OpenSSL は双方向認証のチュートリアルを実装します (サーバーとクライアントのコード付き)

#include <stdio.h>
#include <stdlib.h>
#include <errno.h>
#include <文字列.h>
#include <sys/types.h>
#include <netinet/in.h>
#include <sys/socket.h>
#include <sys/wait.h>
#include <unistd.h>
#include <arpa/inet.h>
#include <openssl/ssl.h>
#include <openssl/err.h>

#MAXBUF 1024 を定義します

void 証明書を表示(SSL * ssl)
{
  X509 *証明書;
  文字 *行;

  証明書 = SSL_get_peer_certificate(ssl);
  // SSL_get_verify_result() が重要なポイントです。SSL_CTX_set_verify() は、有効にするかどうかを設定するだけで、認証は実行しません。この関数を呼び出すと、実際に証明書が検証されます。// 検証に失敗した場合、プログラムは例外をスローして接続を終了します if (SSL_get_verify_result (ssl) == X509_V_OK) {
    printf("証明書の検証に合格しました\n");
  }
  （証明書がNULLではない場合）{
    printf("デジタル証明書情報:\n");
    行 = X509_NAME_oneline(X509_get_subject_name(cert), 0, 0);
    printf("証明書: %s\n", 行);
    フリー(行);
    行 = X509_NAME_oneline(X509_get_issuer_name(cert), 0, 0);
    printf("発行者: %s\n", 行);
    フリー(行);
    X509_free(証明書);
  } それ以外
    printf("証明書情報がありません!\n");
}

int main(int argc, char **argv) {
  int sockfd、新しいfd;
  socklen_t 長さ;
  構造体 sockaddr_in my_addr、their_addr;
  符号なし整数 myport、lisnum;
  char buf[MAXBUF + 1];
  SSL_CTX *ctx;

  （argv[1]）の場合
    myport = atoi(argv[1]);
  それ以外
    マイポート = 7838;

  （argv[2]）の場合
    lisnum = atoi(argv[2]);
  それ以外
    リスナム = 2;

  /* SSL ライブラリの初期化 */
  SSL_library_init();
  /* すべての SSL アルゴリズムをロードします */
  すべてのアルゴリズムを追加します。
  /* すべての SSL エラー メッセージをロードします */
  SSL_load_error_strings();
  /* SSL V2 および V3 標準と互換性のある方法で SSL_CTX (SSL コンテンツ テキスト) を生成します */
  ctx = SSL_CTX_new(SSLv23_server_method());
  /* SSLv2_server_method() または SSLv3_server_method() を使用して、V2 または V3 標準を個別に指定することもできます */
  ctx == NULLの場合{
    ERR_print_errors_fp(標準出力);
    終了(1);
  }

  // 双方向検証 // SSL_VERIFY_PEER --- 証明書認証が必要であり、証明書が存在しない場合でも要求を通過させます // SSL_VERIFY_FAIL_IF_NO_PEER_CERT --- クライアントに証明書の提供を要求しますが、証明書が存在しない場合でも要求を通過させます SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER|SSL_VERIFY_FAIL_IF_NO_PEER_CERT, NULL);
  // 信頼されたルート証明書を設定します if (SSL_CTX_load_verify_locations(ctx, "ca.crt",NULL)<=0){
    ERR_print_errors_fp(標準出力);
    終了(1);
  }

  /* クライアントに送信するために使用されるユーザーのデジタル証明書を読み込みます。 証明書には公開鍵が含まれています*/
  SSL_CTX_use_certificate_file(ctx, argv[3], SSL_FILETYPE_PEM) <= 0の場合{
    ERR_print_errors_fp(標準出力);
    終了(1);
  }
  /* ユーザーの秘密鍵を読み込む */
  SSL_CTX_use_PrivateKey_file(ctx, argv[4], SSL_FILETYPE_PEM) <= 0の場合{
    ERR_print_errors_fp(標準出力);
    終了(1);
  }
  /* ユーザーの秘密鍵が正しいかどうかを確認します*/
  if (!SSL_CTX_check_private_key(ctx)) {
    ERR_print_errors_fp(標準出力);
    終了(1);
  }

  /* ソケットリスナーを開く */
  ((sockfd = socket(PF_INET, SOCK_STREAM, 0)) == -1) の場合 {
    perror("ソケット");
    終了(1);
  } それ以外
    printf("ソケットが作成されました\n");

  bzero(&my_addr, sizeof(my_addr));
  my_addr.sin_family = PF_INET;
  my_addr.sin_port = htons(myport);
  my_addr.sin_addr.s_addr = INADDR_ANY;

  (bind(sockfd, (struct sockaddr *) &my_addr, sizeof(struct sockaddr))の場合
      == -1) {
    perror("バインド");
    終了(1);
  } それ以外
    printf("バインドされました\n");

  （sockfd、lisnum）== -1の場合{
    perror("聞く");
    終了(1);
  } それ以外
    printf("リッスン開始\n");

  一方（1）{
    TLS 1.2 以降
    len = sizeof(構造体sockaddr);
    /* クライアントの接続を待機中*/
    ((new_fd = accept(sockfd, (struct sockaddr *) &their_addr, &len))の場合
        == -1) {
      perror("受け入れる");
      終了(エラー番号);
    } それ以外
      printf("サーバー: %s、ポート %d、ソケット %d から接続を取得しました\n",
          inet_ntoa(そのアドレス.sin_addr)、ntohs(そのアドレス.sin_port)、
          新しい_fd);

    /* ctx に基づいて新しい SSL を生成する */
    ssl = SSL_new(ctx);
    /* 接続されたユーザーのソケットを SSL に追加します */
    SSL_set_fd(ssl, new_fd);
    /* SSL接続を確立する */
    SSL_accept(ssl) == -1の場合{
      perror("受け入れる");
      new_fd を閉じます。
      壊す;
    }
    証明書を表示します(ssl);

    /* 新しい接続ごとにデータの送受信処理を開始します*/
    bzero(バッファ、MAXBUF + 1);
    strcpy(buf, "サーバー->クライアント");
    /* クライアントにメッセージを送信する */
    len = SSL_write(ssl, buf, strlen(buf));

    長さ<= 0の場合{
      printf("メッセージ '%s' の送信に失敗しました! エラーコードは %d、エラーメッセージは '%s' です\n", buf, errno,
          strerror(エラー番号)
      終了する;
    } それ以外
      printf("メッセージ '%s' は正常に送信されました。合計 %d バイトが送信されました!\n", buf, len);

    bzero(バッファ、MAXBUF + 1);
    /* クライアントからのメッセージを受信 */
    len = SSL_read(ssl, buf, MAXBUF);
    長さが0より大きい場合
      printf("メッセージの受信に成功しました: '%s'、%d バイトのデータ\n", buf, len);
    それ以外
      printf("メッセージの受信に失敗しました! エラーコードは %d、エラーメッセージは '%s' です\n",
      エラー番号、strerror(エラー番号)。
    /* 新しい接続ごとにデータの送受信の終了を処理する*/
    仕上げる：
    /* SSL接続を閉じる */
    SSL_shutdown(SSL);
    /* SSL を解放する */
    SSL_free(SSL) を使用します。
    /* ソケットを閉じる */
    new_fd を閉じます。
  }
  /* リスニングソケットを閉じる */
  閉じる(sockfd);
  /* CTX を解放する */
  SSL_CTX_free(ctx);
  0を返します。
}

#include <stdio.h>
#include <文字列.h>
#include <errno.h>
#include <sys/socket.h>
#include <resolv.h>
#include <stdlib.h>
#include <netinet/in.h>
#include <arpa/inet.h>
#include <unistd.h>
#include <openssl/ssl.h>
#include <openssl/err.h>

#MAXBUF 1024 を定義します

void 証明書を表示(SSL * ssl)
{
  X509 *証明書;
  文字 *行;

  証明書 = SSL_get_peer_certificate(ssl);
  // SSL_get_verify_result() が重要なポイントです。SSL_CTX_set_verify() は、有効にするかどうかを設定するだけで、認証は実行しません。この関数を呼び出すと、実際に証明書の認証が検証されます。// 検証に失敗した場合、プログラムは例外をスローして接続を終了します if (SSL_get_verify_result (ssl) == X509_V_OK) {
    printf("証明書の検証に合格しました\n");
  }
  （証明書がNULLではない場合）{
    printf("デジタル証明書情報:\n");
    行 = X509_NAME_oneline(X509_get_subject_name(cert), 0, 0);
    printf("証明書: %s\n", 行);
    フリー(行);
    行 = X509_NAME_oneline(X509_get_issuer_name(cert), 0, 0);
    printf("発行者: %s\n", 行);
    フリー(行);
    X509_free(証明書);
  } それ以外
    printf("証明書情報がありません!\n");
}

int main(int argc, char **argv)
{
  int sockfd、長さ;
  構造体 sockaddr_in 宛先;
  char バッファ[MAXBUF + 1];
  SSL_CTX *ctx;
  TLS 1.2 以降

  （引数が5の場合）{
    printf("パラメータのフォーマットエラーです。正しい使用法は次のとおりです:\n\t\t%s IP アドレス ポート\n\t例:\t%s 127.0.0.1 80\nこのプログラムは、特定の"
       「IP アドレスのサーバーは、特定のポートで最大 MAXBUF バイトのメッセージを受信します」
       argv[0], argv[0]);
    終了(0);
  }

  /* SSL ライブラリの初期化、ssl-server.c コードを参照*/
  SSL_library_init();
  すべてのアルゴリズムを追加します。
  SSL_load_error_strings();
  ctx = SSL_CTX_new(SSLv23_client_method());
  ctx == NULLの場合{
    ERR_print_errors_fp(標準出力);
    終了(1);
  }

  // 双方向検証 // SSL_VERIFY_PEER --- 証明書認証が必要であり、証明書が存在しない場合でも要求を通過させます // SSL_VERIFY_FAIL_IF_NO_PEER_CERT --- クライアントに証明書の提供を要求しますが、証明書が存在しない場合でも要求を通過させます SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER|SSL_VERIFY_FAIL_IF_NO_PEER_CERT, NULL);
  // 信頼されたルート証明書を設定します if (SSL_CTX_load_verify_locations(ctx, "ca.crt",NULL)<=0){
    ERR_print_errors_fp(標準出力);
    終了(1);
  }

  /* クライアントに送信するために使用されるユーザーのデジタル証明書を読み込みます。 証明書には公開鍵が含まれています*/
  SSL_CTX_use_certificate_file(ctx, argv[3], SSL_FILETYPE_PEM) <= 0の場合{
    ERR_print_errors_fp(標準出力);
    終了(1);
  }
  /* ユーザーの秘密鍵を読み込む */
  SSL_CTX_use_PrivateKey_file(ctx, argv[4], SSL_FILETYPE_PEM) <= 0の場合{
    ERR_print_errors_fp(標準出力);
    終了(1);
  }
  /* ユーザーの秘密鍵が正しいかどうかを確認します*/
  if (!SSL_CTX_check_private_key(ctx)) {
    ERR_print_errors_fp(標準出力);
    終了(1);
  }

  /* TCP通信用のソケットを作成する */
  ((sockfd = socket(AF_INET, SOCK_STREAM, 0)) < 0) の場合 {
    perror("ソケット");
    終了(エラー番号);
  }
  printf("ソケットが作成されました\n");

  /* サーバー（相手側）のアドレスとポート情報を初期化します*/
  bzero(&dest, sizeof(dest));
  dest.sin_family = AF_INET;
  dest.sin_port = htons(atoi(argv[2]));
  inet_aton(argv[1], (struct in_addr *) &dest.sin_addr.s_addr) == 0の場合{
    perror(argv[1]);
    終了(エラー番号);
  }
  printf("アドレスが作成されました\n");

  /* サーバーに接続 */
  (connect(sockfd, (struct sockaddr *) &dest, sizeof(dest)) != 0) の場合 {
    perror("接続 ");
    終了(エラー番号);
  }
  printf("サーバーが接続されました\n");

  /* ctx に基づいて新しい SSL を生成する */
  ssl = SSL_new(ctx);
  SSL_set_fd(ssl, sockfd);
  /* SSL接続を確立する */
  SSL_connect(ssl) == -1の場合
    ERR_print_errors_fp(標準エラー出力);
  それ以外 {
    printf("%s 暗号化で接続しました\n", SSL_get_cipher(ssl));
    証明書を表示します(ssl);
  }

  /* 相手から送信されたメッセージを受信し、最大 MAXBUF バイトを受信します*/
  bzero(バッファ、MAXBUF + 1);
  /* サーバーからメッセージを受信 */
  len = SSL_read(ssl, バッファ, MAXBUF);
  長さが0より大きい場合
    printf("メッセージを正常に受信しました: '%s'、合計 %d バイトのデータ\n",
        バッファ、長さ);
  それ以外 {
    プリント
      ("メッセージの受信に失敗しました! エラー コードは %d、エラー メッセージは '%s'\n",
       エラー番号、strerror(エラー番号)。
    終了する;
  }
  bzero(バッファ、MAXBUF + 1);
  strcpy(バッファ、「クライアントから->サーバーへ」);
  /* サーバーにメッセージを送信します */
  len = SSL_write(ssl, バッファ, strlen(バッファ));
  長さが 0 未満の場合
    プリント
      ("メッセージ '%s' の送信に失敗しました! エラー コードは %d、エラー メッセージは '%s' です\n",
       バッファ、errno、strerror(errno));
  それ以外
    printf("メッセージ '%s' は正常に送信されました。合計 %d バイトが送信されました!\n",
        バッファ、長さ);

 仕上げる：
  /* 接続を閉じる */
  SSL_shutdown(SSL);
  SSL_free(SSL) を使用します。
  閉じる(sockfd);
  SSL_CTX_free(ctx);
  0を返します。
}

# CA 証明書とキーの生成方法 1 - CA キーと自己署名証明書を直接生成する # 今後、秘密キー ファイル ca_rsa_private.pem を読み取るときにパスワードを入力する必要がない場合、つまり、秘密キーを暗号化して保存しない場合は、-passout pass:123456 を -nodes に置き換えます
openssl req -newkey rsa:2048 -passout pass:123456 -keyout ca_rsa_private.pem -x509 -days 365 -out ca.crt -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CA/[email protected]"
# CA 証明書とキーの生成方法 2 - CA キーと自己署名証明書を段階的に生成します。
# openssl genrsa -aes256 -passout pass:123456 -out ca_rsa_private.pem 2048
# openssl req -new -x509 -days 365 -key ca_rsa_private.pem -passin pass:123456 -out ca.crt -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CA/[email protected]"

# サーバー証明書とキーの生成方法 1 - 署名するサーバーキーと証明書を直接生成する # 今後、秘密鍵ファイル server_rsa_private.pem を読み取るときにパスワードを入力する必要がない場合、つまり秘密鍵を暗号化して保存しない場合は、-passout pass:server を -nodes に置き換えます
openssl req -newkey rsa:2048 -passout pass:server -keyout server_rsa_private.pem -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=SERVER/[email protected]"
# サーバー証明書とキーの生成方法 2 -- 署名するサーバーキーと証明書を段階的に生成します。# openssl genrsa -aes256 -passout pass:server -out server_rsa_private.pem 2048
# openssl req -new -key server_rsa_private.pem -passin pass:server -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=SERVER/[email protected]"
# CA 証明書とキーを使用してサーバー証明書に署名します。
openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca_rsa_private.pem -passin pass:123456 -CAcreateserial -out server.crt
# 暗号化された RSA キーを暗号化されていない RSA キーに変換して、読み取るたびに復号化パスワードが必要にならないようにします。# パスワードは、秘密キー ファイルを生成するときに設定されたパスワードと、秘密キー ファイルを読み取るときに入力するパスワードです。たとえば、ここに「server」と入力します。
openssl rsa -in server_rsa_private.pem -out server_rsa_private.pem.unsecure

# クライアント証明書とキーを生成する方法 1: 署名するクライアントキーと証明書を直接生成する # 今後、秘密キーファイル client_rsa_private.pem を読み取るときにパスワードを入力する必要がない場合、つまり秘密キーを暗号化して保存しない場合は、-passout pass:client を -nodes に置き換えます
openssl req -newkey rsa:2048 -passout pass:client -keyout client_rsa_private.pem -out client.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CLIENT/[email protected]"
# クライアント証明書とキーを生成する方法 2: 署名するクライアントキーと証明書を段階的に生成します。
# openssl genrsa -aes256 -passout pass:client -out client_rsa_private.pem 2048
# openssl req -new -key client_rsa_private.pem -passin pass:client -out client.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CLIENT/[email protected]"
# CA 証明書とキーを使用してクライアント証明書に署名します。
openssl x509 -req -days 365 -in client.csr -CA ca.crt -CAkey ca_rsa_private.pem -passin pass:123456 -CAcreateserial -out client.crt
# 暗号化された RSA キーを暗号化されていない RSA キーに変換して、読み取るたびに復号化パスワードが必要にならないようにします。# パスワードは、秘密キー ファイルを生成するときに設定されたパスワードと、秘密キー ファイルを読み取るときに入力されるパスワードです。たとえば、ここに「client」と入力します。
openssl rsa -in client_rsa_private.pem -out client_rsa_private.pem.unsecure