本文探讨了在TLS连接中，OpenSSL如何处理证书验证。当遇到不同场景，如缺少根证书、证书过期或签名错误时，OpenSSL会返回特定的验证错误代码。在某些情况下，OpenSSL不会通过Alert Message直接反馈失败，而需要应用层根据这些错误代码决定是否继续TLS流程。错误代码包括X509_V_ERR_UNABLE_TO_VERIFY_LEAF_SIGNATURE, X509_V_ERR_UNABLE_TO_GET_ISSUER_CERT等，并提到了可能接收到的Alert Message类型。"
86648408,5279151,Linux Kernel防火墙：iptables/netfilter详解,"['Linux防火墙', 'iptables配置', '网络安全', 'netfilter', 'Linux内核']
int verify_err = SSL_get_verify_result(client.ssl);
拿到非X509_V_OK结果后，需由客户端/服务端应用层来决定是否中止TLS流程，
在一些场景下，openSSL库并不会通过Alert Message来反馈证书验证失败的结果，具体如下：
- 场景1：当服务端只发送合法的用户证书时，客户端设置根证书和二级证书：
r = SSL_CTX_load_verify_locations(k->ctx, "/data/user/0/cn.areful.openssl/files/TEST Root CA.pem", NULL); //根证书
r = SSL_CTX_load_verify_locations(k->ctx, "/data/user/0/cn.areful.openssl/files/TEST USER CA.pem", NULL); //二级证书
verify_err = X509_V_OK
- 场景2：当服务端只发送合法的用户证书时，客户端仅设置根证书或者未设置根证书及二级证书：
verify_err = X509_V_ERR_UNABLE_TO_VERIFY_LEAF_SIGNATURE - 场景3：当服务端只发送合法的用户证书时，客户端仅设置二级证书：
verify_err = X509_V_ERR_UNABLE_TO_GET_ISSUER_CERT - 场景4：当服务端只发送过期的用户证书时，客户端仅设置根证书：
verify_err = X509_V_ERR_CERT_HAS_EXPIRED - 场景5&#
最低0.47元/天 解锁文章
3575
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
