1
OpenSSL을 C++ 프로그래밍 언어로 사용하는 SSL/TLS 클라이언트 프로그램이 있습니다. SSL_get_peer_certificate 함수 호출에 의해 반환 된 서버 인증서 (X509)의 유효성을 검사하는 방법을 찾고 있습니다. 또한 SSL_CTX_load_verify_locations 기능을 사용하여로드 된 자체 CA 인증서가 있습니다. CA는 서버 인증서를 인증했습니다.SSL_get_peer_certificate에서 반환 한 서버 인증서의 유효성을 검사하는 클라이언트 프로그램은 무엇입니까?
내 서버에 SSL 세션을 만들 수 있습니다. 자, 내 자신의 CA를 사용하여 SSL 핸드 셰이크 중에받은 서버 인증서의 유효성을 검사하고 싶습니다. 나는 C 또는 C++로 그것을 할 수있는 방법을 찾을 수 없었다.
#include <iostream>
#include <string.h>
#include <unistd.h>
#include <sys/socket.h>
#include <resolv.h>
#include <netdb.h>
#include <netinet/in.h>
#include <arpa/inet.h>
#include <openssl/bio.h>
#include <openssl/ssl.h>
#include <openssl/err.h>
#include <openssl/pem.h>
#include <openssl/x509.h>
#include <openssl/x509_vfy.h>
#define DEFAULT_PORT_NUMBER 443
int create_socket(char *, uint16_t port_num);
int openSSL_client_init()
{
OpenSSL_add_all_algorithms();
ERR_load_BIO_strings();
ERR_load_crypto_strings();
SSL_load_error_strings();
if (SSL_library_init() < 0)
return -1;
return 0;
}
int openSSL_create_client_ctx(SSL_CTX **ctx)
{
const SSL_METHOD *method = SSLv23_client_method();
if ((*ctx = SSL_CTX_new(method)) == NULL)
return -1;
//SSL_CTX_set_options(*ctx, SSL_OP_NO_SSLv2);
return 0;
}
int main(int argc, char *argv[])
{
BIO *outbio = NULL;
X509 *cert;
X509_NAME *certname = NULL;
SSL_CTX *ctx;
SSL *ssl;
int server = 0;
int ret, i;
if (openSSL_client_init()) {
std :: cerr << "Could not initialize the OpenSSL library !" << std :: endl;
return -1;
}
outbio = BIO_new_fp(stdout, BIO_NOCLOSE);
if (openSSL_create_client_ctx(&ctx)) {
std :: cerr << "Unable to create a new SSL context structure." << std :: endl;
return -1;
}
std :: cout << "Adding Certifcate" << std :: endl;
if (SSL_CTX_load_verify_locations(ctx, "ca-cert.pem", NULL) <= 0) {
std :: cerr << "Unable to Load certificate" << std :: endl;
return -1;
}
ssl = SSL_new(ctx);
server = create_socket(argv[1], atoi(argv[2]));
if (server < 0) {
std :: cerr << "Error: Can't create TCP session" << std :: endl;
return -1;
}
std :: cout << "Successfully made the TCP connection to: " << argv[1] << " port: " << atoi(argv[2]) << std :: endl;
SSL_set_fd(ssl, server);
if (SSL_connect(ssl) != 1) {
std :: cerr << "Error: Could not build a SSL session to: " << argv[1] << std :: endl;
return -1;
}
std :: cout << "Successfully enabled SSL/TLS session to: " << argv[1] << std :: endl;
//SSL_SESSION *ss = SSL_get_session(ssl);
cert = SSL_get_peer_certificate(ssl);
if (cert == NULL) {
std :: cerr << "Error: Could not get a certificate from: " << argv[1] << std :: endl;
return -1;
}
certname = X509_NAME_new();
certname = X509_get_subject_name(cert);
std :: cout << "Displaying the certificate subject data:" << std :: endl;
X509_NAME_print_ex(outbio, certname, 0, 0);
std :: cout << std :: endl;
char msg[100000] = "GET/HTTP/1.1\r\nHOST: www.siliconbolt.com\r\n\r\n";
SSL_write(ssl, msg, strlen(msg));
SSL_read(ssl, msg, 100000);
std :: cout << "Message is " << msg << std :: endl;
SSL_free(ssl);
close(server);
X509_free(cert);
SSL_CTX_free(ctx);
std :: cout << "Finished SSL/TLS connection with server" << std :: endl;
return 0;
}
int create_socket(char *ip_cstr, uint16_t port_num)
{
int fd;
struct sockaddr_in dest_addr;
fd = socket(AF_INET, SOCK_STREAM, 0);
dest_addr.sin_family = AF_INET;
dest_addr.sin_port = htons(port_num);
dest_addr.sin_addr.s_addr = inet_addr(ip_cstr);
memset(&(dest_addr.sin_zero), '\0', 8);
if (connect(fd, (struct sockaddr *)&dest_addr, sizeof(struct sockaddr)) == -1)
return -1;
return fd;
}
OpenSSL 위키에서 [SSL/TLS 클라이언트] (http://wiki.openssl.org/index.php/SSL/TLS_Client)를 참조하십시오. 서버 인증서의 유효성을 확인하는 데 필요한 2 ~ 3 단계를 수행합니다. OpenSSL 1.1.0 이상을 사용하는 경우 두 단계를 거쳐야합니다. OpenSSL 1.0.2 이하인 경우 3 단계를 거쳐야합니다. OpenSSL 1.1.0에 대한 예는 아직 업데이트하지 않았습니다. – jww
아마도 C/C++ 언어가 없기 때문일 수 있습니다. 귀하의 코드는 C++가 아니라 C입니다. – Olaf
@Oalf - 그래서 저는 분명합니다 ... 당신은이 질문에 대한 답변이 C 및/또는 C++에서 없다고 말하고 있습니다. 그 맞습니까? – jww