Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

6.3 OpenSSL-Basisfunktionalität 323
Die Zertifizierungshierarchie wird dabei von unten (depth=0) nach oben
(depth=1) gelesen.
Sofern das vom Server präsentierte Zertifikat vom openssl-Kommando erfolgreich
verifiziert werden konnte, steht fest, daß dieses Zertifikat von der
mit -CAfile angegebenen und damit vertrauten Zertifizierungsstelle ausgestellt
wurde und daß der Server gleichzeitig im Besitz des zugehörigen privaten
Schlüssels ist. Jetzt muß aber unbedingt noch überprüft werden, ob das
Zertifikat auch tatsächlich zu dem Server paßt, zu dem sich das openssl-
Kommando verbinden sollte. Dieser Vorgang entspricht dem Paßbildvergleich
beim Überprüfen eines Personalausweis’: Passen Person und Paßbild nicht zusammen,
so kann der Personalausweis nicht akzeptiert werden. Im Fall von
digitalen Zertifikaten vergleicht man dazu den FQDN des kontaktierten Servers
mit dem (oder den) im Zertifikat enthaltenen DNS-Namen. Im vorausgehenden
Beispiel stimmt zum Glück der im Zertifikat genannte DNS-Name
CN=manhattan (zugegebenermaßen kein FQDN) mit dem kontaktierten Server
überein. Wir können also das Zertifikat endgültig akzeptieren und mit der
sicheren Datenübertragung beginnen.
6.3 OpenSSL-Basisfunktionalität
Für die Entwicklung SSL-fähiger Netzwerkanwendungen stellt OpenSSL zwei
Programmbibliotheken bereit. In der crypto-Bibliothek sind die kryprographischen
Funktionen (symetrische und asymmetrische Verschlüsselungsverfahren,
kryptographische Hashfunktionen, Message Authentications Codes)
sowie eine Menge weiterer nützlicher Hilfsfunktionen (Ein-/Ausgabe, Datenkodierung,
Verarbeitung von Zertifikaten, u. v. m.) zusammengefaßt. Die ssl-
Bibliothek implementiert die verschiedenen SSL- und TLS-Protokollversionen
und greift bei Bedarf auf die Funktionen der crypto-Bibliothek zurück.
Über die Hilfsfunktionen der crypto-Bibliothek wird von OpenSSL in den
folgenden vier Bereichnen eine solide Infrastruktur für die Entwicklung SSLfähiger
Netzwerkanwendungen geschaffen:
1. Über die sogenannten BIO-Funktionen abstrahiert OpenSSL sämtliche
Ein- und Ausgabeanforderungen einer Anwendung. Ähnlich wie die Einund
Ausgabefunktionen des Unix-Betriebssystems gleichmaßen dazu geeignet
sind, Dateien zu bearbeiten oder Socket-Kommunikation über
TCP/IP zu betreiben, vereinen die BIO-Funktionen die traditionellen Aufgaben
der read()-/wite()-Funktionen mit diversen kryptographischen
Zusatzaufgaben in einer einzigen API. Dadurch kann z. B. ein Programm
abwechselnd mit verschlüsselten und unverschlüsselten Netzwerkverbindungen
arbeiten, ohne dafür ständig zwischen Socket- und OpenSSL-API
wechseln zu müssen.