Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

7.3 Sicherer Umgang mit X.509-Zertifikaten 385
144–154
157–158
161–175
Für jeden General Name gn des Stapels wird der Datentyp ausgewertet (vgl.
dazu Abbildung 7.3). Handelt es sich dabei um einen DNS-Namen, gilt also
gn->type == GEN_DNS, so wird der im General Name enthaltene DNS-Name
bestimmt. Die ASN1_STRING_data()-Funktion wandelt dazu den im General
Name gespeicherten Datensatz von einem ASN1_STRING in eine C-typische
Zeichenkette. Konnte der DNS-Name ermittelt werden, so wird dieser nun
mit dem bekannten FQDN des Kommunikationspartners verglichen. 8 Stimmen
die beiden Zeichenketten unabhängig von ihrer Groß-/Kleinschreibung
überein, dann erhält ok den Wert 1, andernfalls den Wert 0. Insbesondere
gilt danach aber ok != -1, es wurde also zumindest ein Subject Alternative
Name mit einem DNS-Namen im Zertifikat gefunden. Dies bedeutet mit Blick
auf RFC 2818, daß der Common Name aus dem Subject des Zertifikats nicht
mehr zur Identitätsprüfung herangezogen werden darf.
Nachdem der Stapel von General Names abgearbeitet ist, muß der von
X509_get_ext_d2i() für die Daten angelegte Speicherbereich über die Funktion
sk_GENERAL_NAME_free() wieder freigegeben werden.
Wurden im Zertifikat entweder keine Subject Alternative Names gefunden
oder war in der Zertifikatserweiterung kein DNS-Name enthalten, dann hat
die Variable ok immer noch den Initialwert -1. In diesem Fall muß das
Feld Common Name aus der Subject-Komponente des Zertifikats ausgewertet
werden. In diesem Fall extrahiert die openssl_match_host_cert()-
Funktion das Subject des Zertifikats und kopiert den Common Name mittels
X509_NAME_get_text_by_NID() in einen Zwischenpuffer. Diese Zeichenkette
wird dann zum Identitätsabgleich mit dem DNS-Namen des Kommunikationspartners
verglichen. Stimmen die beiden Zeichenketten unabhängig von
ihrer Groß-/Kleinschreibung überein, dann erhält ok den Wert 1, andernfalls
den Wert 0.
Beispiel 7.7. openssl-util.c, Teil 4
161 /*
162 * Falls es im Zertifikat kein subjectAltName -Element vom
163 * Typ DNS-Name gibt, dann gilt ok < 0 und der gesuchte
164 * DNS-Name wird aus dem commonName im Subject des
165 * Zertifikats ermittelt.
166 */
167 if( ( ok < 0 ) &&
168 ( subject = X509_get_subject_name( cert ) ) &&
169 ( X509_NAME_get_text_by_NID( subject , NID_commonName ,
170 commonname , 256 ) > 0 ) )
171 {
172 /* commonName mit dem Hostnamen vergleichen */
8 Da bei DNS-Namen generell nicht zwischen Groß- und Kleinschreibung unterschieden
wird, setzt das Programm zum Vergleich anstatt strncmp() die
strcasecmp()-Funktion ein.