an das Verlinken damals (notAssertor) und diesmal (querter) :thumb:

Ja, eigentlich wollte ich diesmal mit dem Text schneller sein, als notAssertor damals - wieder nicht geklappt ;) Hintergrund ist, dass meine Builds und die FTP Veröffentlichung bei Fulgan zeitlich nicht mehr zusammenfallen - Stéphane pusht meine Uploads nur noch alle 24 Stunden auf den öffentlichen FTP. Das ist, sagen wir mal, suboptimal. Das Bloggen und Posten landet dann immer auf meiner ToDo, die chronisch überfüllt ist :oops:

Was Christoph anspricht, ist sehr wichtig, danke dafür :!: Bitte beachtet unbedingt, dass nunmehr der Support und die Weiterentwicklung für den 0.9.8 und 1.0.0 Branch eingestellt wurde. Es wird keine offiziellen Sicherheitsupdates mehr dafür geben.

Deswegen nochmal die offzielle Verlinkung zu den letzten aktuellen Builds:

Zitat:

Zitat von querter (Beitrag 1328807)

Stand: 2016-01-30

Direktlinks OpenSSL 1.0.2f
Win x32: openssl-1.0.2f-i386-win32.zip
Win x64: openssl-1.0.2f-x64_86-win64.zip

Direktlinks OpenSSL 1.0.1r
Win x32: openssl-1.0.1r-i386-win32.zip
Win x64: openssl-1.0.1r-i386-win64.zip

Gruß
Frederik

[querter]

Hallo Frederik,

dank Dir wieder einmal für Deine Veröffentlichungen ...

Stand: 2016-03-05

Direktlinks OpenSSL 1.0.2g
Win x32: openssl-1.0.2g-i386-win32.zip
Win x64: openssl-1.0.2g-x64_86-win64.zip

Direktlinks OpenSSL 1.0.1s
Win x32: openssl-1.0.1s-i386-win32.zip
Win x64: openssl-1.0.1s-i386-win64.zip

[querter]

Hallo Frederik,

huch ... bei der openssl-1.0.1s-i386-win32.zip gibt's irgendwie ein Problem ...

Die enthaltene ssleay32.dll ist ca. 20kb kleiner zur v1.0.1r und kann bei mir nicht mehr geladen werden ...

Exception: Klasse EIdOSSLCouldNotLoadSSLLibrary = Could not load SSL library ...


Nachtrag:
1.0.2g schmeisst ebenfalls ein Exception ...

[wuschel2016]

Kann die Angaben/Exceptions von querter leider bestätigen :cry:

[querter]

Zitat:

Important Note from the Indy Team
Our team member Remy LeBeau told me yesterday that if you use these libraries with Indy / Delphi, you must use one of the more recent Indy Versions, otherwise loading will fail with “EIdOSSLCouldNotLoadSSLLibrary”. Thanks Remy for clarification! All Versions after September 2015 should work. The current Indy Version is 10.6.2.5345. Versions like e.g. 10.6.0.5167 will fail. This is due to some changes in the OpenSSL headers which were required: SSLv2 is deprecated in the OpenSSL libraries now and old Indy Versions check if these functions exist. See: http://www.indyproject.org/Sockets/b...150907.de.aspx

Cheers,
Frederik

Quelle: https://opendec.wordpress.com/2016/0...1s-and-1-0-2g/

[christophspaeth]

Hallo,

ich habe unter http://www.delphipraxis.net/188569-w...ltem-indy.html einen Hack erstellt, mit dem OpenSSL 1.0.2g auch mit älteren Indy-Versionen eingesetzt werden kann (eigener Thread um eine eventuelle Diskussion aus diesem Thread herauszuhalten).

Gruß
Christoph