OpenSSL 4.1 Windowsissa: tarkista asennuspaketin versio 2 ja DLL-allekirjoitukset

Tilanne 11. marraskuuta 2026. OpenSSL julkaisi Windows-asennuspaketin 4.1.0-2 marraskuun 4. päivänä. Se lisää Authenticode-allekirjoitukset libcrypto- ja libssl-kirjastoihin x86- ja ARM64-paketeissa; itse OpenSSL-kirjasto ei muutu. Huomaa: näytetty versionumero 4.1.0 ei erota asennuspaketin kahta versiota. Ohje on tarkoitettu itsenäistä Windows-asennusta hallitseville ylläpitäjille ja kehittäjille. [1][2]

Mitä asennuspaketin versio 2 korjaa

Ongelmaraportti #30 kuvaa sovelluksen toimintahäiriön, jonka aiheuttivat alkuperäisen x86-paketin allekirjoittamattomat DLL-tiedostot. Julkaisutiedoissa mainitaan myös ARM64. Tämä ei osoita tietomurtoa eikä uutta salausteknistä korjausta. Kaikki TLS-virheet eivät johdu tästä. Verkkosivuston varmennevaroitus ja paikallisen DLL-tiedoston Windows-koodiallekirjoitus ovat eri tarkistuksia. [1][2]

Edellytykset ja paketin valinta

Selvitä ensin vastuut ja riippuvuudet. Jos sovellus sisältää oman OpenSSL-kopionsa, käytä sen valmistajan päivitysmenettelyä äläkä vaihda yksittäisiä DLL-tiedostoja. Ota omista asennuksista talteen asetukset, asennusvalinnat, paketin alkuperä ja aiempi PATH-arvo; säilytä yksityiset avaimet vain nykyisessä suojatussa varmuuskopiojärjestelmässä. Varaa testattu palautusmenettely ja huoltoikkuna. x86/x64-valinnan on sovittava myös sovellukseen, ei vain käyttöjärjestelmään. VS sisältää vastaavan Visual C++ -ajonaikaisen ympäristön; hybridCRT ei tarvitse sitä. ARM64 on saatavana vain hybridCRT-muodossa. EXE ja MSI ovat vaihtoehtoisia pakkausmuotoja. Koodin C:\Pilot\bin on vain esimerkki: korvaa se todellisella, tarkistetulla asennuskansiolla ennen suorittamista. [3]

Viisi vaihetta hallittuun vaihtoon

  1. Kartoita tilanne tekemättä muutoksia. Etsi Windowsin PowerShellissä komennolla Get-Command openssl -All käytettävissä olevat komentopolut ja kirjaa täydelliset polut. Tyhjä tulos ei sulje pois sovelluksiin sisältyviä kopioita. Yhdistä tiedot sovelluksesta, arkkitehtuurista, DLL-sijainneista, aiemmasta asennuspaketista ja lokien mahdollisista allekirjoitusvirheistä. Älä kopioi yksityisiä avaimia tai tunnisteita virheraportteihin.
  2. Hae sopiva paketti linkitetystä julkaisusta, jonka tunniste on publish/4.1.0-2. Kirjaa tunniste ja tiedostonimi sekä vertaa laskettua SHA-256-arvoa valmistajan vastaavaan tarkistustiedostoon. Samannimiset tiedostot voivat kuulua eri pakettiversioihin. Tarkista asennustiedoston digitaalinen allekirjoitus Windowsissa ennen suorittamista. Odotettu julkaisija on OpenSSL Software Services Czech, s.r.o. Keskeytä, jos allekirjoitus on virheellinen tai poikkeama selittämätön; älä poista suojauksia käytöstä. [1][7]
  3. Vain jos itsenäisesti hallittu asennuspaketin versio 4.1.0-1 on todella asennettu: sulje riippuvaiset sovellukset hallitusti huoltoikkunassa, poista paketti valmistajan ohjeen mukaisesti kohdasta Asetukset → Sovellukset → OpenSSL Library ja asenna sitten versio 2. Uusi paketti ei julkaisutietojen mukaan päivitä versiota 1 suoraan. Älä poista muita OpenSSL-paketteja summittaisesti; varmista ensin riippuvuudet ja palautuminen. [1]
  4. Valitse osat ja kohdekansio harkiten. Älä muuta PATH-arvoa sokkona: README kertoo, että asennusohjelma voi lisätä oman kansionsa järjestelmän PATH-arvon alkuun. Käytä pilotissa nimenomaista ohjelmapolkua. Tarkista asennuksen jälkeen tiedostojen libcrypto-4.dll ja libssl-4.dll allekirjoitukset todellisuudessa käytetystä kansiosta. Alla oleva PowerShell-koodi vain lukee tietoja. Tilan Valid ja odotetun varmenteen haltijan on vastattava toisiaan. [3][4]
  5. Suorita version -a käyttäen openssl.exe-tiedoston nimenomaista polkua ja kirjaa alusta sekä asetus- ja moduulikansiot. Pelkkä 4.1.0-versionumero ei osoita asennuspaketin versiota 2. Käynnistä kyseinen sovellus uudelleen ja toista aiemmin epäonnistunut työnkulku ei-arkaluonteisilla testitiedoilla. Tarkista myös sovelluksen todella lataama DLL-kopio: onnistunut komentoriviajo ei vielä hyväksy sovelluksen toimintaa. [1][5]
$OpenSslBin = 'C:\Pilot\bin'
'openssl.exe', 'libcrypto-4.dll', 'libssl-4.dll' | ForEach-Object {
    Get-AuthenticodeSignature -LiteralPath (Join-Path $OpenSslBin $_)
} | Format-List Path, Status, StatusMessage, SignerCertificate

Hyväksymistarkistus ja palautuminen

Hyväksy muutos vasta, kun paketin tunnistetiedot, DLL-allekirjoitukset, odotetut polut ja sovellustesti täsmäävät. Jos ilmenee virhe, keskeytä jakelu, säilytä vianmääritystiedot ja palauta aiemmin dokumentoitu paketti- ja asetustila testatulla palautusmenettelyllä. Paluu allekirjoittamattomiin DLL-tiedostoihin ei täytä allekirjoitusvaatimusta; pidä tarvittaessa kyseinen työnkulku keskeytettynä. Älä sekoita DLL-tiedostoja käsin äläkä poista allekirjoitustarkistusta pysyvästi käytöstä.

Ohjeen rajat

Asennuspaketin versio 2 ei automaattisesti validoi FIPS-kokoonpanoa. README:n mukaan hybridCRT sisältää vain nykyisen, ei-FIPS-validoidun providerin; validoitu vaihtoehto kuuluu vastaavaan VS-versioon. Elinkaaren suunnittelussa on huomioitava, ettei 4.1 ole LTS: ilmoitettu tuen päättymispäivä on 23. marraskuuta 2027. Tämä on lähteisiin perustuva ohje, ei itse tekemämme Windows-asennus- tai salaustekninen testi. Ei kumppanuuslinkkejä. [3][6]