<div dir="ltr">You could build OpenSSL yourself and link statically link Erlang with it, would that work also maybe?</div><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Sep 14, 2016 at 9:08 AM, Andreas Schultz <span dir="ltr"><<a href="mailto:aschultz@tpip.net" target="_blank">aschultz@tpip.net</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Hi Oliver,<br>
<br>
You could try the attached patch. This just disables the rc4 support,<br>
for a pull request, some adjustments to the test suite might be<br>
required as well.<br>
<br>
I don't have a OpenSSL without RC4, so this is purely guesswork!<br>
<br>
Andreas<br>
<br>
----- Original Message -----<br>
> From: "Oliver Korpilla" <<a href="mailto:Oliver.Korpilla@gmx.de">Oliver.Korpilla@gmx.de</a>><br>
> To: "Alexander Færøy" <<a href="mailto:ahf@0x90.dk">ahf@0x90.dk</a>><br>
> Cc: "erlang-questions" <<a href="mailto:erlang-questions@erlang.org">erlang-questions@erlang.org</a>><br>
> Sent: Tuesday, September 13, 2016 11:03:03 PM<br>
> Subject: Re: [erlang-questions] Compiling Erlang without RC4?<br>
<br>
> Hello, Alexander.<br>
><br>
> You misunderstand... I'm not concerned at all. The Linux distribution I have to<br>
> work with removed the rc4.h header and without it I can not compile the Erlang<br>
> runtime environment (and not deploy my application).<br>
><br>
> I did a cursory look but it is as you say - I found no guards and there were<br>
> plenty of references towards definitions from that header, so I was a bit out<br>
> on a limb to ask if anything knew a trick to compile the Erlang runtime without<br>
> this header...<br>
><br>
> Thanks,<br>
> Oliver<br>
> <br>
> <br>
><br>
> Gesendet: Dienstag, 13. September 2016 um 20:42 Uhr<br>
> Von: "Alexander Færøy" <<a href="mailto:ahf@0x90.dk">ahf@0x90.dk</a>><br>
> An: erlang-questions <<a href="mailto:erlang-questions@erlang.org">erlang-questions@erlang.org</a>><br>
> Betreff: Re: [erlang-questions] Compiling Erlang without RC4?<br>
> On 13 September 2016 at 17:16, Oliver Korpilla <<a href="mailto:Oliver.Korpilla@gmx.de">Oliver.Korpilla@gmx.de</a>> wrote:<br>
>> We currently have to work with a system where somebody thought removing rc4.h<br>
>> would solve the security issues involved with this weak algorithm...<br>
>><br>
>> Is there any way to build Erlang without RC4 (but still with crypto<br>
>> functionality)?<br>
><br>
> It doesn't look like the RC4 functionality is hidden behind a guard in<br>
> the C source code, but I don't think you should be overly worried<br>
> about using an Erlang release that contains RC4 support.<br>
><br>
> If you take a look at the ciphers that the SSL application will use by<br>
> default, you will see that there's no RC4 ciphers included (at least<br>
> not in my OTP-18 installation locally):<br>
><br>
> lists:foreach(fun (Suite) -> io:format("~p~n", [Suite]) end,<br>
> ssl:cipher_suites()).<br>
><br>
> You could consider filtering out the 3DES ciphers that are enabled by<br>
> default though[1] using the {ciphers, [...]} option for SSL<br>
> connections.<br>
><br>
> Cheers,<br>
> Alex.<br>
><br>
> [1]: <a href="https://sweet32.info" rel="noreferrer" target="_blank">https://sweet32.info</a><br>
><br>
<span class="HOEnZb"><font color="#888888">><br>
> --<br>
> Alexander Færøy<br>
> ______________________________<wbr>_________________<br>
> erlang-questions mailing list<br>
> <a href="mailto:erlang-questions@erlang.org">erlang-questions@erlang.org</a><br>
> <a href="http://erlang.org/mailman/listinfo/erlang-questions[http://erlang.org/mailman/listinfo/erlang-questions]" rel="noreferrer" target="_blank">http://erlang.org/mailman/<wbr>listinfo/erlang-questions[<wbr>http://erlang.org/mailman/<wbr>listinfo/erlang-questions]</a><br>
> ______________________________<wbr>_________________<br>
> erlang-questions mailing list<br>
> <a href="mailto:erlang-questions@erlang.org">erlang-questions@erlang.org</a><br>
> <a href="http://erlang.org/mailman/listinfo/erlang-questions" rel="noreferrer" target="_blank">http://erlang.org/mailman/<wbr>listinfo/erlang-questions</a><br>
</font></span><br>______________________________<wbr>_________________<br>
erlang-questions mailing list<br>
<a href="mailto:erlang-questions@erlang.org">erlang-questions@erlang.org</a><br>
<a href="http://erlang.org/mailman/listinfo/erlang-questions" rel="noreferrer" target="_blank">http://erlang.org/mailman/<wbr>listinfo/erlang-questions</a><br>
<br></blockquote></div><br><br clear="all"><div><br></div>-- <br><div class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr">PGP fingerprint: F708 E141 AE8D 2D38 E1BC  DF3D 1719 3EA0 647D 7260</div></div>
</div>