Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

6.2 SSL-Grundlagen 319
SSL-Upgrade im Anwendungsprotokoll
Aus diesem Grund ist man später dazu übergegangen, die Anwendungsprotokolle
dahingehend zu erweitern, daß sie eine ungesicherte Netzwerkverbindung
zu einer gesicherten Verbindung hochstufen können. Die Anwendungsprotokolle
werden dazu in der Regel um einen STARTTLS genannten Befehl ergänzt,
mit dem ein Client ein sogenanntes SSL-Upgrade beantragen kann. 14 Auf diese
Weise wird die Absicherung der Netzwerkverbindung in das bestehende
Protokoll integriert und die Zuweisung eines separaten Ports kann entfallen.
Um dieses Verfahren zu verstehen, besprechen wir anhand eines Beispiels das
in RFC 3207 [Hof02] beschriebene SSL-Upgrade für das Simple Mail Transfer
Protocol (SMTP). Das Anwendungsprotokoll startet zunächst mit der uns
bereits geläufigen Begrüßung zwischen Client und Server: 15
Nachdem sich der Server gemeldet hat, schickt der Mailclient seinen EHLO-
Gruß an den Server. Der Mailserver reagiert darauf mit einer Liste der von
ihm unterstützten Serviceerweiterungen (hier SIZE, PIPELINING, STARTTLS
und HELP). Der Client weiß nun u. a., daß der Server ein SSL-Upgrade über
das STARTTLS-Kommando unterstützt und macht als nächstes freudig davon
Gebrauch. In einer letzten unverschlüsselten Nachricht teilt der Server daraufhin
mit, daß er dem Wunsch des Clients nach einer SSL-gesicherten Netzwerkverbindung
stattgibt (220 TLS go ahead) und fordert den Client gleichzeitig
auf, sofort den Aufbau der SSL-Verbindung zu initiieren. Danach beginnen
beide Parteien über die bestehende TCP-Verbindung mit dem Aushandeln
einer neuen SSL-Verbindung.
220 manhattan ESMTP Exim 4.30 Tue, 14 Mar 2006 23:01:09 +0100
EHLO indien
250-manhattan Hello indien [192.168.1.1]
250-SIZE 52428800
250-PIPELINING
250-STARTTLS
250 HELP
STARTTLS
220 TLS go ahead
EHLO indien
14 Die Namenswahl für den STARTTLS-Befehl bedeutet übrigens nicht, daß es sich bei
der gewünschten Verbindung im engeren Sinne um eine TLS-Verbindung handeln
muß, sondern veranlaßt nur das wahlweise Aushandeln einer SSLv2-, SSLv3 oder
TLS-Verbindung. Welche Protokollversionen dann tatsächlich zur Verfügung stehen,
wird von der jeweiligen Client-/Server-Implementierung bestimmt.
15 Alle Zeilen, die mit drei Ziffern beginnen, sind Ausgaben des Mailservers, die
dieser an den Mailclient übermittelt. Die restlichen Zeilen zeigen die Mail-
Kommandos des Clients an den Server.