]> git.ipfire.org Git - thirdparty/haproxy.git/commit
MINOR: ssl: Use DH parameters defined in RFC7919 instead of hard coded ones
authorRemi Tricot-Le Breton <rlebreton@haproxy.com>
Tue, 12 Apr 2022 09:31:54 +0000 (11:31 +0200)
committerWilliam Lallemand <wlallemand@haproxy.org>
Wed, 20 Apr 2022 15:30:52 +0000 (17:30 +0200)
commit528b3fd9bef74a408ae42fc2bd03c02ed3b45b52
treeaf5f7cb55e096bfccbb679038eb75efce599b052
parent43041aaefd5d42092021161539c861894fbcfdc1
MINOR: ssl: Use DH parameters defined in RFC7919 instead of hard coded ones

RFC7919 defined sets of DH parameters supposedly strong enough to be
used safely. We will then use them when we can instead of our hard coded
ones (namely the ffdhe2048 and ffdhe4096 named groups).
The ffdhe2048 and ffdhe4096 named groups were integrated in OpenSSL
starting with version 1.1.1. Instead of duplicating those parameters in
haproxy for older versions of OpenSSL, we will keep using our own
parameters when they are not provided by the SSL library.
We will also need to keep our 1024 bits DH parameters since they are
considered not safe enough to have a dedicated named group in RFC7919
but we must still keep it for retrocompatibility with old Java clients.

This request was described in GitHub issue #1604.
src/ssl_sock.c