Openssl应用编程

对于openssl应用编程这方面的详细文档很少，我是通过认真分析openssl源码包中的示例代码来学习并结合man文档来理解它的基本结构的。SSL通讯模型为标准的C/S结构，除了在TCP层之上进行传输之外，与一般的通讯没有什么明显的区别。下面我对用SSL建立安全的TCP连接的流程作一简单分析。
一、数字证书准备
通常情况下我们的服务端需要
服务器端的私钥server.key文件
服务器端证书server.crt文件
对于双向认证连接，要用到
客户端的私钥client.key文件
客户器端证书client.crt文件
对于单向认证连接，不需要用到户端证书文件
二、 程序结构
与ssl有关的头文件都放在openssl目录下，通常需要用到这些：
#include /* SSLeay stuff */与RSA算法有关的一些定义
#include /*加密库接口*/
#include /*证书文件相关*/
#include
#include
#include
1、对OPENSSL的一些必要的初始化
SSL_load_error_strings(); /*进行错误信息的初始化,不是必须的， 如果要使用OpenSSL的出错信息打印，就要调用它*/
SSLeay_add_ssl_algorithms(); /*加载SSL算法库*/
/*还可使用以下两种方法加载SSL算法库
SSL_library_init(void);
OpenSSL_add_ssl_algorithms();
*/
创建SSL上下方环境
meth = SSLv23_server_method();
/*客户端模式有：
SSL_METHOD* TLSv1_client_method(void);TLSv1.0协议
SSL_METHOD* SSLv2_client_method(void);SSLv2协议
SSL_METHOD* SSLv3_client_method(void);SSLv3协议
SSL_METHOD* SSLv23_client_method(void);SSLv2/v3协议
服务端模式有：
SSL_METHOD* TLSv1_server_method(void);
SSL_METHOD* SSLv2_server_method(void);
SSL_METHOD* SSLv3_server_method(void);
SSL_METHOD* SSLv23_server_method(void);
*/
ctx = SSL_CTX_new (meth); /*在应用中，客户端和服务端必须为相同模式*/
ctx为返回的为当前SSL会话环境的指针，我们根据自己的需要对它进行设置：
void SSL_CTX_set_verify(SSL_CTX*, int, int* (int, X509_STORE_CTX*));
设置证书验证的方式。第一个参数是当前的CTX指针，第二个是验证方式，如果是要验证对方的话，就使用SSL_VERIFY_PEER。不需要的话，使用 SSL_VERIFY_NONE.一般情况下，客户端需要验证对方，而服务器不需要。第三个参数是处理验证的回调函数，如果没有特殊的需要，使用空指针就可以了。
void SSL_CTX_load_verify_locations(SSL_CTX*, const char*, const char*);
加载证书,第一个参数同上，参数二是证书文件的名称，参数三是证书文件的路径;
int SSL_CTX_use_certificate_file(SSL_CTX* ctx, const char* file,int type);
加载本地的证书;type指明证书文件的结构类型;失败返回-1
SSL_CTX_set_default_passwd_cb_userdata(ctx, "123456");
设置SSL要加载的证书的口令，如果不设置的话加载证书时会出提示符要求输入口令的，这样在程序中使用就比较麻烦，该函数就是预先将口令保存，在读证书时自动使用。
int SSL_CTX_use_PrivateKey_file(SSL_CTX* ctx,const char* file,int type);
加载自己的私钥；type参数指明私钥文件的结构类型；失败返回-1。加载了证书和文件之后，就可以验证私钥和证书是否相符：
int SSL_CTX_check_private_key(SSL_CTX*);
示例：
if (SSL_CTX_use_certificate_file(ctx, server.crt, SSL_FILETYPE_PEM) <= 0) {
ERR_print_errors_fp(stderr);
exit(3);
}
SSL_CTX_set_default_passwd_cb_userdata(ctx, "123456789");
if (SSL_CTX_use_PrivateKey_file(ctx, server.key, SSL_FILETYPE_PEM) <= 0) {
ERR_print_errors_fp(stderr);
exit(4);
}
if (!SSL_CTX_check_private_key(ctx)) {
fprintf(stderr,"Private key does not match the certificate public key/n");
exit(5);
}
2、关联tcp套接字
SSL接连是依赖于socket套接字的，所以安全连接必须关联相应套接字。SSL通信过程是在tcp连接建立之后进行的，所以套接字的建立过程跟普通的socket编程没有什么不同的，这里不在赘述。
ssl = SSL_new (ctx); //申请SSL套接字
SSL_set_fd (ssl, sd); //绑定读写套接字
以上调用将连接成功的TCP套接字与SSL关联。
3、开始安全通信
对于服务端调用
err = SSL_accept (ssl);
监听客户请求，对于客户端调用
err = SSL_connect (ssl);
发起连接。成功之后，双方就可以通过调用
int SSL_read(SSL* ssl, char* buf, int num);
int SSL_write(SSL* ssl, char* buf, int num);
进行安全通信了。
此时双方可通过调用X509* SSL_get_peer_certificate(SSL* ssl)来获取对方的证书信息
示例：
client_cert = SSL_get_peer_certificate (ssl);
if (client_cert != NULL) {
printf ("Client certificate:/n");
str = X509_NAME_oneline (X509_get_subject_name (client_cert), 0, 0);
CHK_NULL(str);
printf ("/t subject: %s/n", str);
OPENSSL_free (str);
str = X509_NAME_oneline (X509_get_issuer_name (client_cert), 0, 0);
CHK_NULL(str);
printf ("/t issuer: %s/n", str);
OPENSSL_free (str);
/* We could do all sorts of certificate verification stuff here before
deallocating the certificate. */
X509_free (client_cert);
} else
printf ("Client does not have certificate./n");
4、通讯结束，需要释放前面申请的SSL资源
int SSL_shutdown(SSL* ssl);关闭SSL套接字;
void SSL_free(ssl);释放SSL套接字;
void SSL_CTX_free(ctx);释放SSL环境;