Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

7.3 Sicherer Umgang mit X.509-Zertifikaten 377
SSL_set_verify() hinterlegt und fortan von OpenSSL für jedes geprüfte
Zertifikat der Zertifikatskette aufgerufen. Ob die OpenSSL-interne Zertifikatsprüfung
einen Fehler ergeben hat, kann die Callback-Funktion über den
ersten Parameter status ermitteln. Der zweite Parameter x509ctx enthält
Zusatzinformationen zum aktuellen Zertifikat der Zertifikatskette. Über die
X509_STORE_CTX_get_error()-Funktion läßt sich daraus z. B. die Ursache
für eine mißlungene Zertifikatsüberprüfung extrahieren und die Funktion
X509_STORE_CTX_get_error_depth() gibt darüber hinaus Auskunft, in welcher
Tiefe innerhalb der Zertifikatshierarchie sich das aktuell bearbeitete Zertifikat
befindet. Um schließlich an das betreffende Zertifikat selbst zu kommen,
bedient man sich der Funktion X509_STORE_CTX_get_current_cert(), die
eine Referenz auf das aktuelle X.509v3-Zertifikat liefert.
#include
int X509_STORE_CTX_get_error( X509_STORE_CTX *ctx );
int X509_STORE_CTX_get_error_depth(
X509_STORE_CTX *ctx );
X509 *X509_STORE_CTX_get_current_cert(
X509_STORE_CTX *ctx );
Mit Hilfe der X509_verify_cert_error_string()-Funktion wird ein zuvor
aus den Zusatzinformationen ermittelter Fehlercode in seine Textdarstellung
umgewandelt.
#include
const char *X509_verify_cert_error_string( long e );
X509_NAME *X509_get_issuer_name( X509 *cert );
X509_NAME *X509_get_subject_name( X509 *cert );
int X509_NAME_print_ex( BIO *out, X509_NAME *name,
int indent , unsigned long flags );
int X509_NAME_print_ex_fp( FILE *fp, X509_NAME *name,
int indent , unsigned long flags );
Um aus dem fraglichen Zertifikat die Distinguished Names der jeweiligen Zertifizierungsstelle
(den Issuer) und des jeweiligen Zertifikatnehmers (das Subject)
herauszufischen, stehen die beiden Funktionen X509_get_issuer_name() und
X509_get_subject_name() zur Verfügung. Die beiden Funktionen liefern die
DNs in einer internen Darstellung vom Typ X509_NAME, dieüber die Hilfsfunktionen
X509_NAME_print_ex() und X509_NAME_print_ex_fp() auf einem
BIO oder einem Datenstrom ausgegeben werden kann. Die beiden Ausgabefunktionen
sind in der Lage, den übergebenen DN speziell zu formatieren.