6

openssl ライブラリを使用して C で証明書検証関数を作成しようとしています。私が検証している証明書は自己署名されており、有効期限が切れているため、X509_verify_cert() がエラーを返すことを期待しています (戻り値は 1 で、代わりに store_ctx->error が X509_V_OK に設定されています)。' openssl verify my_pem_cert_file ' 出力:

error 18 at 0 depth lookup:self signed certificate
error 10 at 0 depth lookup:certificate has expired

私が間違っていることは何ですか？これが私のコードです：

static int cert_verify_callback(int ok, X509_STORE_CTX *ctx)
{
    /* Tolerate self-signed certificate */
    if (X509_STORE_CTX_get_error(ctx) == X509_V_ERR_DEPTH_ZERO_SELF_SIGNED_CERT) {
        return 1;
    }

    /* Otherwise don't override */
    return ok;
}

int cert_validate(const char* certFileName) 
{
    BIO *pBio = NULL;
    X509 *pX509 = NULL;
    X509 *CA = NULL;
    X509_STORE *cert_store = NULL;
    X509_STORE_CTX *store_ctx = NULL;
    STACK_OF(X509) *stack_of_x509 = NULL;
    time_t check_time;
    int store_ctx_error;
    int store_ctx_error_depth;


    pBio = BIO_new( BIO_s_file_internal() );
    if(pBio == NULL)
        /* error handling */

    if(BIO_read_filename(pBio, certFileName) <= 0)
        /* error handling */

    pX509 = PEM_read_bio_X509(pBio, NULL, NULL, NULL);
    if (pX509 == NULL)
        /* error handling */

    if( (cert_store= X509_STORE_new()) == NULL)
        /* error handling */

    if( (store_ctx= X509_STORE_CTX_new()) == NULL)
        /* error handling */

    /* edit1: this was wrong: don't add the certificate being verified to the trusted cert list */
    /* if( !X509_STORE_add_cert(cert_store, pX509) ) */
        /* error handling */

    if( !X509_STORE_CTX_init(store_ctx, cert_store, CA, stack_of_x509) )
        /* error handling */

    X509_STORE_CTX_set_cert(store_ctx, pX509);

    /* edit1: this was missing: set the verify time in order to check the certificate for expiry */
    time(&check_time);
    X509_STORE_CTX_set_time(store_ctx, 0, check_time);
    X509_STORE_CTX_set_flags(store_ctx, X509_V_FLAG_USE_CHECK_TIME);

    /* edit1: add callback function for ignoring self-signed error
     * now, I'd like the validation to fail because of the expiry */
    X509_STORE_set_verify_cb_func(store_ctx, cert_verify_callback);

    switch( X509_verify_cert(store_ctx) ) {
        /* the certificate is valid */
        case 1:
            printf("The certificate is valid\n");

            break;

        /* the certificate cannot be validated */
        case -1:
        case 0:
            printf("The certificate is not valid\n");

            store_ctx_error= X509_STORE_CTX_get_error(store_ctx);
            store_ctx_error_depth= X509_STORE_CTX_get_error_depth(store_ctx);
            printf("Error %d at %d depth: %s\n", store_ctx_error, store_ctx_error_depth, X509_verify_cert_error_string(store_ctx->error));

        default:
            break;
    }

    /* free data ... */
}

自己署名された期限切れの証明書を検証するとき、私の関数は次を出力します: Error 0 at 0 depth: ok

4

1 に答える 1

6

この関数X509_STORE_add_cert()は、対応する証明書を検証用の信頼できる証明書として追加するため、次の行は次のようになります。

X509_STORE_add_cert(cert_store, pX509)

あなたのpX509証明書は検証のために信頼されていると言っていますが、それはテストしたい証明書であるため、自己署名証明書が検証に合格しているのはそのためです。

また、検証時間を設定していないため、期限切れの証明書が検出されません。で確認時間を設定しX509_STORE_CTX_set_time()ます。

于 2012-11-28T22:03:24.253 に答える