Zahn - Unix-Netzwerkprogramminerung mit Threads, Sockets und SSL

388 7 Client-/Server-Programmierung mit OpenSSL
#include
int SSL_CTX_use_certificate_chain_file( SSL_CTX *ctx,
const char *file );
int SSL_CTX_use_PrivateKey_file( SSL_CTX *ctx,
const char *file, int type );
Über die Funktion SSL_CTX_use_certificate_chain_file() wird die gesamte
Zertifikatskette der Zertifizierungshierarchie in den SSL-Kontext ctx
geladen. Damit die Operation reibungslos verläuft, muß die durch file referenzierte
Datei in strenger, aufsteigender Reihenfolge nacheinander die X.509-
Zertifikate der Zertifikatskette enthalten. Die Datei beginnt mit dem Zertifikat
des Zertifikatnehmers, dem das CA-Zertifikat der ausstellenden CA folgt. Im
Anschluß finden sich eventuell noch die X.509-Zertifikate weiterer, zwischengeschalteter
Zertifiziungsstellen bis dann am Ende das Zertifikat der zugehörigen
Wurzel-CA die Kette abschließt. Die Funktion lädt das erste Zertifikat dieser
Kette, also das des Zertifikatnehmers, in den Zertifikatsspeicher des angegebenen
SSL-Kontexts. Die restlichen Zertifikate werden, soweit vorhanden,
im Speicher für Zertifikatsketten abgelegt. War die Operation erfolgreich, so
liefert SSL_CTX_use_certificate_chain_file() den Rückgabewert 1, andernfalls
den Wert 0.
Der zum eigenen Zertifikat passende private Schlüssel wird über die Funktion
SSL_CTX_use_PrivateKey_file() aus der Datei file in den SSL-Kontext
ctx geladen. Bei Erfolg liefert die Funktion den Rückgabewert 1, andernfalls
den Wert 0. In der angegebenen Datei kann der Schlüssel entweder in
der lesbaren, Base64-kodierten PEM-Notation oder im binären ASN.1- bzw.
DER-Format vorliegen. Das Flag type gibt deshalb beim Aufruf der Funktion
Auskunft, in welchem Format SSL_CTX_use_PrivateKey_file() die Datei
erwarten soll: die Konstanten SSL_FILETYPE_PEM und SSL_FILETYPE_ASN1
stehen für die namensgleichen Formatvarianten.
Aufgrund ihrer speziellen Strukturierung können in einer PEM-Datei gleich
mehrere Schlüssel oder Zertifikate gespeichert werden, in ASN.1-Dateien findet
dagegen immer nur jeweils ein Schlüssel oder Zertifikat Platz. Aus diesem
Grund muß eine mittels SSL_CTX_use_certificate_chain_file() geladene
Zertifikatskette immer im PEM-Format vorliegen (und der Parameter type
kann bei dieser Funktion entfallen). Findet SSL_CTX_use_PrivateKey_file()
in einer PEM-Datei mehrere private Schlüssel, so wird lediglich der erste
Schlüssel aus der Datei in den SSL-Kontext geladen.
Die absolute Geheimhaltung des privaten Schlüssels ist bezüglich der Sicherheit
der eingesetzten krytographischen Verfahren das A und O, der Schlüssel
darf niemals in falsche Hände geraten. Aus diesem Grund empfiehlt es sich
eigentlich, den Schlüssel nur in verschlüsselter Form auf einem Computersystem
zu speichern. Dies bedeutet, daß der private Schlüssel vor dem ersten