Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

382 7 Client-/Server-Programmierung mit OpenSSL
Um an eine Zertifikatserweiterung zu gelangen, untersucht man das Zertifikat
mit der X509_get_ext_d2i()-Funktion. Die X.509-Funktionen von OpenSSL
adressieren die einzelnen Zertifikatskomponenten über eine ganzzahlige Identifikationsnummer,
die sogenannte NID. An die Erweiterung Subject Alternative
Name gelangen wir mit der ID NID_subject_alt_name. Für die beiden Parameter
crit und idx genügen bei der Bestimmung dieser Zertifikatserweiterung
zwei Nullzeiger.
Als Ergebnis einer NID_subject_alt_name-Anfrage liefert die Hilfsfunktion
X509_get_ext_d2i() einen Stapel von General Names, die es im Anschluß
der Reihe nach zu untersuchen gilt. Im Fehlerfall gibt die Funktion
einen Nullzeiger zurück. Der Stapel von General Names muß später mittels
sk_GENERAL_NAME_free() wieder explizit freigegeben werden (siehe unten).
Die ASN1_STRING_data()-Funktion bringt den Textinhalt eines dNSName-
Elements schließlich in ein darstellbares Format, so daß ein Vergleich zwischen
dem FQDN des Kommunikationspartners und den in der Zertifikatserweiterung
enthaltenen DNS-Namen möglich wird. Der zurückgelieferte Zeiger verweist
lediglich auf interne Daten der übergebenen ASN1_STRING-Struktur und
muß bzw. darf deshalb nicht explizit freigegeben werden. Die Anwendung der
beiden Funktionen ist in Beispiel 7.6 zu sehen.
#include
unsigned char *ASN1_STRING_data( ASN1_STRING *as );
Sollte kein Subject Alternative Name in das untersuchte Zertifikat eingebettet
sein, so muß der Identitätsabgleich über das Feld Common Name (CN)
aus der Subject-Komponente des Zertifikats vorgenommen werden. Nachdem
das Programm den Zertifikatsnehmer mittels X509_get_subject_name() bestimmt
hat (vgl. dazu auch Beispiel 7.5), wird aus dem X509_NAME mit der
X509_NAME_get_text_by_NID()-Funktion der Common Name extrahiert.
#include
int X509_NAME_get_text_by_NID( X509_NAME *name, int nid,
char *buf, int len );
Die Funktion erwartet neben dem X509_NAME in nid die ID der zu extrahierenden
Textkomponente. Für den Common Name (CN) ist NID_commonName
die passende NID. Der extrahierte Text wird im Puffer buf abgelegt, wobei
der Parameter len die Länge dieses Textpuffers spezifiziert und damit die
Maximalzahl der in den Puffer zu übertragenden Zeichen festlegt. Falls die
gesuchte Komponente nicht in name enthalten ist, liefert die Funktion den
Rückgabewert -1. Bei Erfolg wird die Anzahl der in den Puffer kopierten