Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

7.2 Der SSL-Kontext 365
#include
long SSL_CTX_set_options( SSL_CTX *ctx, long options );
long SSL_set_options( SSL *ssl, long options );
long SSL_CTX_set_mode( SSL_CTX *ctx, long mode );
long SSL_set_mode( SSL *ssl, long mode );
Die Funktion SSL_CTX_set_options() (und natürlich auch ihre Schwesterfunktion
SSL_set_options()) kennt eine Menge verschiedener SSL-Optionen.
Mit einem Teil der Optionen kann der ssl-Bibliothek erlaubt werden, verschiedene
Fehler, die sich in diverse SSL-Implemtierungen geschlichen haben,
individuell zu erkennen und zu umkurven. Dadurch läßt sich die Kompatibilität
zu diversen Kommunikationspartnern erhöhen. Praktischerweise gibt es
die Option SSL_OP_ALL, die alle Fehlerbereinigungsoptionen in einer einzigen
Option zusammenfaßt. Außerdem läßt sich über die SSL-Optionen steuern,
welche SSL/TLS-Protokollversionen das Programm unterstützen soll: Mittels
SSL_OP_NO_SSLv2, SSL_OP_NO_SSLv3 und SSL_OP_NO_TLSv1 kann die Unterstützung
für bestimmte Protokollversionen explizit abgeschaltet werden.
Als Rückgabewert liefern SSL_CTX_set_options() und SSL_set_options()
ein Bitfeld mit der neu gesetzten Menge an Optionen für den SSL-Kontext
bzw. die SSL-Verbindung. Optionen, die bereits vor dem Aufruf der Funktionen
gesetzt waren, bleiben übrigens erhalten, d. h. daß die Optionen, die
einmal für einen Kontext bzw. eine Verbindung gesetzt wurden, nicht mehr
zurückgenommen werden können.
Mit Hilfe der SSL_CTX_set_mode()-Funktion bzw. ihrer Schwesterfunktion
SSL_set_mode() können wir OpenSSL veranlassen, keine Wiederholungsanforderungen
an die Anwendung weiterzuleiten, sondern diese ggf. selbst abzuwickeln.
Dazu aktivieren wir den entsprechenden Modus durch Setzen von
SSL_MODE_AUTO_RETRY. SSL_CTX_set_mode() wirkt wieder auf dem übergebenen
Kontext und bestimmt damit das Verhalten aller später davon abgeleiteten
SSL-Verbindungen, während SSL_set_mode() lediglich die referenzierte
SSL-Verbindung verändert. Auch hier gilt, daß ein einmal für den Kontext
oder eine einzelne Verbindung aktiviertes Verhalten nicht mehr zurückgenommen
werden kann. Beide Funktionen geben als Rückgabewert die Menge der
aktivierten Modi als Bitfeld zurück.
Als letztes werfen wir nun noch einen Blick auf die angebotenen kryptographischen
Verfahren, die zu sogenannten Chiffrenfolgen (Cipher Suites) zusammengefaßt
werden. Eine Chiffrenfolge spezifiziert jeweils einen Satz von
kryptographischen Algorithmen, die für die symmetrische Verschlüsselung
der Nutzdaten, den Schlüsselaustausch sowie die Integritäts- und Authentizitätssicherung
eingesetzt werden. Die beim Verbindungsaufbau und bei
der Kommunikation eingesetzten Verfahren können von der Anwendung explizit
kontrolliert werden. OpenSSL stellt hierzu die beiden Hilfsfunktionen