Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

7.2 Der SSL-Kontext 367
wie folgt zu beschreiben: ALL:!ADH:!LOW:!EXP:!MD5:@STRENGTH. Diese Liste
besagt, daß alle Chiffrenfolgen zugelassen sind, ausgenommen diejenigen
mit anonymem Diffie-Hellman-Schlüsselaustausch (ADH),mit56bzw.64Bit
Schlüssellänge (LOW), mit exportbeschränkter 40 bzw. 56 Bit Schlüssellänge
(EXP) oder mit MD5-MACs (MD5). Die Liste der verbliebenen Chiffrenfolgen
wird dann nach der verwendeten Schlüssellänge sortiert (@STRENGTH), so daß
immer eine Chiffrenfolge mit möglichst starken Algorithmen ausgewählt wird.
Konnte SSL_CTX_set_cipher_list() bzw. SSL_set_cipher_list() mindestens
eine Chiffrenfolge aus der übergebenen Liste für den Kontext bzw. die
SSL-Verbindung übernehmen, so liefern die Funktionen den Rückgabewert 1.
Enthält die Zeichenkette keine akzeptable Chiffrenfolge, so geben die Funktionen
den Wert 0 zurück. Ob die ausgesuchte Zeichenfolge sinnvoll gewählt ist
und welche Algorithmen aufgrund der Auswahl letztendlich in Frage kommen,
läßt sich wieder mit dem openssl-Kommando verifizieren:
$ openssl ciphers -v ’ALL:!ADH:!LOW:!EXP:!MD5:@STRENGTH’
DHE-RSA-AES256-SHA SSLv3 Kx=DH Au=RSA Enc=AES(256) Mac=SHA1
DHE-DSS-AES256-SHA SSLv3 Kx=DH Au=DSS Enc=AES(256) Mac=SHA1
AES256-SHA SSLv3 Kx=RSA Au=RSA Enc=AES(256) Mac=SHA1
EDH-RSA-DES-CBC3-SHA SSLv3 Kx=DH Au=RSA Enc=3DES(168) Mac=SHA1
EDH-DSS-DES-CBC3-SHA SSLv3 Kx=DH Au=DSS Enc=3DES(168) Mac=SHA1
DES-CBC3-SHA SSLv3 Kx=RSA Au=RSA Enc=3DES(168) Mac=SHA1
DHE-RSA-AES128-SHA SSLv3 Kx=DH Au=RSA Enc=AES(128) Mac=SHA1
DHE-DSS-AES128-SHA SSLv3 Kx=DH Au=DSS Enc=AES(128) Mac=SHA1
AES128-SHA SSLv3 Kx=RSA Au=RSA Enc=AES(128) Mac=SHA1
DHE-DSS-RC4-SHA SSLv3 Kx=DH Au=DSS Enc=RC4(128) Mac=SHA1
RC4-SHA SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=SHA1
Mit diesem Hintergrundwissen können wir die Kontexterstellung aus Beispiel
7.3 um einen wichtigen Baustein erweitern, indem wir den neuen SSL-
Kontext sukzessive auf unsere Wünsche anpassen:
1 /* SSL-Kontext für SSLv2 , SSLv3 und TLSv1 erstellen */
2 if( ( ctx = SSL_CTX_new( SSLv23_method() ) ) == NULL )
3 {
4 printf( "Can’t create SSL context ...\n" );
5 ERR_print_errors_fp( stdout );
6 exit( EXIT_FAILURE );
7 }
8
9 /* bitte kein SSL 2.0, dafür maximale Kompatibilität */
10 SSL_CTX_set_options( ctx, SSL_OP_NO_SSLv2 | SSL_OP_ALL );
11
12 /* keine Wiederholungsanforderungen auf Anwendungsebene */
13 SSL_CTX_set_mode( ctx, SSL_MODE_AUTO_RETRY );
14