利用OpenSSL编写SSL通信程序时常使用的API

一.int  SSL_CTX_set_cipher_list(SSL_CTX *,const char *str);
    根据SSL/TLS规范,在ClientHello中,客户端会提交一份自己能够支持的加密方法的列表,由服务端选择一种方法后在ServerHello中通知服务端, 从而完成加密算法的协商.

可用的算法为:
    EDH-RSA-DES-CBC3-SHA
    EDH-DSS-DES-CBC3-SHA
    DES-CBC3-SHA
    DHE-DSS-RC4-SHA
    IDEA-CBC-SHA
    RC4-SHA
    RC4-MD5
    EXP1024-DHE-DSS-RC4-SHA
    EXP1024-RC4-SHA
    EXP1024-DHE-DSS-DES-CBC-SHA
    EXP1024-DES-CBC-SHA
    EXP1024-RC2-CBC-MD5
    EXP1024-RC4-MD5
    EDH-RSA-DES-CBC-SHA
    EDH-DSS-DES-CBC-SHA
    DES-CBC-SHA
    EXP-EDH-RSA-DES-CBC-SHA
    EXP-EDH-DSS-DES-CBC-SHA
    EXP-DES-CBC-SHA
    EXP-RC2-CBC-MD5
    EXP-RC4-MD5
    这些算法按一定优先级排列,如果不作任何指定,默认为DES-CBC3-SHA.用SSL_CTX_set_cipher_list可以指定自己希望用到的算法(实际上只是提高其优先级,是否能使用还要看对方是否支持).
例如：SSL_CTX_set_cipher_list(ctx,"RC4-MD5");//选择RC4-MD5做为加密方法

    在消息传输过程中采用对称加密(比公钥加密在速度上有极大的提高),其所用秘钥(shared secret)在握手过程中协商(每次对话过程均不同,在一次对话中都有可能有几次改变),并通过公钥加密的手段由客户端提交服务端.

二.void SSL_CTX_set_verify(SSL_CTX *ctx,int mode,int (*callback)(int, X509_STORE_CTX *));
    缺省mode是SSL_VERIFY_NONE,如果想要验证对方的话,便要将此项变成SSL_VERIFY_PEER.SSL/TLS中缺省只验证server,如果没有设置 SSL_VERIFY_PEER的话,客户端连证书都不会发过来.

三.int SSL_CTX_load_verify_locations(SSL_CTX *ctx, const char *CAfile,const char *CApath);
    要验证对方的话,当然装要有CA的证书了,此函数用来便是加载CA证书文件的.

四.int SSL_CTX_use_certificate_file(SSL_CTX *ctx, const char *file, int type);
    加载自己的证书文件.

五.int SSL_CTX_use_PrivateKey_file(SSL_CTX *ctx, const char *file, int type);
    加载自己的私钥,以用于签名.

六.int SSL_CTX_check_private_key(SSL_CTX *ctx);
    调用了以上两个函数后,自己检验一下证书与私钥是否配对.

七.void RAND_seed(const void *buf,int num);
    在win32环境下将使用到此函数，可以用以下两个函数生成种子:
    void RAND_screen(void);
    int RAND_event(UINT, WPARAM, LPARAM);
    其中RAND_screen()以屏幕内容作为"seed"产生随机数,RAND_event可以捕获windows中的事件(event),以此为基础
产生随机数.如果一直有用户干预的话,用这种办法产生的随机数能够"更加随机",但如果机器一直没人理,则每次都将产生同样的数字.

    这几个函数都只在WIN32环境下编译时有用,各种UNIX下就不必调了.
    大量其他的相关函数原型,见crypto/rand/rand.h.

八.void OpenSSL_add_ssl_algorithms()或SSLeay_add_ssl_algorithms()
    其实都是调用int SSL_library_init(void)进行一些必要的初始化工作,用openssl编写SSL/TLS程序的话第一句便应是它.

九.void  SSL_load_error_strings(void );
    如果想打印出一些方便阅读的调试信息的话,便要在一开始调用此函数.

十.void ERR_print_errors_fp(FILE *fp);
    如果调用了SSL_load_error_strings()后,便可以随时用ERR_print_errors_fp()来打印错误信息了.

十一.X509 *SSL_get_peer_certificate(SSL *s);
    握手完成后,便可以用此函数从SSL结构中提取出对方的证书(此时证书得到且已经验证通过)整理成X509结构.

十二.X509_NAME *X509_get_subject_name(X509 *a);
    得到证书所有者的名字,参数可用通过SSL_get_peer_certificate()得到的X509对象.

十三.X509_NAME *X509_get_issuer_name(X509 *a)
    得到证书签署者(往往是CA)的名字,参数可用通过SSL_get_peer_certificate()得到的X509对象.

十四.char *X509_NAME_oneline(X509_NAME *a,char *buf,int size);
    将以上两个函数得到的对象变成字符型,以便打印出来.

十五.SSL_METHOD的构造函数,包括
    SSL_METHOD *TLSv1_server_method(void);    /* TLSv1.0 */
    SSL_METHOD *TLSv1_client_method(void);    /* TLSv1.0 */
    
    SSL_METHOD *SSLv2_server_method(void);    /* SSLv2 */
    SSL_METHOD *SSLv2_client_method(void);    /* SSLv2 */
    
    SSL_METHOD *SSLv3_server_method(void);    /* SSLv3 */
    SSL_METHOD *SSLv3_client_method(void);    /* SSLv3 */

    SSL_METHOD *SSLv23_server_method(void);    /* SSLv3 but can rollback to v2 */
    SSL_METHOD *SSLv23_client_method(void);    /* SSLv3 but can rollback to v2 */
    在程序中究竟采用哪一种协议(TLSv1/SSLv2/SSLv3),就看调哪一组构造函数了.