Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

7.3 Sicherer Umgang mit X.509-Zertifikaten 381
SubjectAltName ::= GeneralNames
GeneralNames ::= SEQUENCE SIZE (1..MAX) OF GeneralName
GeneralName ::= CHOICE {
otherName
[0] OtherName,
rfc822Name
[1] IA5String,
dNSName
[2] IA5String,
x400Address
[3] ORAddress,
directoryName
[4] Name,
ediPartyName
[5] EDIPartyName,
uniformResourceIdentifier [6] IA5String,
iPAddress
[7] OCTET STRING,
registeredID
[8] OBJECT IDENTIFIER
}
Abb. 7.3. Aufbau eines X.509-SubjectAltNames
• Sofern ein X.509-Zertifikat die Zertifikatserweiterung Subject Alternative
Name enthält und in der zugehörigen Folge von General Names ein
dNSName-Element vorkommt, dann muß einer der DNS-Namen aus der
Zertifikatserweiterung zur Identitätsprüfung herangezogen werden.
• In allen anderen Fällen (d. h. entweder es existiert keine passende Zertifikatserweiterung
oder diese enthält keinen DNS-Namen) muß zur Identitätsprüfung
das Feld Common Name (CN) aus der Subject-Komponente
des Zertifikats herangezogen werden.
Mit Hilfe der passenden Funktionen aus der OpenSSL-API läßt sich anhand
dieser Vorgaben auch der letzte Schritt der Identitätsprüfung umsetzen.
Als allererstes muß das Programm für seine Untersuchungen Zugriff auf das
vom Kommunikationspartner präsentierte Zertifikat erhalten. Die Funktion
SSL_get_peer_certificate() liefert zu einer aufgebauten SSL-Verbindung
eine Referenz auf das Zertifikat des Gegenübers. Sollte der Kommunikationspartner
kein Zertifikat vorgewiesen haben oder besteht noch keine Verbindung,
so gibt die Funktion einen Nullzeiger zurück. Sobald die Untersuchungen
am Zertifikat abgeschlossen sind, sollte der zugeordnete Speicher mittels
X509_free() natürlich wieder freigegeben werden.
#include
#include
X509 *SSL_get_peer_certificate( SSL *ssl );
void X509_free( X509 *cert );
void *X509_get_ext_d2i( X509 *cert, int nid, int *crit,
int *idx );