<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN" "http://www.w3.org/TR/REC-html40/loose.dtd">

<html lang="en">

<head>

<meta content="text/html; charset=US-ASCII" http-equiv="Content-Type">

<title>

GitLab

</title>

<style>img {

max-width: 100%; height: auto;

}

</style>

</head>

<body>

<div class="content">

<p style="color: #777777;">

<a href="https://gitlab.com/nmav">Nikos Mavrogiannopoulos</a>

commented:

</p>

<div style="">

<p dir="auto">I'm wondering whether this will make settings more complicated. So with this the intention is to introduce a "soft" disable, which it can later be re-enabled using configuration. The approach we took before was that whatever is disabled explicitly in release it cannot be re-enabled. The reason is to avoid someone overriding the software distributor's expectations in terms of minimum security. That is, the system ships with a minimum bar, and applications or admins can go higher with more strict config. It is documented as:</p>

<pre class="code highlight js-syntax-highlight plaintext" lang="plaintext" v-pre="true"><code><span id="LC1" class="line" lang="plaintext">It intentionally does not allow switching algorithms or protocols</span>

<span id="LC2" class="line" lang="plaintext">which were disabled or marked as insecure during compile time to the secure</span>

<span id="LC3" class="line" lang="plaintext">set. This is to prevent the feature from being used to attack the system.</span></code></pre>

<p dir="auto">What you are suggesting is to not have a minimum bar but instead bar which can go either ways on run-time. This eliminates the intended use, but more than that I think that makes things quite more complicated. I understand from the ML communication is that you prefer not to use configuration files in the default case (e.g., to disable tls1.1 and tls1.0, but could you share more background why is that? It could be that the model we selected is flawed, and there can be a better way to do it, but I would like to understand why introduce additional complexity when we can handle the issue with a configuration file.</p>

</div>

</div>

<div class="footer" style="margin-top: 10px;">

<p style="font-size: small; color: #777;">

—

<br>

Reply to this email directly or <a href="https://gitlab.com/gnutls/gnutls/merge_requests/1157#note_268070486">view it on GitLab</a>.

<br>

You're receiving this email because of your account on gitlab.com.

If you'd like to receive fewer emails, you can

<a href="https://gitlab.com/sent_notifications/71586ec0f656fe0a6cfcef32e7b7658d/unsubscribe">unsubscribe</a>

from this thread or

adjust your notification settings.

<script type="application/ld+json">{"@context":"http://schema.org","@type":"EmailMessage","action":{"@type":"ViewAction","name":"View Merge request","url":"https://gitlab.com/gnutls/gnutls/merge_requests/1157#note_268070486"}}</script>

</p>

</div>

</body>

</html>