Door Bati: Het huidige lek is zodanig dat repareren niet gaat, Hoe rijm ik deze opmerking met het feit dat OpenSSL aangeeft hun implementatie wel van een patch te hebben voorzien? Voor zover ik hem snap is dat niet veel meer dan een applicatie, die dus tegen de nieuwe versie gecompileerd moet zijn, de mogelijkheid geven om de fallback naar SSLv3 uit te laten schakelen en geen generieke fix. Goede vraag! En dit zou best bij meer beheerders tot misverstanden kunnen leiden... In https://www.openssl.org/news/secadv_20141015.txt zie ik 4 patches: - de eerste twee hebben niets met SSLv3 te maken; - de vierde is een patch voor de build-option "no-ssl3", die in de vorige versie(s) van OpenSSL, indien gebruikt, een binary opleverde waarin SSLv3 kennelijk onvolledig was uitgeschakeld. De praktijk is echter dat bijv. Linux distributies met binaries worden uitgeleverd die deze optie niet gebruiken; de praktijk is dat je in configuratiefiles aangeeft of je SSLv3 wilt ondersteunen of juist niet. De derde patch heet ...