Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

12 #include "openssl -util.h"
7.3 Sicherer Umgang mit X.509-Zertifikaten 373
13
14 int verify_cert( int ok, X509_STORE_CTX *x509ctx );
15
16 SSL_CTX *openssl_create_ssl_ctx( void )
17 {
18 SSL_CTX *ctx;
19
20 /* SSL-Kontext für SSLv2 , SSLv3 und TLSv1 erstellen */
21 if( ( ctx = SSL_CTX_new( SSLv23_method() ) ) == NULL )
22 return( NULL );
23
24 /* bitte kein SSL 2.0, dafür maximale Kompatibilität */
25 SSL_CTX_set_options( ctx, SSL_OP_NO_SSLv2 | SSL_OP_ALL );
26
27 /* Keine Wiederholungsanforderungen auf Anwendungsebene */
28 SSL_CTX_set_mode( ctx, SSL_MODE_AUTO_RETRY );
29
30 /* schwache Verschlüsselungsalgorithmen ausschließen */
31 if( ! SSL_CTX_set_cipher_list( ctx, CIPHER_LIST ) )
32 {
33 SSL_CTX_free( ctx );
34 return( NULL );
35 }
36
37 /* systemweite und eigene Zertifikatspeicher festlegen */
38 if( ! ( SSL_CTX_set_default_verify_paths( ctx ) &&
39 SSL_CTX_load_verify_locations( ctx, CAFILE , CAPATH ) ) )
40 {
41 SSL_CTX_free( ctx );
42 return( NULL );
43 }
44
45 /* Zertfikatsprüfung aktivieren und Callback setzen */
46 SSL_CTX_set_verify( ctx, SSL_VERIFY_PEER , verify_cert );
47
48 /* maximale Hierarchietiefe an Zertifizierungsstellen */
49 SSL_CTX_set_verify_depth( ctx, VERIFY_DEPTH + 1 );
50
51 return( ctx );
52 }
37–43
Im Anschluß daran werden mittels SSL_CTX_set_default_verify_paths()
und SSL_CTX_load_verify_locations() sowohl der systemweite wie auch
der anwendungsspezifische Speicher für die CA-Zertifikate vertrauenswürdiger
Zertifizierungsstellen angezapft. Die lokalen Datenquellen CAFILE und CAPATH
sind in openssl-util.h als Makros definiert (siehe dazu Beispiel 7.8). Sofern