Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

7.3 Sicherer Umgang mit X.509-Zertifikaten 371
zierungsstellen hinterlegt sind. 3 Die entsprechenden Datei- und Verzeichnisnamen,
in denen diese Informationen hinterlegt sind, etwa das Verzeichnis
/etc/ssl/certs, sind in der Regel bereits korrekt in den OpenSSL-Paketen
verankert. Mit Hilfe der Funktion SSL_CTX_set_default_verify_paths()
wird die ssl-Bibliothek veranlaßt, die im Rahmen der Zertifikatsprüfung
benötigten öffentlichen Schlüssel vertrauenswürdiger Zertifizierungsstellen an
den festgelegten Orten zu suchen. Die Funktion erwartet als einziges Argument
den SSL-Kontext, in dem die Informationen verankert werden sollen.
Der Rückgabewert 1 zeigt an, daß die Operation erfolgreich war, andernfalls
gibt die Funktion den Wert 0 zurück.
#include
int SSL_CTX_set_default_verify_paths( SSL_CTX *ctx );
int SSL_CTX_load_verify_locations( SSL_CTX *ctx,
const char *CAfile , const char *CApath );
void SSL_CTX_set_verify( SSL_CTX *ctx, int mode,
int (*verify_cb)( int status ,
X509_STORE_CTX *x509ctx ) );
void SSL_set_verify( SSL *ssl, int mode,
int (*verify_cb)( int status ,
X509_STORE_CTX *x509ctx ) );
void SSL_CTX_set_verify_depth( SSL_CTX *ctx, int depth );
void SSL_set_verify_depth( SSL *ssl, int depth );
Neben den systemweiten Datei- und Verzeichnisnamen können mit der Funktion
SSL_CTX_load_verify_locations() auch noch eigene, anwendungsspezifische
Datei- und Verzeichnisnamen in den SSL-Kontext ctx eingebunden
werden. Mindestens einer der Parameter CAfile und CApath muß dabei von
NULL verschieden sein. CAfile verweist dabei auf eine Datei, die ein oder mehrere
CA-Zertifikate von vertrauenswürdigen Zertifizierungsstellen enthält. Die
Zertifikate müssen im PEM-Format, einer Base64-kodierten Textdarstellung
des Zertifikats, nacheinander in dieser Datei abgelegt sein. CApath verweist
dagegen auf ein Verzeichnis, in dem die einzelnen CA-Zertifikate in jeweils
eigenen Dateien hinterlegt sind. Abschnitt A.1 erläutert, wie ein solches CA-
Verzeichnis aufgebaut wird. Der Rückgabewert 1 zeigt an, daß die Operation
erfolgreich war, andernfalls gibt die Funktion den Wert 0 zurück.
Wie bereits in Abschnitt 6.1.4 erläutert, muß während der Überprüfung eines
digitalen Zertifikats u. U. eine ganze Zertifikatskette durchlaufen werden,
bis mit Hilfe einer vertrauenswürdigen Zertifizierungsstelle die Gültigkeit der
3 Der öffentliche Schlüssel einer Zertifizierungsstelle ist seinerseits wieder in ein
Zertifikat, ein sogenanntes CA-Zertifikat, eingebunden.