那些遇到过的问题

Boost.Asio SSL上下文未验证证书

owa*_*der 2 c++ https boost openssl ssl-certificate

这是我之前的问题的延续,Boost.Asio SSL上下文load_verify_paths没有加载证书.

我有一个从Windows上的系统CA存储生成的CA文件.任何无效/过期的证书都不包含在生成的文件中.

我的Boost Asio代码不想使用此CA存储进行验证.文件加载得很好,ssl::context::load_verify_file返回没有错误,但验证回调一直被preverified设置为调用false.

以下是使用证书文件运行openssl的示例:

Loading 'screen' into random state - done
CONNECTED(00000178)
depth=3 /C=SE/O=AddTrust AB/OU=AddTrust External TTP Network/CN=AddTrust External CA Root
verify return:1
depth=2 /C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA
Certification Authority
verify return:1
depth=1 /C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA
Domain Validation Secure Server CA
verify return:1
depth=0 /OU=Domain Control Validated/OU=PositiveSSL/CN=example.org
verify return:1
---
Certificate chain
 0 s:/OU=Domain Control Validated/OU=PositiveSSL/CN=example.org
   i:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Domain Validation Secure Server CA
 1 s:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Domain Validation Secure Server CA
   i:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Certification Authority
 2 s:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Certification Authority
   i:/C=SE/O=AddTrust AB/OU=AddTrust External TTP Network/CN=AddTrust External CA Root
---
Server certificate
-----BEGIN CERTIFICATE-----
...snipped...
-----END CERTIFICATE-----
subject=/OU=Domain Control Validated/OU=PositiveSSL/CN=example.org
issuer=/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Domain Validation Secure Server CA
---
Acceptable client certificate CA names
/OU=Domain Control Validated/OU=PositiveSSL/CN=example.org
/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Certification Authority
/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Domain Validation Secure Server CA
---
SSL handshake has read 5399 bytes and written 334 bytes
---
New, TLSv1/SSLv3, Cipher is DHE-RSA-AES256-SHA
Server public key is 2048 bit
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1
    Cipher    : DHE-RSA-AES256-SHA
    Session-ID: 8C04CCAE22F4B111AD13F10448ACDAD0C7F567F22C0D05829BDAE1DF9F29A005

    Session-ID-ctx:
    Master-Key: B99A5E1D0C3CF5421C41CDE88B6F21FD9816800409775C497859FAFCAE3A8942
1A670D72808C804A33A10BF9A26B22AB
    Key-Arg   : None
    Start Time: 1477664766
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)
Run Code Online (Sandbox Code Playgroud)

另一个没有证书文件的openssl运行:

Loading 'screen' into random state - done
CONNECTED(00000178)
depth=2 /C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Certification Authority
verify error:num=20:unable to get local issuer certificate
verify return:0
---
Certificate chain
 0 s:/OU=Domain Control Validated/OU=PositiveSSL/CN=example.org
   i:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Domain Validation Secure Server CA
 1 s:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Domain Validation Secure Server CA
   i:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Certification Authority
 2 s:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Certification Authority
   i:/C=SE/O=AddTrust AB/OU=AddTrust External TTP Network/CN=AddTrust External CA Root
---
Server certificate
-----BEGIN CERTIFICATE-----
...snipped...
-----END CERTIFICATE-----
subject=/OU=Domain Control Validated/OU=PositiveSSL/CN=example.org
issuer=/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Domain Validation Secure Server CA
---
Acceptable client certificate CA names
/OU=Domain Control Validated/OU=PositiveSSL/CN=example.org
/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Certification Authority
/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Domain Validation Secure Server CA
---
SSL handshake has read 5399 bytes and written 334 bytes
---
New, TLSv1/SSLv3, Cipher is DHE-RSA-AES256-SHA
Server public key is 2048 bit
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1
    Cipher    : DHE-RSA-AES256-SHA
    Session-ID: 18036DF0E136729F9FE1BD8F51AA2FEF687D84D43918895B3F5847A2EB8C7109

    Session-ID-ctx:
    Master-Key: DA4BCC28FB9F4F5BCD9C9FBB51AA02B8A380F0580258A0F67E56BA2BFD627C54
AB700C343F0741A77AC037E54272EB1E
    Key-Arg   : None
    Start Time: 1477665097
    Timeout   : 300 (sec)
    Verify return code: 20 (unable to get local issuer certificate)
Run Code Online (Sandbox Code Playgroud)

如您所见,证书文件包含相应的根证书,因为openssl仅在使用该文件时连接.

我的问题是,为什么openssl验证使用此文件,但Boost Asio不？如何更正此问题,以便Boost Asio验证使用生成的CA存储？

rbr*_*rbr 5

如果你的目标是使用带有boost asio的windows ca存储,你可以将来自商店的证书"附加"到boost ssl上下文,如下所示:

#include <boost/asio/ssl/context.hpp>
#include <wincrypt.h>

void add_windows_root_certs(boost::asio::ssl::context &ctx)
{
    HCERTSTORE hStore = CertOpenSystemStore(0, "ROOT");
    if (hStore == NULL) {
        return;
    }

    X509_STORE *store = X509_STORE_new();
    PCCERT_CONTEXT pContext = NULL;
    while ((pContext = CertEnumCertificatesInStore(hStore, pContext)) != NULL) {
        // convert from DER to internal format
        X509 *x509 = d2i_X509(NULL,
                              (const unsigned char **)&pContext->pbCertEncoded,
                              pContext->cbCertEncoded);
        if(x509 != NULL) {
            X509_STORE_add_cert(store, x509);
            X509_free(x509);
        }
    }

    CertFreeCertificateContext(pContext);
    CertCloseStore(hStore, 0);

    // attach X509_STORE to boost ssl context
    SSL_CTX_set_cert_store(ctx.native_handle(), store);
}
Run Code Online (Sandbox Code Playgroud)

这将从windows ca store加载证书(类似于您链接的问题).但是,不是将证书转换为base64,而是使用d2i_X509将它们转换为内部OpenSSL格式,并将它们添加到OpenSSL X509_STORE.然后SSL_CTX_set_cert_store将该存储附加到boost ssl上下文.您可以使用它来设置ssl上下文,然后将其用于ssl套接字:

namespace ssl = boost::asio::ssl;
ssl::context ctx(ssl::context::tlsv12_client);
ctx.set_options(ssl::context::default_workarounds
                            | ssl::context::no_sslv2
                            | ssl::context::no_sslv3
                            | ssl::context::tlsv12_client);

add_windows_root_certs(ctx);
ctx.set_verify_mode(ssl::verify_peer | ssl::verify_fail_if_no_peer_cert);

// use custom verify_callback here for debugging purposes
ctx.set_verify_callback(ssl::rfc2818_verification(address));

ssl::stream<boost::asio::ip::tcp::socket> socket(io, ctx);
// socket ready to connect to ssl host
Run Code Online (Sandbox Code Playgroud)

owa*_*der 1

问题是创建的另一个boost::asio::ssl::context未加载系统证书，而是使用set_default_verify_paths，它适用于 Linux，但不适用于 Windows。它在 Linux 上工作，因为系统证书位于默认验证路径中，但在 Windows 上，它是一个空目录（我没有使用任何证书设置 OpenSSL 安装）。

对于遇到类似问题的其他人，请确保您实际上正在使用boost::asio::ssl::context正在加载证书的证书，这样您就不会像我一样浪费太多时间。

归档时间：

查看次数：

1947 次

最近记录：

9 年，9 月 前
相关归档
查询特定变量的对齐方式 34
如何避免std :: vector <>初始化其所有元素？ 30
例外和错误代码:以正确的方式混合它们 25
如何将boost :: shared_ptr引入现有(大型)C++代码库？ 6
使用 XCODE 4.6.1 中的 boost - 正确的构建设置是什么？ 5
尝试使用aiohttp构建代理 4
读取base64编码证书的内容 4
如何使用带密码的PEM证书？ 3
由于证书过期，MacOS 上的 pip 因 SSLError 失败 - 如何恢复？ 3
如何将BOOST_FOREACH与Unordered_map一起使用？ 1
难疑归档
var functionName = function(){} vs function functionName(){} 6645
如何从JavaScript对象中删除属性？ 5813
Flash CS4拒绝放手 2735
为什么我的JavaScript在所请求的资源上出现"No'Access-Control-Allow-Origin'标头"错误,当Postman没有？ 2320
什么是C ??!??!操作员呢？ 1911
如何在macOS或OS X上安装pip？ 1676
如何比较两个不同分支的文件？ 1430
如何分析Python脚本？ 1203
在Ruby on Rails中对nil v.空v.空白的简要解释 1098
将绘图保存到图像文件,而不是使用Matplotlib显示它 1060