Indy OpenSSL Sicherheitsupdates

[notAssertor]

Sorry, ich bin jung und brauchte die aktuellen OpenSSL-DLLs ASAP :cry:

Assertor hat sie freundlicherweise bereits zur Verfügung gestellt, auf

http://indy.fulgan.com/SSL/

nach unten scrollen zu den beiden

openssl-1.0.2e-Zip-Dateien.

Vielen Dank dafür, Assertor!

@Assertor: Entschuldige bitte meinen recht einfallslosen DP-Benutzernamen :oops:

Gruß notAssertor

[win568]

Hi

Wann sind Versionen mit 1.0.1r bzw. 1.0.2f geplant ??

[querter]

Stand: 2016-01-30

Direktlinks OpenSSL 1.0.2f
Win x32: openssl-1.0.2f-i386-win32.zip
Win x64: openssl-1.0.2f-x64_86-win64.zip

Direktlinks OpenSSL 1.0.1r
Win x32: openssl-1.0.1r-i386-win32.zip
Win x64: openssl-1.0.1r-i386-win64.zip

Direktlinks OpenSSL 1.0.0t
Win x32: openssl-1.0.0t-i386-win32.zip
Win x64: openssl-1.0.0t-x64_86-win64.zip

Direktlinks OpenSSL 0.9.8zh
Win x32: openssl-0.9.8zh-i386-win32.zip
Win x64: openssl-0.9.8zh-x64_86-win64.zip

[christophspaeth]

Hallo,
danke an Assertor für's Bauen, danke auch an querter für's verlinken.

Nachdem von meinem Vorposter auch die builds aus den alten Zweigen verlinkt wurden, sollte man aber vielleicht nochmal erwähnen, dass die Unterstützung für Version 0.9.8 und 1.0.0 zum Jahreswechsel eingestellt wurde und es für diese beiden Zweige keine Sicherheitsfixes mehr gibt:!:

Zitat:

Support for version 0.9.8 will cease on 2015-12-31. No further releases of 0.9.8 will be made after that date. Security fixes only will be applied to 0.9.8 until then.
Support for version 1.0.0 will cease on 2015-12-31. No further releases of 1.0.0 will be made after that date. Security fixes only will be applied to 1.0.0 until then.

Quelle: https://www.openssl.org/policies/releasestrat.html
Version 1.0.1 soll demnach bis Ende 2016 unterstützt werden, 1.0.2 bis Ende 2019

[Assertor]

Danke an das Verlinken damals (notAssertor) und diesmal (querter) :thumb:

Ja, eigentlich wollte ich diesmal mit dem Text schneller sein, als notAssertor damals - wieder nicht geklappt ;) Hintergrund ist, dass meine Builds und die FTP Veröffentlichung bei Fulgan zeitlich nicht mehr zusammenfallen - Stéphane pusht meine Uploads nur noch alle 24 Stunden auf den öffentlichen FTP. Das ist, sagen wir mal, suboptimal. Das Bloggen und Posten landet dann immer auf meiner ToDo, die chronisch überfüllt ist :oops:

Was Christoph anspricht, ist sehr wichtig, danke dafür :!: Bitte beachtet unbedingt, dass nunmehr der Support und die Weiterentwicklung für den 0.9.8 und 1.0.0 Branch eingestellt wurde. Es wird keine offiziellen Sicherheitsupdates mehr dafür geben.

Deswegen nochmal die offzielle Verlinkung zu den letzten aktuellen Builds:

Zitat:

Zitat von querter (Beitrag 1328807)

Stand: 2016-01-30

Direktlinks OpenSSL 1.0.2f
Win x32: openssl-1.0.2f-i386-win32.zip
Win x64: openssl-1.0.2f-x64_86-win64.zip

Direktlinks OpenSSL 1.0.1r
Win x32: openssl-1.0.1r-i386-win32.zip
Win x64: openssl-1.0.1r-i386-win64.zip

Gruß
Frederik

[querter]

Hallo Frederik,

dank Dir wieder einmal für Deine Veröffentlichungen ...

Stand: 2016-03-05

Direktlinks OpenSSL 1.0.2g
Win x32: openssl-1.0.2g-i386-win32.zip
Win x64: openssl-1.0.2g-x64_86-win64.zip

Direktlinks OpenSSL 1.0.1s
Win x32: openssl-1.0.1s-i386-win32.zip
Win x64: openssl-1.0.1s-i386-win64.zip

[querter]

Hallo Frederik,

huch ... bei der openssl-1.0.1s-i386-win32.zip gibt's irgendwie ein Problem ...

Die enthaltene ssleay32.dll ist ca. 20kb kleiner zur v1.0.1r und kann bei mir nicht mehr geladen werden ...

Exception: Klasse EIdOSSLCouldNotLoadSSLLibrary = Could not load SSL library ...


Nachtrag:
1.0.2g schmeisst ebenfalls ein Exception ...

[wuschel2016]

Kann die Angaben/Exceptions von querter leider bestätigen :cry:

[querter]

Zitat:

Important Note from the Indy Team
Our team member Remy LeBeau told me yesterday that if you use these libraries with Indy / Delphi, you must use one of the more recent Indy Versions, otherwise loading will fail with “EIdOSSLCouldNotLoadSSLLibrary”. Thanks Remy for clarification! All Versions after September 2015 should work. The current Indy Version is 10.6.2.5345. Versions like e.g. 10.6.0.5167 will fail. This is due to some changes in the OpenSSL headers which were required: SSLv2 is deprecated in the OpenSSL libraries now and old Indy Versions check if these functions exist. See: http://www.indyproject.org/Sockets/b...150907.de.aspx

Cheers,
Frederik

Quelle: https://opendec.wordpress.com/2016/0...1s-and-1-0-2g/

[christophspaeth]

Hallo,

ich habe unter http://www.delphipraxis.net/188569-w...ltem-indy.html einen Hack erstellt, mit dem OpenSSL 1.0.2g auch mit älteren Indy-Versionen eingesetzt werden kann (eigener Thread um eine eventuelle Diskussion aus diesem Thread herauszuhalten).

Gruß
Christoph

[querter]

Hallo Frederik,

wieder einmal ein Danke für Deine Veröffentlichungen ...

Stand: 2016-05-04

Direktlinks OpenSSL 1.0.2h
Win x32: openssl-1.0.2h-i386-win32.zip
Win x64: openssl-1.0.2h-x64_86-win64.zip

Direktlinks OpenSSL 1.0.1t (Hinweis: End-of-Support (EOS) = Dezember 2016!)
Win x32: openssl-1.0.1t-i386-win32.zip
Win x64: openssl-1.0.1t-i386-win64.zip

[querter]

Hallo Frederik,

mein Danke für Deine Veröffentlichungen ...

Stand: 2016-09-27

Direktlinks OpenSSL 1.0.2j
Win x32: openssl-1.0.2j-i386-win32.zip
Win x64: openssl-1.0.2j-x64_86-win64.zip

Direktlinks OpenSSL 1.0.1u (Hinweis: End-of-Support (EOS) = Dezember 2016!)
Win x32: openssl-1.0.1u-i386-win32.zip
Win x64: openssl-1.0.1u-i386-win64.zip

[querter]

Hallo Frederik,

mein Danke gilt Dir wieder für Deine Veröffentlichungen ...

Stand: 2017-01-26

Direktlinks OpenSSL 1.0.2k
1.0.2 - Long Term Support (LTS) version (support will be provided until 31st December 2019).
Win x32: openssl-1.0.2k-i386-win32.zip
Win x64: openssl-1.0.2k-x64_86-win64.zip


Out of support:
-------------------------------------
v1.0.1u (Last Version: 2016-Sep-22)
v1.0.0t (Last Version: 2015-Dez-03)
v0.9.8zh (Last Version: 2015-Dez-03)

[KlausV]

Hallo Zusammen,
ich habe Delphi 7 und die Indy Komponenten der Version 10.1.5. Nun möchte ich auf HTTPS umstellen. Daher nun die Frage, welche Version benötige ich von OpenSSL?
Wie ist das mit 32 bit und 64 bit? Die Anwendung ist unter 32 bit programmiert, läuft aber auch unter 64 bit im 32er Modus.
Muss hier auch noch etwas angepasst werden bezüglich von openssl oder reicht es dier 32-bit Version zu nehmen?
Danke.
Gruß Klaus

Mist, ich glaube der Thread gehört nicht hier hin. Eventuell kann der Admin den verschieben. Ich habe nicht gefunden, wie ich ihn löschen kann. Sorry.

[mjustin]

Zitat:

Zitat von KlausV (Beitrag 1379795)

ich habe Delphi 7 und die Indy Komponenten der Version 10.1.5.

Die aktuelle Indy Version unterstützt auch Delphi 7. Damit können dann auch die aktuellen OpenSSL DLLs (32 Bit, da Delphi 7 nur 32 Bit kann) verwenden.

[KlausV]

Zitat:

Zitat von mjustin (Beitrag 1379799)

Zitat:

Zitat von KlausV (Beitrag 1379795)

ich habe Delphi 7 und die Indy Komponenten der Version 10.1.5.

Die aktuelle Indy Version unterstützt auch Delphi 7. Damit können dann auch die aktuellen OpenSSL DLLs (32 Bit, da Delphi 7 nur 32 Bit kann) verwenden.

Dann muss ich auf die neue Indy Version gehen! Wäre es nicht auch möglich, dass ich die Indy Version behalte und nur die geeignete OpenSSL Version nehme? Das wäre mir am liebsten.
Danke.

[mjustin]

Zitat:

Zitat von KlausV (Beitrag 1379939)

Zitat:

Zitat von mjustin (Beitrag 1379799)

Zitat:

Zitat von KlausV (Beitrag 1379795)

ich habe Delphi 7 und die Indy Komponenten der Version 10.1.5.

Die aktuelle Indy Version unterstützt auch Delphi 7. Damit können dann auch die aktuellen OpenSSL DLLs (32 Bit, da Delphi 7 nur 32 Bit kann) verwenden.

Dann muss ich auf die neue Indy Version gehen! Wäre es nicht auch möglich, dass ich die Indy Version behalte und nur die geeignete OpenSSL Version nehme? Das wäre mir am liebsten.
Danke.

Ob es passende, aber auch aktuelle OpenSSL DLLs für diese alte Indy Version existieren, weiss ich leider nicht. Da dieser Thread sich auf die Sicherheitsupdates bezieht, sollte diese Frage besser in einem neuen Thema gestellt werden.

[querter]

Hallo Frederik,

mein Danke gilt Dir wieder für Deine Veröffentlichungen ...

Stand: 2017-05-29

Direktlinks OpenSSL 1.0.2l
1.0.2 - Long Term Support (LTS) version (support will be provided until 31st December 2019).
Win x32: openssl-1.0.2l-i386-win32.zip
Win x64: openssl-1.0.2l-x64_86-win64.zip


Out of support:
-------------------------------------
v1.0.1u (Last Version: 2016-Sep-22)
v1.0.0t (Last Version: 2015-Dez-03)
v0.9.8zh (Last Version: 2015-Dez-03)[/QUOTE]

[querter]

Zitat:

Zitat von KlausV (Beitrag 1379939)

Wäre es nicht auch möglich, dass ich die Indy Version behalte und nur die geeignete OpenSSL Version nehme? Das wäre mir am liebsten.
Danke.

Hallo Klaus,

die 10.1.5 läuft nicht mit den aktuellen DLLs, da gab's einige Sicherheitsupdates in den DLL, die auch Indy betreffen.

Du musst die aktuelle Indy-Version 10.5434 installieren (ist eigentlich nicht ganz so schwer);

ebenfalls von Frederik zur Verfügung gestellt:
Download: Indy10_5434.zip 2017-09-17 04:04 8.3M

Damit läuft's bei mir unter D7 problemlos.

Herzliche Grüße
querter

[Glados]

Ist 10.5434 neuer als die Version die in Tokyo ohne Upd1 enthalten ist?
Und wie installiert man 10.5434?

Das hier steht dazu auf der Indy-Seite

Zitat:

Some important notes before you install Indy 10:
1) The SuperCore package is very outdated and not currently usable. Don't even try to compile or install it.

[querter]

Zitat:

Zitat von Glados (Beitrag 1381396)

Ist 10.5434 neuer als die Version die in Tokyo ohne Upd1 enthalten ist?

ich kann nur für D7 sprechen ;-)

Indy 10 SVN 5434 ist vom 23.08.2017; Sollte also daher aktueller sein, als das Indy in Tokyo, welches im März 2017 rausgebracht worden ist.

Für Tokyo findest Du auch hier im SVN ein Verzeichnis
http://www.indyproject.org/Sockets/Download/svn.de.aspx

Vllt. hilft Dir das weiter.

[Glados]

Mit SVN kann ich nix anfangen. Ich lade nur Zips runter.
Der Download ist ja kein Problem aber ich habe keine Ahnung wie man Indy installiert, da das ja ein fester Bestandteil von Delphi ist.

[nahpets]

Die Indy-Packages installiert man wie alle anderen Packages auch.

Alte Version deinstallieren.
Neue Version installieren.

[Glados]

Ich installiere immer über die dpk-Dateien. Die gibt es hier nicht.

[nahpets]

In der Indy10_5434.zip finde ich 144 Stück davon.

Man schaue in das Verzeichnis Lib
und dann in die Unterverzeichnisse
Core
Protocols
Security
SuperCore
System

Oder nehme aus dem Verzeichnis Lib die Batchdatei zu der Delphiversion eigener Wahl.

[querter]

Hallo Frederik,

mein Danke gilt Dir wieder für Deine Veröffentlichungen ...

Stand: 2017-11-13

Direktlinks OpenSSL 1.0.2m
1.0.2 - Long Term Support (LTS) version (support will be provided until 31st December 2019).
Win x32: openssl-1.0.2m-i386-win32.zip
Win x64: openssl-1.0.2m-x64_86-win64.zip


Out of support:
-------------------------------------
v1.0.1u (Last Version: 2016-Sep-22)
v1.0.0t (Last Version: 2015-Dez-03)
v0.9.8zh (Last Version: 2015-Dez-03)

[querter]

Hallo Frederik,

Danke ...

Stand: 2017-12-07

Direktlinks OpenSSL 1.0.2n
1.0.2 - Long Term Support (LTS) version (support will be provided until 31st December 2019).
Win x32: openssl-1.0.2n-i386-win32.zip
Win x64: openssl-1.0.2n-x64_86-win64.zip


Out of support:
-------------------------------------
v1.0.1u (Last Version: 2016-Sep-22)
v1.0.0t (Last Version: 2015-Dez-03)
v0.9.8zh (Last Version: 2015-Dez-03)

[querter]

Hallo Frederik,

Danke ...

Stand: 2018-03-27

Direktlinks OpenSSL 1.0.2o
1.0.2 - Long Term Support (LTS) version (support will be provided until 31st December 2019).
Win x32: openssl-1.0.2o-i386-win32.zip
Win x64: openssl-1.0.2o-x64_86-win64.zip


Out of support:
-------------------------------------
v1.0.1u (Last Version: 2016-Sep-22)
v1.0.0t (Last Version: 2015-Dez-03)
v0.9.8zh (Last Version: 2015-Dez-03)[/QUOTE]

[querter]

Stand: 2018-09-19

Direktlinks OpenSSL 1.0.2p
1.0.2 - Long Term Support (LTS) version (support will be provided until 31st December 2019).
Win x32: openssl-1.0.2p-i386-win32.zip
Win x64: openssl-1.0.2p-x64_86-win64.zip


Out of support:
-------------------------------------
v1.0.1u (Last Version: 2016-Sep-22)
v1.0.0t (Last Version: 2015-Dez-03)
v0.9.8zh (Last Version: 2015-Dez-03)

[querter]

Stand: 2018-11-22

Direktlinks OpenSSL 1.0.2q
1.0.2 - Long Term Support (LTS) version (support will be provided until 31st December 2019).
Win x32: openssl-1.0.2q-i386-win32.zip
Win x64: openssl-1.0.2q-x64_86-win64.zip


Out of support:
-------------------------------------
v1.0.1u (Last Version: 2016-Sep-22)
v1.0.0t (Last Version: 2015-Dez-03)
v0.9.8zh (Last Version: 2015-Dez-03)[/QUOTE]

[querter]

Stand: 2019-05-31

Direktlinks OpenSSL 1.0.2s
1.0.2 - Long Term Support (LTS) version (support will be provided until 31st December 2019).
Win x32: openssl-1.0.2s-i386-win32.zip
Win x64: openssl-1.0.2s-x64_86-win64.zip


Out of support:
-------------------------------------
v1.0.1u (Last Version: 2016-Sep-22)
v1.0.0t (Last Version: 2015-Dez-03)
v0.9.8zh (Last Version: 2015-Dez-03)[/QUOTE][/QUOTE]

[Codehunter]

Wie geht es ab 1. Januar 2020 weiter? Insbesondere bei älteren Indy-9-Anwendungen?

[querter]

Stand: 2019-09-13

Direktlinks OpenSSL 1.0.2t
1.0.2 - Long Term Support (LTS) version (support will be provided until 31st December 2019).
Win x32: openssl-1.0.2t-i386-win32.zip
Win x64: openssl-1.0.2t-x64_86-win64.zip


Out of support:
-------------------------------------
v1.0.1u (Last Version: 2016-Sep-22)
v1.0.0t (Last Version: 2015-Dez-03)
v0.9.8zh (Last Version: 2015-Dez-03)

[querter]

Stand: 2019-12-20

Direktlinks OpenSSL 1.1.1
1.1.1 - Long Term Support (LTS) version (support will be provided until until 11th September 2023).
Win x32: not available
Win x64: not available

Direktlinks OpenSSL 1.0.2u
1.0.2 - Long Term Support (LTS) version (support will be provided until 31st December 2019).
Win x32: openssl-1.0.2u-i386-win32.zip
Win x64: openssl-1.0.2u-x64_86-win64.zip

Zitat:

Zitat von www.openssl.org

Note: The latest stable version is the 1.1.1 series. This is also our Long Term Support (LTS) version, supported until 11th September 2023. Our previous LTS version (1.0.2 series) will continue to be supported until 31st December 2019 (security fixes only during the last year of support). All users of 1.0.2 are encouraged to upgrade to 1.1.1 as soon as possible. Extended support for 1.0.2 to gain access to security fixes beyond 31st December 2019 is available.

Out of support:
-------------------------------------
v1.0.1u (Last Version: 2016-09-22)
v1.0.0t (Last Version: 2015-12-03)
v0.9.8zh (Last Version: 2015-12-03)

[querter]

Zitat:

Zitat von Codehunter (Beitrag 1439447)

Wie geht es ab 1. Januar 2020 weiter? Insbesondere bei älteren Indy-9-Anwendungen?

Hallo Codehunter,

ich habe keine Ahnung;

Wenn ich das richtig verstanden hatte ... gab es beim Versionssprung von v1.0.2 zur Version 1.1.0 eine API-Änderung, so dass wohl irgendwie Indy tiefgreifend angepasst werden müsste, dazu aber die freiwilligen Ressourcen fehlen ... dass ist aber noch alles Stand "Mai 2018"; Ich persönlich habe nur eine kleine Hoffnung - dass die Implementierung von openssl 1.1.1 zeitnah realisiert wird.

siehe ggf. auch hier:
https://en.delphipraxis.net/topic/77...sl-and-tls-13/

[christophspaeth]

Hallo Codehunter und Querter,

dass es für Indy 9 noch Support für OpenSSL 1.1.x geben wird, kann ich mir fast nicht vorstellen.

Für neueres Indy: Es gibt immerhin ein Ticket (https://github.com/IndySockets/Indy/issues/183) das auch (vom ursprünglich Milestone Indy 12) vorgezogen wurde. Dort steht von Remy Lebeau die Aussage von Anfang Dezember 2019

Zitat:

Work is in progress to support OpenSSL 1.1.x. I do not know at this time whether it will be ready by the deadline, though.

[Codehunter]

Zitat:

Zitat von christophspaeth (Beitrag 1454531)

Für neueres Indy: Es gibt immerhin ein Ticket (https://github.com/IndySockets/Indy/issues/183) das auch (vom ursprünglich Milestone Indy 12) vorgezogen wurde. Dort steht von Remy Lebeau die Aussage von Anfang Dezember 2019

Zitat:

Work is in progress to support OpenSSL 1.1.x. I do not know at this time whether it will be ready by the deadline, though.

Ich hatte mit Remy auch mal darüber gesprochen. Ist aber schon länger her. Damals ging er noch davon aus, dass es bis auf weiteres keine TLS-1.3-only-Dienste geben sollte, sodass der OpenSSL-1.1-Support noch Zeit hätte. Aber seit alle Major-Browser nun TLS 1.3 unterstützen gibt es eben doch schon Websites und Dienste, die nur noch darauf setzen und jeder Handshake von Indy aus fehlschlägt. Dadurch ist Indy jetzt etwas unter Zugzwang geraten.

[NoGAD]

Hallo,

gibt es inzwischen Links zu den 1.1.1 Binaries?

Ich finde die auf Github nicht.

LG Mathias

[KodeZwerg]

helfen die von overbyte weiter?

[NoGAD]

Zitat:

Zitat von KodeZwerg (Beitrag 1468732)

helfen die von overbyte weiter?

Vielen Dank für die Hilfe. Leider funktioniert es nicht bei mir. Die alten, in der openssl-1.0.2u-i386-win32 enthaltenen Dateien, dagegen laufen einwandfrei.

Vielleicht liegt es an der ICS - Version.

LG Mathias