]> git.ipfire.org Git - thirdparty/squid.git/commit
Never enable OPENSSL_HELLO_OVERWRITE_HACK automatically.
authorAlex Rousskov <rousskov@measurement-factory.com>
Fri, 20 May 2016 17:19:44 +0000 (11:19 -0600)
committerAlex Rousskov <rousskov@measurement-factory.com>
Fri, 20 May 2016 17:19:44 +0000 (11:19 -0600)
commit88a300cec83b0ba73fd55e15003530075ca186c3
tree0d28322c9a5d05d22ae02c1cc5de00fc7f84c163
parentb44de37908a4afdfe88d46b2f2530c05c3e8fbe5
Never enable OPENSSL_HELLO_OVERWRITE_HACK automatically.

OPENSSL_HELLO_OVERWRITE_HACK, a.k.a adjustSSL(), a.k.a. "splice after
stare and bump after peek" hack requires updating internal/private
OpenSSL structures. The hack also relies on SSL client making SSL
negotiation decisions that are similar to our OpenSSL version decisions.
Squid used to enable this hack if it could compile the sources, but:

* The hack works well in fewer and fewer cases.
* Making its behavior reliable is virtually impossible.
* Maintaining this hack is increasingly difficult, especially after
  OpenSSL has changed its internal structures in v1.1.
* The combination of other bugs (fixed in r14670) and TLS extensions in
  popular browsers effectively disabled this hack for a while, and
  nobody (that we know of) noticed.

This temporary change disables the hack even if it can be compiled. If
an admin is willing to take the risks, they may enable it manually by
setting SQUID_USE_OPENSSL_HELLO_OVERWRITE_HACK macro value to 1 during
the build.

If, after this experimental change, we get no complaints (that we can
address), the hack will be completely removed from Squid sources.
acinclude/lib-checks.m4