用OpenSSL编写SSL,TLS程序(3)

三:需要了解的一些函数:
 
1.int    SSL_CTX_set_cipher_list(SSL_CTX *,const char *str);
根据SSL/TLS规范,在ClientHello中,客户端会提交一份自己能够支持的加密方法的列表,由服务端选择一种方法后在ServerHello中通知服务端, 从而完成加密算法的协商.
 
可用的算法为:
EDH-RSA-DES-CBC3-SHA
EDH-DSS-DES-CBC3-SHA
DES-CBC3-SHA
DHE-DSS-RC4-SHA
IDEA-CBC-SHA
RC4-SHA
RC4-MD5
EXP1024-DHE-DSS-RC4-SHA
EXP1024-RC4-SHA
EXP1024-DHE-DSS-DES-CBC-SHA
EXP1024-DES-CBC-SHA
EXP1024-RC2-CBC-MD5
EXP1024-RC4-MD5
EDH-RSA-DES-CBC-SHA
EDH-DSS-DES-CBC-SHA
DES-CBC-SHA
EXP-EDH-RSA-DES-CBC-SHA
EXP-EDH-DSS-DES-CBC-SHA
EXP-DES-CBC-SHA
EXP-RC2-CBC-MD5
EXP-RC4-MD5
这些算法按一定优先级排列,如果不作任何指定,将选用DES-CBC3-SHA.用SSL_CTX_set_cipher_list可以指定自己希望用的算法(实际上只是 提高其优先级,是否能使用还要看对方是否支持).
 
我们在程序中选用了RC4做加密,MD5做消息摘要(先进行MD5运算,后进行RC4加密).即
SSL_CTX_set_cipher_list(ctx,"RC4-MD5");
 
在消息传输过程中采用对称加密(比公钥加密在速度上有极大的提高),其所用秘钥(shared secret)在握手过程中中协商(每次对话过程均不同, 在一次对话中都有可能有几次改变),并通过公钥加密的手段由客户端提交服务端.

2.void SSL_CTX_set_verify(SSL_CTX *ctx,int mode,int (*callback)(int, X509_STORE_CTX *));
缺省 mode 是 SSL_VERIFY_NONE, 如果想要验证对方的话 , 便要将此项变成 SSL_VERIFY_PEER.SSL/TLS 中缺省只验证 server, 如果没有设置 SSL_VERIFY_PEER 的话 , 客户端连证书都不会发过来 .
 
3.int SSL_CTX_load_verify_locations(SSL_CTX *ctx, const char *CAfile,const char *CApath);
要验证对方的话 , 当然装要有 CA 的证书了 , 此函数用来便是加载 CA 的证书文件的 .
 
4.int SSL_CTX_use_certificate_file(SSL_CTX *ctx, const char *file, int type);
加载自己的证书文件 .
 
5.int SSL_CTX_use_PrivateKey_file(SSL_CTX *ctx, const char *file, int type);
加载自己的私钥 , 以用于签名 .
 
6.int SSL_CTX_check_private_key(SSL_CTX *ctx);
调用了以上两个函数后 , 自己检验一下证书与私钥是否配对 .
7.void RAND_seed(const void *buf,int num);
在 win32 的环境中 client 程序运行时出错 (SSL_connect 返回 -1) 的一个主要机制便是与 UNIX 平台下的随机数生成机制不同 ( 握手的时候用的到 ). 具体描述可见 mod_ssl 的 FAQ. 解决办法就是调用此函数 , 其中 buf 应该为一随机的字符串 , 作为 "seed".
还可以采用一下两个函数 :
void RAND_screen(void);
int RAND_event(UINT, WPARAM, LPARAM);
其中 RAND_screen() 以屏幕内容作为 "seed" 产生随机数 ,RAND_event 可以捕获 windows 中的事件 (event), 以此为基础产生随机数 . 如果一直有 用户干预的话 , 用这种办法产生的随机数能够 " 更加随机 ", 但如果机器一直没人理 ( 如总停在登录画面 ), 则每次都将产生同样的数字 .
 
这几个函数都只在 WIN32 环境下编译时有用 , 各种 UNIX 下就不必调了 .
大量其他的相关函数原型 , 见 crypto/rand/rand.h.
 
8.OpenSSL_add_ssl_algorithms() 或 SSLeay_add_ssl_algorithms()
其实都是调用 int SSL_library_init(void)
进行一些必要的初始化工作 , 用 openssl 编写 SSL/TLS 程序的话第一句便应是它 .
 
9.void    SSL_load_error_strings(void );
如果想打印出一些方便阅读的调试信息的话 , 便要在一开始调用此函数 .
 
10.void ERR_print_errors_fp(FILE *fp);
如果调用了 SSL_load_error_strings() 后 , 便可以随时用 ERR_print_errors_fp() 来打印错误信息了 .
 
11.X509 *SSL_get_peer_certificate(SSL *s);
握手完成后 , 便可以用此函数从 SSL 结构中提取出对方的证书 ( 此时证书得到且已经验证过了 ) 整理成 X509 结构 .
 
12.X509_NAME *X509_get_subject_name(X509 *a);
得到证书所有者的名字 , 参数可用通过 SSL_get_peer_certificate() 得到的 X509 对象 .
 
13.X509_NAME *X509_get_issuer_name(X509 *a)
得到证书签署者 ( 往往是 CA) 的名字 , 参数可用通过 SSL_get_peer_certificate() 得到的 X509 对象 .
 
14.char *X509_NAME_oneline(X509_NAME *a,char *buf,int size);
将以上两个函数得到的对象变成字符型 , 以便打印出来 .
 
15.SSL_METHOD 的构造函数 , 包括
SSL_METHOD *TLSv1_server_method(void);    /* TLSv1.0 */
SSL_METHOD *TLSv1_client_method(void);    /* TLSv1.0 */
 
SSL_METHOD *SSLv2_server_method(void);    /* SSLv2 */
SSL_METHOD *SSLv2_client_method(void);    /* SSLv2 */
 
SSL_METHOD *SSLv3_server_method(void);    /* SSLv3 */
SSL_METHOD *SSLv3_client_method(void);    /* SSLv3 */
 
SSL_METHOD *SSLv23_server_method(void);    /* SSLv3 but can rollback to v2 */
SSL_METHOD *SSLv23_client_method(void);    /* SSLv3 but can rollback to v2 */
在程序中究竟采用哪一种协议 (TLSv1/SSLv2/SSLv3), 就看调哪一组构造函数了 .