Ubah soket sederhana menjadi soket SSL

Saya menulis program C sederhana, yang menggunakan soket ('klien' dan 'server'). (Penggunaan UNIX / Linux)

Sisi server hanya membuat soket:

sockfd = socket(AF_INET, SOCK_STREAM, 0);

Dan kemudian mengikatnya ke sockaddr:

bind(sockfd, (struct sockaddr *) &serv_addr, sizeof(serv_addr));

Dan mendengarkan (dan menerima dan membaca):

listen(sockfd,5);
newsockfd = accept(sockfd, (struct sockaddr *) &cli_addr, &clilen);
read(newsockfd,buffer,255);

Klien membuat soket, dan kemudian menulis padanya.

Sekarang, saya ingin mengubah koneksi sederhana ini menjadi koneksi SSL, dengan cara yang paling sederhana, paling indah, rapi dan tercepat.

Saya sudah mencoba menambahkan OpenSSL ke proyek saya, tetapi saya tidak dapat menemukan cara mudah untuk menerapkan apa yang saya inginkan.

Ada beberapa langkah saat menggunakan OpenSSL. Anda harus memiliki sertifikat SSL yang dapat berisi sertifikat dengan kunci privat. Pastikan untuk menentukan lokasi yang tepat dari sertifikat (contoh ini memilikinya di root). Ada banyak tutorial bagus di luar sana.

• Beberapa dokumentasi dan alat dari HP (lihat bab 2)
• Baris perintah untuk OpenSSL

Beberapa termasuk:

#include <openssl/applink.c>
#include <openssl/bio.h>
#include <openssl/ssl.h>
#include <openssl/err.h>

Anda perlu menginisialisasi OpenSSL:

void InitializeSSL()
{
    SSL_load_error_strings();
    SSL_library_init();
    OpenSSL_add_all_algorithms();
}

void DestroySSL()
{
    ERR_free_strings();
    EVP_cleanup();
}

void ShutdownSSL()
{
    SSL_shutdown(cSSL);
    SSL_free(cSSL);
}

Sekarang untuk sebagian besar fungsionalitas. Anda mungkin ingin menambahkan while loop pada koneksi.

int sockfd, newsockfd;
SSL_CTX *sslctx;
SSL *cSSL;

InitializeSSL();
sockfd = socket(AF_INET, SOCK_STREAM, 0);
if (sockfd< 0)
{
    //Log and Error
    return;
}
struct sockaddr_in saiServerAddress;
bzero((char *) &saiServerAddress, sizeof(saiServerAddress));
saiServerAddress.sin_family = AF_INET;
saiServerAddress.sin_addr.s_addr = serv_addr;
saiServerAddress.sin_port = htons(aPortNumber);

bind(sockfd, (struct sockaddr *) &serv_addr, sizeof(serv_addr));

listen(sockfd,5);
newsockfd = accept(sockfd, (struct sockaddr *) &cli_addr, &clilen);

sslctx = SSL_CTX_new( SSLv23_server_method());
SSL_CTX_set_options(sslctx, SSL_OP_SINGLE_DH_USE);
int use_cert = SSL_CTX_use_certificate_file(sslctx, "/serverCertificate.pem" , SSL_FILETYPE_PEM);

int use_prv = SSL_CTX_use_PrivateKey_file(sslctx, "/serverCertificate.pem", SSL_FILETYPE_PEM);

cSSL = SSL_new(sslctx);
SSL_set_fd(cSSL, newsockfd );
//Here is the SSL Accept portion.  Now all reads and writes must use SSL
ssl_err = SSL_accept(cSSL);
if(ssl_err <= 0)
{
    //Error occurred, log and close down ssl
    ShutdownSSL();
}

Anda kemudian dapat membaca atau menulis menggunakan:

SSL_read(cSSL, (char *)charBuffer, nBytesToRead);
SSL_write(cSSL, "Hi :3\n", 6);

Perbarui The SSL_CTX_newharus dipanggil dengan metode TLS yang paling sesuai dengan kebutuhan Anda untuk mendukung versi keamanan yang lebih baru, bukan SSLv23_server_method(). Lihat: Deskripsi OpenSSL SSL_CTX_new

TLS_method (), TLS_server_method (), TLS_client_method (). Ini adalah metode SSL / TLS fleksibel versi tujuan umum . Versi protokol aktual yang digunakan akan dinegosiasikan ke versi tertinggi yang didukung oleh klien dan server. Protokol yang didukung adalah SSLv3, TLSv1, TLSv1.1, TLSv1.2, dan TLSv1.3.

OpenSSL cukup sulit. Sangat mudah untuk secara tidak sengaja membuang semua keamanan Anda dengan tidak melakukan negosiasi dengan tepat. (Heck, saya secara pribadi telah digigit oleh bug di mana curl tidak membaca peringatan OpenSSL dengan tepat, dan tidak dapat berbicara dengan beberapa situs.)

Jika Anda benar-benar ingin cepat dan sederhana, letakkan stud di depan program Anda selama sehari. Memiliki SSL dalam proses yang berbeda tidak akan memperlambat Anda: http://vincent.bernat.im/en/blog/2011-ssl-benchmark.html

Untuk orang lain seperti saya:

Pernah ada contoh di sumber SSL di direktori demos/ssl/dengan kode contoh di C ++. Sekarang hanya tersedia melalui riwayat: https://github.com/openssl/openssl/tree/691064c47fd6a7d11189df00a0d1b94d8051cbe0/demos/ssl

Anda mungkin harus mencari versi yang berfungsi, saya awalnya memposting jawaban ini pada 6 November 2015. Dan saya harus mengedit sumbernya - tidak banyak.

Sertifikat: .pem di demos/certs/apps/: https://github.com/openssl/openssl/tree/master/demos/certs/apps

Berikut contoh saya utas server soket ssl (banyak koneksi) https://github.com/breakermind/CppLinux/blob/master/QtSslServerThreads/breakermindsslserver.cpp

#include <pthread.h>
#include <stdio.h>
#include <stdlib.h>
#include <string>
#include <unistd.h>
#include <iostream>

#include <breakermindsslserver.h>

using namespace std;

int main(int argc, char *argv[])
{
    BreakermindSslServer boom;
    boom.Start(123,"/home/user/c++/qt/BreakermindServer/certificate.crt", "/home/user/c++/qt/BreakermindServer/private.key");
    return 0;
}