Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

368 7 Client-/Server-Programmierung mit OpenSSL
15 /* schwache Verschlüsselungsalgorithmen ausschließen */
16 if( ! SSL_CTX_set_cipher_list( ctx,
17 "ALL:!ADH:!LOW:!EXP:!MD5:@STRENGTH" ) )
18 {
19 printf( "Can’t set cipher list ...\n" );
20 ERR_print_errors_fp( stdout );
21 exit( EXIT_FAILURE );
22 }
1–7
9–10
12–13
15–22
Anstatt sich auf das TLS-Protokoll zu beschränken, erstellt das Programm
zunächst einen SSL-Kontext, der neben TLS auch die Protokolle SSL 2.0 und
SSL 3.0 unterstützt.
Als erstes wird dann der Umfang der unterstützten Protokolle reduziert indem
das als nicht sicher eingestufte SSL 2.0 mittels SSL_OP_NO_SSLv2 nachträglich
aus dem Kontext ausgeschlossen wird. Zusätzlich versuchen wir, unser Clientprogramm
so kompatibel wie möglich zu gestalten und verordnen deshalb mit
SSL_OP_ALL, daß alle bekannten Probleme in der SSL-Implementierung der
Kommunikationspartner so tolerant wie möglich behandelt werden.
Anschließend veranlaßt das Programm die ssl-Bibliothek, eventuell auftretende
Wiederholungsanforderungen nicht an die Anwendung weiterzugeben.
Für alle im weiteren Verlauf aus diesem Kontext hervorgehenden SSL-
Verbindungen gilt deshalb, daß Wiederholungsanforderungen von OpenSSL
stets intern behandelt werden.
Als letztes wird die Liste der zulässigen Chiffrenfolgen entsprechend der obigen
Ausführungen für den SSL-Kontext festgelegt. Sofern keine der angegebenen
Chiffrenfolgen in den SSL-Kontext übernommen werden kann, löst das
Programm eine entsprechende Fehlermeldung aus und beendet sich.
7.3 Sicherer Umgang mit X.509-Zertifikaten
Wie bereits erwähnt, fehlt zum Aufbau einer sicheren SSL-Verbindung noch
ein wesentlicher Schritt: die Überprüfung des vom Server präsentierten SSL-
Zertifikats. Diese wichtige Aufgabe gliedert sich in drei Teilschritte:
1. Das Programm muß testen, ob das präsentierte Zertifikat überhaupt gültig
ist. In Analogie zur Überprüfung eines Reisepasses wird hierbei u. a. die
Gültigkeitsdauer des Zertifikats (gültig von/gültig bis) verifiziert. Für diese
Aufgabe stellt OpenSSL eine geeignete Funktion zur Verfügung, welche
während des SSL-Handshakes alle notwendigen Tests absolviert.
2. Liegt ein gültiges Zertifikat vor, muß über die digitale Unterschrift geklärt
werden, ob die Beglaubigung tatsächlich von einer Zertifizierungsstelle