doc/man3/SSL_CONF_cmd.pod

   1 =pod
   2
   3 =head1 NAME
   4
   5 SSL_CONF_cmd_value_type, SSL_CONF_finish,
   6 SSL_CONF_cmd - send configuration command
   7
   8 =head1 SYNOPSIS
   9
  10  #include <openssl/ssl.h>
  11
  12  int SSL_CONF_cmd(SSL_CONF_CTX *cctx, const char *cmd, const char *value);
  13  int SSL_CONF_cmd_value_type(SSL_CONF_CTX *cctx, const char *cmd);
  14  int SSL_CONF_finish(SSL_CONF_CTX *cctx);
  15
  16 =head1 DESCRIPTION
  17
  18 The function SSL_CONF_cmd() performs configuration operation B<cmd> with
  19 optional parameter B<value> on B<ctx>. Its purpose is to simplify application
  20 configuration of B<SSL_CTX> or B<SSL> structures by providing a common
  21 framework for command line options or configuration files.
  22
  23 SSL_CONF_cmd_value_type() returns the type of value that B<cmd> refers to.
  24
  25 The function SSL_CONF_finish() must be called after all configuration
  26 operations have been completed. It is used to finalise any operations
  27 or to process defaults.
  28
  29 =head1 SUPPORTED COMMAND LINE COMMANDS
  30
  31 Currently supported B<cmd> names for command lines (i.e. when the
  32 flag B<SSL_CONF_CMDLINE> is set) are listed below. Note: all B<cmd> names
  33 are case sensitive. Unless otherwise stated commands can be used by
  34 both clients and servers and the B<value> parameter is not used. The default
  35 prefix for command line commands is B<-> and that is reflected below.
  36
  37 =over 4
  38
  39 =item B<-sigalgs>
  40
  41 This sets the supported signature algorithms for TLS v1.2. For clients this
  42 value is used directly for the supported signature algorithms extension. For
  43 servers it is used to determine which signature algorithms to support.
  44
  45 The B<value> argument should be a colon separated list of signature algorithms
  46 in order of decreasing preference of the form B<algorithm+hash>. B<algorithm>
  47 is one of B<RSA>, B<DSA> or B<ECDSA> and B<hash> is a supported algorithm
  48 OID short name such as B<SHA1>, B<SHA224>, B<SHA256>, B<SHA384> of B<SHA512>.
  49 Note: algorithm and hash names are case sensitive.
  50
  51 If this option is not set then all signature algorithms supported by the
  52 OpenSSL library are permissible.
  53
  54 =item B<-client_sigalgs>
  55
  56 This sets the supported signature algorithms associated with client
  57 authentication for TLS v1.2. For servers the value is used in the supported
  58 signature algorithms field of a certificate request. For clients it is
  59 used to determine which signature algorithm to with the client certificate.
  60 If a server does not request a certificate this option has no effect.
  61
  62 The syntax of B<value> is identical to B<-sigalgs>. If not set then
  63 the value set for B<-sigalgs> will be used instead.
  64
  65 =item B<-groups>
  66
  67 This sets the supported groups. For clients, the groups are
  68 sent using the supported groups extension. For servers, it is used
  69 to determine which group to use. This setting affects groups used for both
  70 signatures and key exchange, if applicable. It also affects the preferred
  71 key_share sent by a client in a TLSv1.3 compatible connection.
  72
  73 The B<value> argument is a colon separated list of groups. The group can be
  74 either the B<NIST> name (e.g. B<P-256>), some other commonly used name where
  75 applicable (e.g. B<X25519>) or an OpenSSL OID name (e.g B<prime256v1>). Group
  76 names are case sensitive. The list should be in order of preference with the
  77 most preferred group first. The first listed group will be the one used for a
  78 key_share by a TLSv1.3 client.
  79
  80 =item B<-curves>
  81
  82 This is a synonym for the "-groups" command.
  83
  84
  85 =item B<-named_curve>
  86
  87 This sets the temporary curve used for ephemeral ECDH modes. Only used by
  88 servers
  89
  90 The B<value> argument is a curve name or the special value B<auto> which
  91 picks an appropriate curve based on client and server preferences. The curve
  92 can be either the B<NIST> name (e.g. B<P-256>) or an OpenSSL OID name
  93 (e.g B<prime256v1>). Curve names are case sensitive.
  94
  95 =item B<-cipher>
  96
  97 Sets the cipher suite list to B<value>. Note: syntax checking of B<value> is
  98 currently not performed unless a B<SSL> or B<SSL_CTX> structure is
  99 associated with B<cctx>.
 100
 101 =item B<-cert>
 102
 103 Attempts to use the file B<value> as the certificate for the appropriate
 104 context. It currently uses SSL_CTX_use_certificate_chain_file() if an B<SSL_CTX>
 105 structure is set or SSL_use_certificate_file() with filetype PEM if an B<SSL>
 106 structure is set. This option is only supported if certificate operations
 107 are permitted.
 108
 109 =item B<-key>
 110
 111 Attempts to use the file B<value> as the private key for the appropriate
 112 context. This option is only supported if certificate operations
 113 are permitted. Note: if no B<-key> option is set then a private key is
 114 not loaded unless the flag B<SSL_CONF_FLAG_REQUIRE_PRIVATE> is set.
 115
 116 =item B<-dhparam>
 117
 118 Attempts to use the file B<value> as the set of temporary DH parameters for
 119 the appropriate context. This option is only supported if certificate
 120 operations are permitted.
 121
 122 =item B<-record_padding>
 123
 124 Attempts to pad TLS 1.3 records so that they are a multiple of B<value> in
 125 length on send. A B<value> of 0 or 1 turns off padding. Otherwise, the
 126 B<value> must be >1 or <=16384.
 127
 128 =item B<-min_protocol>, B<-max_protocol>
 129
 130 Sets the minimum and maximum supported protocol.
 131 Currently supported protocol values are B<SSLv3>, B<TLSv1>,
 132 B<TLSv1.1>, B<TLSv1.2> for TLS and B<DTLSv1>, B<DTLSv1.2> for DTLS,
 133 and B<None> for no limit.
 134 If the either bound is not specified then only the other bound applies,
 135 if specified.
 136 To restrict the supported protocol versions use these commands rather
 137 than the deprecated alternative commands below.
 138
 139 =item B<-no_ssl3>, B<-no_tls1>, B<-no_tls1_1>, B<-no_tls1_2>, B<-no_tls1_3>
 140
 141 Disables protocol support for SSLv3, TLSv1.0, TLSv1.1, TLSv1.2 or TLSv1.3 by
 142 setting the corresponding options B<SSL_OP_NO_SSLv3>, B<SSL_OP_NO_TLSv1>,
 143 B<SSL_OP_NO_TLSv1_1>, B<SSL_OP_NO_TLSv1_2> and B<SSL_OP_NO_TLSv1_3>
 144 respectively. These options are deprecated, instead use B<-min_protocol> and
 145 B<-max_protocol>.
 146
 147 =item B<-bugs>
 148
 149 Various bug workarounds are set, same as setting B<SSL_OP_ALL>.
 150
 151 =item B<-comp>
 152
 153 Enables support for SSL/TLS compression, same as clearing
 154 B<SSL_OP_NO_COMPRESSION>.
 155 This command was introduced in OpenSSL 1.1.0.
 156 As of OpenSSL 1.1.0, compression is off by default.
 157
 158 =item B<-no_comp>
 159
 160 Disables support for SSL/TLS compression, same as setting
 161 B<SSL_OP_NO_COMPRESSION>.
 162 As of OpenSSL 1.1.0, compression is off by default.
 163
 164 =item B<-no_ticket>
 165
 166 Disables support for session tickets, same as setting B<SSL_OP_NO_TICKET>.
 167
 168 =item B<-serverpref>
 169
 170 Use server and not client preference order when determining which cipher suite,
 171 signature algorithm or elliptic curve to use for an incoming connection.
 172 Equivalent to B<SSL_OP_CIPHER_SERVER_PREFERENCE>. Only used by servers.
 173
 174 =item B<-no_resumption_on_reneg>
 175
 176 set SSL_OP_NO_SESSION_RESUMPTION_ON_RENEGOTIATION flag. Only used by servers.
 177
 178 =item B<-legacyrenegotiation>
 179
 180 permits the use of unsafe legacy renegotiation. Equivalent to setting
 181 B<SSL_OP_ALLOW_UNSAFE_LEGACY_RENEGOTIATION>.
 182
 183 =item B<-legacy_server_connect>, B<-no_legacy_server_connect>
 184
 185 permits or prohibits the use of unsafe legacy renegotiation for OpenSSL
 186 clients only. Equivalent to setting or clearing B<SSL_OP_LEGACY_SERVER_CONNECT>.
 187 Set by default.
 188
 189 =item B<-strict>
 190
 191 enables strict mode protocol handling. Equivalent to setting
 192 B<SSL_CERT_FLAG_TLS_STRICT>.
 193
 194 =back
 195
 196 =head1 SUPPORTED CONFIGURATION FILE COMMANDS
 197
 198 Currently supported B<cmd> names for configuration files (i.e. when the
 199 flag B<SSL_CONF_FLAG_FILE> is set) are listed below. All configuration file
 200 B<cmd> names are case insensitive so B<signaturealgorithms> is recognised
 201 as well as B<SignatureAlgorithms>. Unless otherwise stated the B<value> names
 202 are also case insensitive.
 203
 204 Note: the command prefix (if set) alters the recognised B<cmd> values.
 205
 206 =over 4
 207
 208 =item B<CipherString>
 209
 210 Sets the cipher suite list to B<value>. Note: syntax checking of B<value> is
 211 currently not performed unless an B<SSL> or B<SSL_CTX> structure is
 212 associated with B<cctx>.
 213
 214 =item B<Certificate>
 215
 216 Attempts to use the file B<value> as the certificate for the appropriate
 217 context. It currently uses SSL_CTX_use_certificate_chain_file() if an B<SSL_CTX>
 218 structure is set or SSL_use_certificate_file() with filetype PEM if an B<SSL>
 219 structure is set. This option is only supported if certificate operations
 220 are permitted.
 221
 222 =item B<PrivateKey>
 223
 224 Attempts to use the file B<value> as the private key for the appropriate
 225 context. This option is only supported if certificate operations
 226 are permitted. Note: if no B<PrivateKey> option is set then a private key is
 227 not loaded unless the B<SSL_CONF_FLAG_REQUIRE_PRIVATE> is set.
 228
 229 =item B<ChainCAFile>, B<ChainCAPath>, B<VerifyCAFile>, B<VerifyCAPath>
 230
 231 These options indicate a file or directory used for building certificate
 232 chains or verifying certificate chains. These options are only supported
 233 if certificate operations are permitted.
 234
 235 =item B<RequestCAFile>
 236
 237 This option indicates a file containing a set of certificates in PEM form.
 238 The subject names of the certificates are sent to the peer in the
 239 B<certificate_authorities> extension for TLS 1.3 (in ClientHello or
 240 CertificateRequest) or in a certificate request for previous versions or
 241 TLS.
 242
 243 =item B<ServerInfoFile>
 244
 245 Attempts to use the file B<value> in the "serverinfo" extension using the
 246 function SSL_CTX_use_serverinfo_file.
 247
 248 =item B<DHParameters>
 249
 250 Attempts to use the file B<value> as the set of temporary DH parameters for
 251 the appropriate context. This option is only supported if certificate
 252 operations are permitted.
 253
 254 =item B<RecordPadding>
 255
 256 Attempts to pad TLS 1.3 records so that they are a multiple of B<value> in
 257 length on send. A B<value> of 0 or 1 turns off padding. Otherwise, the
 258 B<value> must be >1 or <=16384.
 259
 260 =item B<SignatureAlgorithms>
 261
 262 This sets the supported signature algorithms for TLS v1.2. For clients this
 263 value is used directly for the supported signature algorithms extension. For
 264 servers it is used to determine which signature algorithms to support.
 265
 266 The B<value> argument should be a colon separated list of signature algorithms
 267 in order of decreasing preference of the form B<algorithm+hash>. B<algorithm>
 268 is one of B<RSA>, B<DSA> or B<ECDSA> and B<hash> is a supported algorithm
 269 OID short name such as B<SHA1>, B<SHA224>, B<SHA256>, B<SHA384> of B<SHA512>.
 270 Note: algorithm and hash names are case sensitive.
 271
 272 If this option is not set then all signature algorithms supported by the
 273 OpenSSL library are permissible.
 274
 275 =item B<ClientSignatureAlgorithms>
 276
 277 This sets the supported signature algorithms associated with client
 278 authentication for TLS v1.2. For servers the value is used in the supported
 279 signature algorithms field of a certificate request. For clients it is
 280 used to determine which signature algorithm to with the client certificate.
 281
 282 The syntax of B<value> is identical to B<SignatureAlgorithms>. If not set then
 283 the value set for B<SignatureAlgorithms> will be used instead.
 284
 285 =item B<Groups>
 286
 287 This sets the supported groups. For clients, the groups are
 288 sent using the supported groups extension. For servers, it is used
 289 to determine which group to use. This setting affects groups used for both
 290 signatures and key exchange, if applicable. It also affects the preferred
 291 key_share sent by a client in a TLSv1.3 compatible connection.
 292
 293 The B<value> argument is a colon separated list of groups. The group can be
 294 either the B<NIST> name (e.g. B<P-256>), some other commonly used name where
 295 applicable (e.g. B<X25519>) or an OpenSSL OID name (e.g B<prime256v1>). Group
 296 names are case sensitive. The list should be in order of preference with the
 297 most preferred group first. The first listed group will be the one used for a
 298 key_share by a TLSv1.3 client.
 299
 300 =item B<Curves>
 301
 302 This is a synonym for the "Groups" command.
 303
 304 =item B<MinProtocol>
 305
 306 This sets the minimum supported SSL, TLS or DTLS version.
 307
 308 Currently supported protocol values are B<SSLv3>, B<TLSv1>, B<TLSv1.1>,
 309 B<TLSv1.2>, B<DTLSv1> and B<DTLSv1.2>.
 310 The value B<None> will disable the limit.
 311
 312 =item B<MaxProtocol>
 313
 314 This sets the maximum supported SSL, TLS or DTLS version.
 315
 316 Currently supported protocol values are B<SSLv3>, B<TLSv1>, B<TLSv1.1>,
 317 B<TLSv1.2>, B<DTLSv1> and B<DTLSv1.2>.
 318 The value B<None> will disable the limit.
 319
 320 =item B<Protocol>
 321
 322 This can be used to enable or disable certain versions of the SSL,
 323 TLS or DTLS protocol.
 324
 325 The B<value> argument is a comma separated list of supported protocols
 326 to enable or disable.
 327 If a protocol is preceded by B<-> that version is disabled.
 328
 329 All protocol versions are enabled by default.
 330 You need to disable at least one protocol version for this setting have any
 331 effect.
 332 Only enabling some protocol versions does not disable the other protocol
 333 versions.
 334
 335 Currently supported protocol values are B<SSLv3>, B<TLSv1>, B<TLSv1.1>,
 336 B<TLSv1.2>, B<DTLSv1> and B<DTLSv1.2>.
 337 The special value B<ALL> refers to all supported versions.
 338
 339 This can't enable protocols that are disabled using B<MinProtocol>
 340 or B<MaxProtocol>, but can disable protocols that are still allowed
 341 by them.
 342
 343 The B<Protocol> command is fragile and deprecated; do not use it.
 344 Use B<MinProtocol> and B<MaxProtocol> instead.
 345 If you do use B<Protocol>, make sure that the resulting range of enabled
 346 protocols has no "holes", e.g. if TLS 1.0 and TLS 1.2 are both enabled, make
 347 sure to also leave TLS 1.1 enabled.
 348
 349 =item B<Options>
 350
 351 The B<value> argument is a comma separated list of various flags to set.
 352 If a flag string is preceded B<-> it is disabled.
 353 See the L<SSL_CTX_set_options(3)> function for more details of
 354 individual options.
 355
 356 Each option is listed below. Where an operation is enabled by default
 357 the B<-flag> syntax is needed to disable it.
 358
 359 B<SessionTicket>: session ticket support, enabled by default. Inverse of
 360 B<SSL_OP_NO_TICKET>: that is B<-SessionTicket> is the same as setting
 361 B<SSL_OP_NO_TICKET>.
 362
 363 B<Compression>: SSL/TLS compression support, enabled by default. Inverse
 364 of B<SSL_OP_NO_COMPRESSION>.
 365
 366 B<EmptyFragments>: use empty fragments as a countermeasure against a
 367 SSL 3.0/TLS 1.0 protocol vulnerability affecting CBC ciphers. It
 368 is set by default. Inverse of B<SSL_OP_DONT_INSERT_EMPTY_FRAGMENTS>.
 369
 370 B<Bugs>: enable various bug workarounds. Same as B<SSL_OP_ALL>.
 371
 372 B<DHSingle>: enable single use DH keys, set by default. Inverse of
 373 B<SSL_OP_DH_SINGLE>. Only used by servers.
 374
 375 B<ECDHSingle> enable single use ECDH keys, set by default. Inverse of
 376 B<SSL_OP_ECDH_SINGLE>. Only used by servers.
 377
 378 B<ServerPreference> use server and not client preference order when
 379 determining which cipher suite, signature algorithm or elliptic curve
 380 to use for an incoming connection.  Equivalent to
 381 B<SSL_OP_CIPHER_SERVER_PREFERENCE>. Only used by servers.
 382
 383 B<NoResumptionOnRenegotiation> set
 384 B<SSL_OP_NO_SESSION_RESUMPTION_ON_RENEGOTIATION> flag. Only used by servers.
 385
 386 B<UnsafeLegacyRenegotiation> permits the use of unsafe legacy renegotiation.
 387 Equivalent to B<SSL_OP_ALLOW_UNSAFE_LEGACY_RENEGOTIATION>.
 388
 389 B<UnsafeLegacyServerConnect> permits the use of unsafe legacy renegotiation
 390 for OpenSSL clients only. Equivalent to B<SSL_OP_LEGACY_SERVER_CONNECT>.
 391 Set by default.
 392
 393 B<EncryptThenMac>: use encrypt-then-mac extension, enabled by
 394 default. Inverse of B<SSL_OP_NO_ENCRYPT_THEN_MAC>: that is,
 395 B<-EncryptThenMac> is the same as setting B<SSL_OP_NO_ENCRYPT_THEN_MAC>.
 396
 397 =item B<VerifyMode>
 398
 399 The B<value> argument is a comma separated list of flags to set.
 400
 401 B<Peer> enables peer verification: for clients only.
 402
 403 B<Request> requests but does not require a certificate from the client.
 404 Servers only.
 405
 406 B<Require> requests and requires a certificate from the client: an error
 407 occurs if the client does not present a certificate. Servers only.
 408
 409 B<Once> requests a certificate from a client only on the initial connection:
 410 not when renegotiating. Servers only.
 411
 412 =item B<ClientCAFile>, B<ClientCAPath>
 413
 414 A file or directory of certificates in PEM format whose names are used as the
 415 set of acceptable names for client CAs. Servers only. This option is only
 416 supported if certificate operations are permitted.
 417
 418 =back
 419
 420 =head1 SUPPORTED COMMAND TYPES
 421
 422 The function SSL_CONF_cmd_value_type() currently returns one of the following
 423 types:
 424
 425 =over 4
 426
 427 =item B<SSL_CONF_TYPE_UNKNOWN>
 428
 429 The B<cmd> string is unrecognised, this return value can be use to flag
 430 syntax errors.
 431
 432 =item B<SSL_CONF_TYPE_STRING>
 433
 434 The value is a string without any specific structure.
 435
 436 =item B<SSL_CONF_TYPE_FILE>
 437
 438 The value is a file name.
 439
 440 =item B<SSL_CONF_TYPE_DIR>
 441
 442 The value is a directory name.
 443
 444 =item B<SSL_CONF_TYPE_NONE>
 445
 446 The value string is not used e.g. a command line option which doesn't take an
 447 argument.
 448
 449 =back
 450
 451 =head1 NOTES
 452
 453 The order of operations is significant. This can be used to set either defaults
 454 or values which cannot be overridden. For example if an application calls:
 455
 456  SSL_CONF_cmd(ctx, "Protocol", "-SSLv3");
 457  SSL_CONF_cmd(ctx, userparam, uservalue);
 458
 459 it will disable SSLv3 support by default but the user can override it. If
 460 however the call sequence is:
 461
 462  SSL_CONF_cmd(ctx, userparam, uservalue);
 463  SSL_CONF_cmd(ctx, "Protocol", "-SSLv3");
 464
 465 SSLv3 is B<always> disabled and attempt to override this by the user are
 466 ignored.
 467
 468 By checking the return code of SSL_CONF_cmd() it is possible to query if a
 469 given B<cmd> is recognised, this is useful is SSL_CONF_cmd() values are
 470 mixed with additional application specific operations.
 471
 472 For example an application might call SSL_CONF_cmd() and if it returns
 473 -2 (unrecognised command) continue with processing of application specific
 474 commands.
 475
 476 Applications can also use SSL_CONF_cmd() to process command lines though the
 477 utility function SSL_CONF_cmd_argv() is normally used instead. One way
 478 to do this is to set the prefix to an appropriate value using
 479 SSL_CONF_CTX_set1_prefix(), pass the current argument to B<cmd> and the
 480 following argument to B<value> (which may be NULL).
 481
 482 In this case if the return value is positive then it is used to skip that
 483 number of arguments as they have been processed by SSL_CONF_cmd(). If -2 is
 484 returned then B<cmd> is not recognised and application specific arguments
 485 can be checked instead. If -3 is returned a required argument is missing
 486 and an error is indicated. If 0 is returned some other error occurred and
 487 this can be reported back to the user.
 488
 489 The function SSL_CONF_cmd_value_type() can be used by applications to
 490 check for the existence of a command or to perform additional syntax
 491 checking or translation of the command value. For example if the return
 492 value is B<SSL_CONF_TYPE_FILE> an application could translate a relative
 493 pathname to an absolute pathname.
 494
 495 =head1 EXAMPLES
 496
 497 Set supported signature algorithms:
 498
 499  SSL_CONF_cmd(ctx, "SignatureAlgorithms", "ECDSA+SHA256:RSA+SHA256:DSA+SHA256");
 500
 501 There are various ways to select the supported protocols.
 502
 503 This set the minimum protocol version to TLSv1, and so disables SSLv3.
 504 This is the recommended way to disable protocols.
 505
 506  SSL_CONF_cmd(ctx, "MinProtocol", "TLSv1");
 507
 508 The following also disables SSLv3:
 509
 510  SSL_CONF_cmd(ctx, "Protocol", "-SSLv3");
 511
 512 The following will first enable all protocols, and then disable
 513 SSLv3.
 514 If no protocol versions were disabled before this has the same effect as
 515 "-SSLv3", but if some versions were disables this will re-enable them before
 516 disabling SSLv3.
 517
 518  SSL_CONF_cmd(ctx, "Protocol", "ALL,-SSLv3");
 519
 520 Only enable TLSv1.2:
 521
 522  SSL_CONF_cmd(ctx, "MinProtocol", "TLSv1.2");
 523  SSL_CONF_cmd(ctx, "MaxProtocol", "TLSv1.2");
 524
 525 This also only enables TLSv1.2:
 526
 527  SSL_CONF_cmd(ctx, "Protocol", "-ALL,TLSv1.2");
 528
 529 Disable TLS session tickets:
 530
 531  SSL_CONF_cmd(ctx, "Options", "-SessionTicket");
 532
 533 Enable compression:
 534
 535  SSL_CONF_cmd(ctx, "Options", "Compression");
 536
 537 Set supported curves to P-256, P-384:
 538
 539  SSL_CONF_cmd(ctx, "Curves", "P-256:P-384");
 540
 541 Set automatic support for any elliptic curve for key exchange:
 542
 543  SSL_CONF_cmd(ctx, "ECDHParameters", "Automatic");
 544
 545 =head1 RETURN VALUES
 546
 547 SSL_CONF_cmd() returns 1 if the value of B<cmd> is recognised and B<value> is
 548 B<NOT> used and 2 if both B<cmd> and B<value> are used. In other words it
 549 returns the number of arguments processed. This is useful when processing
 550 command lines.
 551
 552 A return value of -2 means B<cmd> is not recognised.
 553
 554 A return value of -3 means B<cmd> is recognised and the command requires a
 555 value but B<value> is NULL.
 556
 557 A return code of 0 indicates that both B<cmd> and B<value> are valid but an
 558 error occurred attempting to perform the operation: for example due to an
 559 error in the syntax of B<value> in this case the error queue may provide
 560 additional information.
 561
 562 SSL_CONF_finish() returns 1 for success and 0 for failure.
 563
 564 =head1 SEE ALSO
 565
 566 L<SSL_CONF_CTX_new(3)>,
 567 L<SSL_CONF_CTX_set_flags(3)>,
 568 L<SSL_CONF_CTX_set1_prefix(3)>,
 569 L<SSL_CONF_CTX_set_ssl_ctx(3)>,
 570 L<SSL_CONF_cmd_argv(3)>,
 571 L<SSL_CTX_set_options(3)>
 572
 573 =head1 HISTORY
 574
 575 SSL_CONF_cmd() was first added to OpenSSL 1.0.2
 576
 577 B<SSL_OP_NO_SSL2> doesn't have effect since 1.1.0, but the macro is retained
 578 for backwards compatibility.
 579
 580 B<SSL_CONF_TYPE_NONE> was first added to OpenSSL 1.1.0. In earlier versions of
 581 OpenSSL passing a command which didn't take an argument would return
 582 B<SSL_CONF_TYPE_UNKNOWN>.
 583
 584 B<MinProtocol> and B<MaxProtocol> where added in OpenSSL 1.1.0.
 585
 586 =head1 COPYRIGHT
 587
 588 Copyright 2012-2016 The OpenSSL Project Authors. All Rights Reserved.
 589
 590 Licensed under the OpenSSL license (the "License").  You may not use
 591 this file except in compliance with the License.  You can obtain a copy
 592 in the file LICENSE in the source distribution or at
 593 L<https://www.openssl.org/source/license.html>.
 594
 595 =cut