Docs: add warning on SNI-dependent certfile expansion needing a good default
authorJeremy Harris <jgh146exb@wizmail.org>
Wed, 12 Oct 2016 12:40:19 +0000 (13:40 +0100)
committerJeremy Harris <jgh146exb@wizmail.org>
Wed, 12 Oct 2016 12:40:19 +0000 (13:40 +0100)
doc/doc-docbook/spec.xfpt

index 97df293..45d8457 100644 (file)
@@ -27537,8 +27537,13 @@ during TLS session handshake, to permit alternative values to be chosen:
 
 Great care should be taken to deal with matters of case, various injection
 attacks in the string (&`../`& or SQL), and ensuring that a valid filename
-can always be referenced; it is important to remember that &$tls_sni$& is
+can always be referenced; it is important to remember that &$tls_in_sni$& is
 arbitrary unverified data provided prior to authentication.
+.new
+Further, the initial cerificate is loaded before SNI is arrived, so
+an expansion for &%tls_certificate%& must have a default which is used
+when &$tls_in_sni$& is empty.
+.wen
 
 The Exim developers are proceeding cautiously and so far no other TLS options
 are re-expanded.