Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

378 7 Client-/Server-Programmierung mit OpenSSL
54–63
65–72
Der Parameter flags bestimmt dabei, wie die Formatierung erfolgen soll und
indent legt die Tiefe der Einrückungen fest. Obwohl es gleich eine ganze Menge
verschiedener Darstellungsmöglichkeiten gibt, sind die durch die zwei Flags
XN_FLAG_ONELINE (Ausgabe in einer Zeile, durch Schrägstriche getrennt) und
XN_FLAG_MULTILINE (zeilenweise Ausgabe in Langform) bestimmten Ausgabeformate
die beiden gebräuchlichsten Varianten.
Mit Hilfe dieser Funktionen können wir nun in unserer Callback-Funktion
einige hilfreiche Zusatzinformationen zum beanstandeten Zertifikat ausgeben:
Als erstes ermittelt die Callback-Funktion den Fehlercode der OpenSSLinternen
Zertifikatsprüfung sowie die Position des aktuell bearbeiteten Zertifikats
in der Zertifikatskette. Ist die OpenSSL-interne Verifikation erfolgreich
verlaufen, so hat error den Wert X509_V_OK.
Als nächstes prüft die verify_cert()-Funktion, ob die aktuelle Position innerhalb
der Zertifikatskette bereits die maximale Tiefe von VERIFY_DEPTH
Hierarchieebenen überschreitet. Dieser Fall kann durchaus auftreten, da wir in
Beispiel 7.4 die Länge der Zertifikatskette über SSL_CTX_set_verify_depth()
auf maximal VERIFY_DEPTH+1 gesetzt haben. Ist die Maximaltiefe überschritten,
so weist die Funktion der Variablen error zur weiteren Verarbeitung den
entsprechenden Fehlercode X509_V_ERR_CERT_CHAIN_TOO_LONG zu. Darüber
hinaus muß über den Rückgabewert der Funktion angezeigt werden, daß die
Überprüfung des Zertifikats fehlgeschlagen ist.
Beispiel 7.5. openssl-util.c, Teil 2
54 int verify_cert( int ok, X509_STORE_CTX *x509ctx )
55 {
56 X509 *cert;
57 X509_NAME *subject , *issuer;
58 int error, depth;
59
60 /* welcher Fehler ist aufgetreten und ... */
61 error = X509_STORE_CTX_get_error( x509ctx );
62 /* ... wo in der Zertifikathierachie befinden wir uns? */
63 depth = X509_STORE_CTX_get_error_depth( x509ctx );
64
65 /* tiefer als die maximal gewünschte Hierarchietiefe? */
66 if( depth > VERIFY_DEPTH )
67 {
68 /* falls ja, dann Fehlerursache setzen */
69 error = X509_V_ERR_CERT_CHAIN_TOO_LONG;
70 /* und Rückgabewert modifizieren */
71 ok = 0;
72 }
73
74 /* falls das Zertifikat nicht verifiziert werden konnte */
75 if( ! ok )