Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

384 7 Client-/Server-Programmierung mit OpenSSL
131 if( ! ( cert = SSL_get_peer_certificate( ssl ) ) )
132 return( 0 );
133
134 /* steckt im Zertifikat eine SubjectAltName -Extension? */
135 if( altnames = X509_get_ext_d2i( cert,
136 NID_subject_alt_name , NULL, NULL ) )
137 {
138 /* falls ja: wieviele GeneralNames enthält diese? */
139 numaltnames = sk_GENERAL_NAME_num( altnames );
140
141 /* alle GeneralNames der Extension durchsuchen */
142 for( i = 0; i < numaltnames && ok type == GEN_DNS &&
149 ( dns = (char *)ASN1_STRING_data( gn->d.ia5 ) ) )
150 {
151 /* ... und mit dem Hostnamen vergleichen */
152 ok = ( strcasecmp( dns, host ) == 0 );
153 /* ok ist 1 bei einem Treffer , andernfalls 0 */
154 }
155 }
156
157 /* zum Schluß die GeneralNames wieder freigeben */
158 sk_GENERAL_NAME_free( altnames );
159 }
134–137
138–143
Wie in RFC 2818 festgelegt, wird nun im Zertifikat als erstes nach Subject
Alternative Names gesucht. Mit der X509_get_ext_d2i()-Funktion wird die
entsprechende Erweiterung im Zertifikat des Kommunikationspartners aufgespürt.
Die Funktion liefert als Ergebnis entweder einen Stapel von General
Names oder, falls die Erweiterung nicht vorhanden ist, einen Nullzeiger.
Sind im Zertifikat Subject Alternative Names enthalten, dann wird die Folge
der General Names nach dem gesuchten FQDN durchforstet. OpenSSL stellt
dazu einen Satz von Makros bereit, mit deren Hilfe ein Stapel von Daten bearbeitet
und durchsucht werden kann. Im konkreten Beispiel verwenden wir die
drei Makros sk_GENERAL_NAME_num() um die Anzahl der General Names auf
dem Stapel zu bestimmen, sk_GENERAL_NAME_value() um den n-ten General
Name zu ermitteln und sk_GENERAL_NAME_free() um den Stapel am Ende
wieder freizugeben. Die openssl_match_host_cert()-Funktion bestimmt auf
der Suche nach dem passenden FQDN zunächst die Anzahl der Elemente und
iteriert dann über alle Elemente des Stapels. Falls die Suche erfolgreich war,
gilt ok == 1 und die Schleife wird vorzeitig beendet.