Verwandeln Sie einen einfachen Socket in einen SSL-Socket

Ich habe einfache C-Programme geschrieben, die Sockets (‘client’ und ‘server’) verwenden. (UNIX/Linux-Nutzung)

Die Serverseite erstellt einfach einen Socket:

sockfd = socket(AF_INET, SOCK_STREAM, 0);

Und bindet es dann an sockaddr:

bind(sockfd, (struct sockaddr *) &serv_addr, sizeof(serv_addr));

Und hört zu (und akzeptiert und liest):

listen(sockfd,5);
newsockfd = accept(sockfd, (struct sockaddr *) &cli_addr, &clilen);
read(newsockfd,buffer,255);

Der Client erstellt den Socket und schreibt dann darauf.

Nun möchte ich diese einfache Verbindung auf die einfachste, idyllischste, sauberste und schnellste Weise in eine SSL-Verbindung umwandeln.

Ich habe versucht hinzuzufügen OpenSSL zu meinem Projekt, aber ich finde keinen einfachen Weg, um das umzusetzen, was ich will.

Bei der Verwendung von OpenSSL sind mehrere Schritte erforderlich. Sie müssen ein SSL-Zertifikat erstellen lassen, das das Zertifikat mit dem privaten Schlüssel enthalten kann. Achten Sie darauf, den genauen Speicherort des Zertifikats anzugeben (in diesem Beispiel befindet es sich im Stammverzeichnis). Es gibt viele gute Tutorials da draußen.

• Einige Dokumentationen und Tools von HP (siehe Kapitel 2)
• Befehlszeile für OpenSSL

Einige beinhalten:

#include <openssl/applink.c>
#include <openssl/bio.h>
#include <openssl/ssl.h>
#include <openssl/err.h>

Sie müssen OpenSSL initialisieren:

void InitializeSSL()
{
    SSL_load_error_strings();
    SSL_library_init();
    OpenSSL_add_all_algorithms();
}

void DestroySSL()
{
    ERR_free_strings();
    EVP_cleanup();
}

void ShutdownSSL()
{
    SSL_shutdown(cSSL);
    SSL_free(cSSL);
}

Nun zum Großteil der Funktionalität. Möglicherweise möchten Sie Verbindungen eine While-Schleife hinzufügen.

int sockfd, newsockfd;
SSL_CTX *sslctx;
SSL *cSSL;

InitializeSSL();
sockfd = socket(AF_INET, SOCK_STREAM, 0);
if (sockfd< 0)
{
    //Log and Error
    return;
}
struct sockaddr_in saiServerAddress;
bzero((char *) &saiServerAddress, sizeof(saiServerAddress));
saiServerAddress.sin_family = AF_INET;
saiServerAddress.sin_addr.s_addr = serv_addr;
saiServerAddress.sin_port = htons(aPortNumber);

bind(sockfd, (struct sockaddr *) &serv_addr, sizeof(serv_addr));

listen(sockfd,5);
newsockfd = accept(sockfd, (struct sockaddr *) &cli_addr, &clilen);

sslctx = SSL_CTX_new( SSLv23_server_method());
SSL_CTX_set_options(sslctx, SSL_OP_SINGLE_DH_USE);
int use_cert = SSL_CTX_use_certificate_file(sslctx, "/serverCertificate.pem" , SSL_FILETYPE_PEM);

int use_prv = SSL_CTX_use_PrivateKey_file(sslctx, "/serverCertificate.pem", SSL_FILETYPE_PEM);

cSSL = SSL_new(sslctx);
SSL_set_fd(cSSL, newsockfd );
//Here is the SSL Accept portion.  Now all reads and writes must use SSL
ssl_err = SSL_accept(cSSL);
if(ssl_err <= 0)
{
    //Error occurred, log and close down ssl
    ShutdownSSL();
}

Sie können dann lesen oder schreiben mit:

SSL_read(cSSL, (char *)charBuffer, nBytesToRead);
SSL_write(cSSL, "Hi :3\n", 6);

Aktualisieren
Das SSL_CTX_new sollte stattdessen mit der TLS-Methode aufgerufen werden, die Ihren Anforderungen am besten entspricht, um die neueren Sicherheitsversionen zu unterstützen SSLv23_server_method(). Sehen:
OpenSSL SSL_CTX_neue Beschreibung

TLS_method(), TLS_server_method(), TLS_client_method().
Dies sind die allgemeinen Zwecke version-flexibel SSL/TLS-Methoden. Die tatsächlich verwendete Protokollversion wird auf die höchste Version ausgehandelt, die von Client und Server gegenseitig unterstützt wird. Die unterstützten Protokolle sind SSLv3, TLSv1, TLSv1.1, TLSv1.2 und TLSv1.3.

OpenSSL ist ziemlich schwierig. Es ist leicht, versehentlich Ihre gesamte Sicherheit wegzuwerfen, indem Sie die Verhandlungen nicht genau richtig führen. (Verdammt, ich wurde persönlich von einem Fehler gebissen, bei dem Curl die OpenSSL-Warnungen nicht genau richtig las und mit einigen Websites nicht kommunizieren konnte.)

Wenn Sie wirklich schnell und einfach wollen, setzen Sie Zucht vor Ihrem Programm und nennen Sie es einen Tag. SSL in einem anderen Prozess zu haben, wird Sie nicht verlangsamen: http://vincent.bernat.im/en/blog/2011-ssl-benchmark.html

Für andere wie mich:

Da war mal ein Beispiel in der SSL-Quelle im Verzeichnis demos/ssl/ mit Beispielcode in C++. Jetzt ist es nur über den Verlauf verfügbar:
https://github.com/openssl/openssl/tree/691064c47fd6a7d11189df00a0d1b94d8051cbe0/demos/ssl

Sie müssen wahrscheinlich eine funktionierende Version finden, ich habe diese Antwort ursprünglich am 6. November 2015 gepostet. Und ich musste die Quelle bearbeiten – nicht viel.

Zertifikate: .pem ein demos/certs/apps/: https://github.com/openssl/openssl/tree/master/demos/certs/apps

Wie Sie gesehen haben, ist es ziemlich haarig. Aber der “einfache” Teil ist, nachdem Sie Ihre SSL/TLS-Sitzung mit OpenSSL eingerichtet haben, ist das Muster, dem Sie zum Lesen/Schreiben auf einem Socket für HTTPS folgen, dasselbe wie das, dem Sie für HTTP folgen.

Der Unterschied ist, dass Sie die verwenden SSL_read/SSL_write Funktionen statt der read/write Funktionen. Das SSL_read/SSL_write Funktionen nehmen ein SSL Zeiger als erstes Argument anstelle eines Dateideskriptors.

Wie auch immer, hier ist ein voll funktionsfähiges OpenSSL-Beispiel für eine Unix-Umgebung mit Kompilierungs-/Ausführungsanweisungen, APT-Abhängigkeiten und Referenzen. Es ist nur ein weiterer funktionierender Code, an dem Sie sich die Zähne ausbeißen können.

Bei erfolgreicher Kompilierung wird eine Warnung zu einer veralteten OpenSSL-Funktion angezeigt.

Bei erfolgreicher Ausführung wird der Betreff des TLS-Zertifikats von example.com in der Standardausgabe ausgegeben, gefolgt vom HTML-Inhalt von example.com.

https://github.com/angstyloop/c-web/blob/main/openssl-fetch-example.c

Getestet auf Ubuntu 22.04.

Hier meine Beispiel-SSL-Socket-Server-Threads (Mehrfachverbindung) https://github.com/breakermind/CppLinux/blob/master/QtSslServerThreads/breakermindsslserver.cpp

#include <pthread.h>
#include <stdio.h>
#include <stdlib.h>
#include <string>
#include <unistd.h>
#include <iostream>

#include <breakermindsslserver.h>

using namespace std;

int main(int argc, char *argv[])
{
    BreakermindSslServer boom;
    boom.Start(123,"/home/user/c++/qt/BreakermindServer/certificate.crt", "/home/user/c++/qt/BreakermindServer/private.key");
    return 0;
}