ATNEL tech-forum

Re: [Linux]Brak połączenia z daemonem SSL

2015-02-11T21:21:24+01:00

Bardzo dziękuję za pomoc. Przerobiłem kod, podpierając się podanymi przykładami i podesłanym kursem.
Przy okazji zauważyłem błąd przy SSL_accept() - instrukcja warunkowa sprawdzała wystąpienie niepoprawnej wartości, przez co przeoczane było wystąpienie błędu.

Podczas normalnego połączenia program działa poprawnie. Zauważyłem jednak, że zaczyna się dziać coś dziwnego, gdy próbuję połączyć się z nim normalnie, przez telnet (bez SSL). Połączenie zostaje zestawone, po wysłaniu pierwszego komunikatu dostaję informację o błędzie z połączeniem SSL, ale samo połączenie nie zostaje przerwane - mogę dalej wklepywać tekst w kliencie telnmetu - musze dopiero sam zamknąć połączenie od strony klienta. Na tym jednak nie koniec - serwer przestaje po tym przyjmować kolejne połączenia (connection timeout).
Ktoś ma jakiś pomysł odnośnie tego, czego brakuje?

Na chwilę obecną kod wygląda tak:

[syntax=c]#include
#include
#include /* memset() */
#include
#include
#include
#include
#include
#include
#include
#include "openssl/ssl.h"
#include "openssl/err.h"

#define PORT 32001 /* Port to listen on */
#define BACKLOG 10 /* Passed to listen() */
#define CLIENT_BUF_SIZE 100

/* Signal handler to reap zombie processes */
void sigchld_handler(int s) {
while(wait(NULL) > 0);
}

SSL_CTX* InitServerCTX(void) {
const SSL_METHOD *method;
SSL_CTX *ctx;

OpenSSL_add_all_algorithms();/* load & register all cryptos, etc. */
SSL_load_error_strings();/* load all error messages */
method = SSLv3_server_method();/* create new server-method instance */
ctx = SSL_CTX_new(method);/* create new context from method */
if ( ctx == NULL ) {
printf("ERROR CTX!\r\n");
}
return ctx;
}

void LoadCertificates(SSL_CTX* ctx, char* CertFile, char* KeyFile)
{
//New lines
if (SSL_CTX_load_verify_locations(ctx, CertFile, KeyFile) != 1)
ERR_print_errors_fp(stderr);

if (SSL_CTX_set_default_verify_paths(ctx) != 1)
ERR_print_errors_fp(stderr);
//End new lines

/* set the local certificate from CertFile */
if (SSL_CTX_use_certificate_file(ctx, CertFile, SSL_FILETYPE_PEM) <= 0)
{
ERR_print_errors_fp(stderr);
abort();
}
/* set the private key from KeyFile (may be the same as CertFile) */
if (SSL_CTX_use_PrivateKey_file(ctx, KeyFile, SSL_FILETYPE_PEM) <= 0)
{
ERR_print_errors_fp(stderr);
abort();
}
/* verify private key */
if (!SSL_CTX_check_private_key(ctx))
{
fprintf(stderr, "Private key does not match the public certificate\n");
abort();
}

//New lines - Force the client-side have a certificate
// SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER | SSL_VERIFY_FAIL_IF_NO_PEER_CERT, NULL);
// SSL_CTX_set_verify_depth(ctx, 4);
//End new lines
}

void ShowCerts(SSL* ssl)
{ X509 *cert;
char *line;

cert = SSL_get_peer_certificate(ssl); /* Get certificates (if available) */
if ( cert != NULL )
{
printf("Server certificates:\n");
line = X509_NAME_oneline(X509_get_subject_name(cert), 0, 0);
printf("Subject: %s\n", line);
free(line);
line = X509_NAME_oneline(X509_get_issuer_name(cert), 0, 0);
printf("Issuer: %s\n", line);
free(line);
X509_free(cert);
}
else
printf("No certificates.\n");
}

int main(void) {

SSL_CTX *ctx;

char CertFile[] = "/home/hypatia/ssl/cert.pem";
char KeyFile[] = "/home/hypatia/ssl/key.pem";

int sock;
struct sigaction sa;
struct sockaddr_in my_addr;
int reuseaddr = 1; /* True */

SSL_library_init();
ctx = InitServerCTX(); /* initialize SSL */
LoadCertificates(ctx, CertFile, KeyFile); /* load certs */

/* Get the address info */
memset(&my_addr, 0x00, sizeof(my_addr));
my_addr.sin_family = AF_INET; // host byte order
my_addr.sin_port = htons(PORT); // short, network byte order
my_addr.sin_addr.s_addr = INADDR_ANY; // uzupełnij moim adresem IP

/* Create the socket */
sock = socket(AF_INET, SOCK_STREAM, 0);
if (sock == -1) {
perror("socket");
return 1;
}

/* Enable the socket to reuse the address */
if (setsockopt(sock, SOL_SOCKET, SO_REUSEADDR, &reuseaddr, sizeof(int)) == -1) {
perror("setsockopt");
return 1;
}

/* Bind to the address */
if (bind(sock, (struct sockaddr *)&my_addr, sizeof(struct sockaddr)) == -1) {
perror("bind");
return 1;
}

/* Listen */
if (listen(sock, BACKLOG) == -1) {
perror("listen");
return 1;
}

/* Set up the signal handler */
sa.sa_handler = sigchld_handler; // zbierz martwe procesy
sigemptyset(&sa.sa_mask);
sa.sa_flags = SA_RESTART;
if (sigaction(SIGCHLD, &sa, NULL) == -1) {
perror("sigaction");
return 1;
}

/* Main loop */
while (1) {
struct sockaddr_in their_addr;
size_t size = sizeof(struct sockaddr_in);
int newsock = accept(sock, (struct sockaddr*)&their_addr, &size);
int pid;

if (newsock == -1) {
perror("accept");
return 0;
}
else {
printf("Got a connection from %s on port %d\n", inet_ntoa(their_addr.sin_addr), htons(their_addr.sin_port));
pid = fork();
if (pid == 0) {
/* In child process */
SSL *ssl;
char *buffer;
int received = 0;

ssl = SSL_new(ctx); /* get new SSL state with context */
SSL_set_fd(ssl, newsock); /* set connection socket to SSL state */

buffer = malloc(CLIENT_BUF_SIZE);
if (buffer == NULL) {
printf("Malloc error\r\n");
exit(0);
}

memset (buffer, 0x00, CLIENT_BUF_SIZE);

close(sock);

if ( SSL_accept(ssl) != 1) {
printf("SSL accept error\r\n");
exit(0);
}
else {
ShowCerts(ssl); /* get any certificates */
}

SSL_write(ssl, "Hello client!\r\n", 15);

while (1) {
//handle
if (received = SSL_read(ssl, buffer, (CLIENT_BUF_SIZE-1))) {
buffer[received] = '\0';
printf("Odebralem nastepujaca tresc: %s\r\n", buffer);
}
}
SSL_free(ssl);
close(newsock);
free(buffer);
return 0;
}
else {
/* Parent process */
if (pid == -1) {
perror("fork");
return 1;
}
else {
//close(newsock);
}
}
}
}

close(sock);

return 0;
}[/syntax]

Statystyki: Napisane przez Atlantis — 11 lut 2015, o 21:21

Re: [Linux]Brak połączenia z daemonem SSL

2015-02-10T09:31:16+01:00

Ja polecam: "Beej's Guide to Network Programming"

http://beej.us/guide/bgnet/

Gdzieś w sieci jest wersja przetłumaczona na PL.

------------------------ [ Dodano po: 8 minutach ]

Długo nie musiałem szukać:
http://cpp0x.pl/kursy/Kurs-WinSock-C++/271
http://www.asawicki.info/Mirror/Beej_s% ... /bgnet.pdf

Statystyki: Napisane przez PROTON — 10 lut 2015, o 09:31

Re: [Linux]Brak połączenia z daemonem SSL

2015-02-09T19:46:16+01:00

PROTON napisał(a):

Sprawdzisz to tym:

[syntax=bash]netstat -aepvt[/syntax]

Hmm...

Code:

tcp        0      0 localhost:32001         *:*                     LISTEN 

Co zrobić, żeby słuchał także na eth0 i generalnie wszystkich innych interfejsach? O tym decyduje jakaś wartość podana w kodzie źródłowym?

Statystyki: Napisane przez Atlantis — 9 lut 2015, o 19:46

Re: [Linux]Brak połączenia z daemonem SSL

2015-02-09T18:44:30+01:00

Sprawdzisz to tym:

[syntax=bash]netstat -aepvt[/syntax]

Statystyki: Napisane przez PROTON — 9 lut 2015, o 18:44

Re: [Linux]Brak połączenia z daemonem SSL

2015-02-09T17:26:35+01:00

PROTON napisał(a):

Na którym interfejsie demon nadsłuchuje? na eth czy na lo?

Hmm... Pytanie zabrzmi głupio, ale jak to sprawdzić?
Do tej pory byłem przekonany, że serwer przypisany do określonego socketu słucha na każdym dostępnym interfejsie i dopiero firewall blokuje niepożądane połączenia.

Statystyki: Napisane przez Atlantis — 9 lut 2015, o 17:26

Re: [Linux]Brak połączenia z daemonem SSL

2015-02-09T15:19:17+01:00

Na którym interfejsie demon nadsłuchuje? na eth czy na lo?

Statystyki: Napisane przez PROTON — 9 lut 2015, o 15:19

Re: [Linux]Brak połączenia z daemonem SSL

2015-02-09T10:20:17+01:00

squeez napisał(a):

Czy masz twój demon słucha na wszystkich interfejsach?

Hmm... Powinien. Nie widzę nigdzie ograniczenia w kodzie, chociaż z programowaniem Linuksa mam do czynienia od stosunkowo niedawna i w większości opieram się na przykładach z dokumentacji systemu i sieciowych tutoriali. Nie widzę jednak nigdzie w kodzie czegoś, co mogłoby blokować połączenia na innych interfejsach niż lo.

[/quote]Jaki to numer portu oraz demon na prawach roota czy usera?[/quote]

Port 32001.
Próbowałem zarówno na prawach usera jak i roota. Efekt zawsze taki sam.
Cały kod źródłowy wygląda następująco:

[syntax=c]#include
#include
#include /* memset() */
#include
#include
#include
#include
#include
#include
#include
#include "openssl/ssl.h"
#include "openssl/err.h"

#define PORT "32001" /* Port to listen on */
#define BACKLOG 10 /* Passed to listen() */
#define CLIENT_BUF_SIZE 100

/* Signal handler to reap zombie processes */
static void wait_for_child(int sig) {
while (waitpid(-1, NULL, WNOHANG) > 0);
}

SSL_CTX* InitServerCTX(void) {
const SSL_METHOD *method;
SSL_CTX *ctx;

OpenSSL_add_all_algorithms();/* load & register all cryptos, etc. */
SSL_load_error_strings();/* load all error messages */
method = SSLv3_server_method();/* create new server-method instance */
ctx = SSL_CTX_new(method);/* create new context from method */
if ( ctx == NULL ) {
printf("ERROR CTX!\r\n");
}
return ctx;
}

void LoadCertificates(SSL_CTX* ctx, char* CertFile, char* KeyFile)
{
//New lines
if (SSL_CTX_load_verify_locations(ctx, CertFile, KeyFile) != 1)
ERR_print_errors_fp(stderr);

if (SSL_CTX_set_default_verify_paths(ctx) != 1)
ERR_print_errors_fp(stderr);
//End new lines

/* set the local certificate from CertFile */
if (SSL_CTX_use_certificate_file(ctx, CertFile, SSL_FILETYPE_PEM) <= 0)
{
ERR_print_errors_fp(stderr);
abort();
}
/* set the private key from KeyFile (may be the same as CertFile) */
if (SSL_CTX_use_PrivateKey_file(ctx, KeyFile, SSL_FILETYPE_PEM) <= 0)
{
ERR_print_errors_fp(stderr);
abort();
}
/* verify private key */
if (!SSL_CTX_check_private_key(ctx))
{
fprintf(stderr, "Private key does not match the public certificate\n");
abort();
}
}

void ShowCerts(SSL* ssl)
{ X509 *cert;
char *line;

cert = SSL_get_peer_certificate(ssl); /* Get certificates (if available) */
if ( cert != NULL )
{
printf("Server certificates:\n");
line = X509_NAME_oneline(X509_get_subject_name(cert), 0, 0);
printf("Subject: %s\n", line);
free(line);
line = X509_NAME_oneline(X509_get_issuer_name(cert), 0, 0);
printf("Issuer: %s\n", line);
free(line);
X509_free(cert);
}
else
printf("No certificates.\n");
}

int main(void) {

SSL_CTX *ctx;

char CertFile[] = "/home/user/ssl/cert.pem";
char KeyFile[] = "/home/user/ssl/key.pem";

int sock;
struct sigaction sa;
struct addrinfo hints, *res;
int reuseaddr = 1; /* True */

SSL_library_init();
ctx = InitServerCTX(); /* initialize SSL */
LoadCertificates(ctx, CertFile, KeyFile); /* load certs */

/* Get the address info */
memset(&hints, 0, sizeof hints);
hints.ai_family = AF_INET;
hints.ai_socktype = SOCK_STREAM;
if (getaddrinfo(NULL, PORT, &hints, &res) != 0) {
perror("getaddrinfo");
return 1;
}

/* Create the socket */
sock = socket(res->ai_family, res->ai_socktype, res->ai_protocol);
if (sock == -1) {
perror("socket");
return 1;
}

/* Enable the socket to reuse the address */
if (setsockopt(sock, SOL_SOCKET, SO_REUSEADDR, &reuseaddr, sizeof(int)) == -1) {
perror("setsockopt");
return 1;
}

/* Bind to the address */
if (bind(sock, res->ai_addr, res->ai_addrlen) == -1) {
perror("bind");
return 1;
}

/* Listen */
if (listen(sock, BACKLOG) == -1) {
perror("listen");
return 1;
}

freeaddrinfo(res);

/* Set up the signal handler */
sa.sa_handler = wait_for_child;
sigemptyset(&sa.sa_mask);
sa.sa_flags = SA_RESTART;
if (sigaction(SIGCHLD, &sa, NULL) == -1) {
perror("sigaction");
return 1;
}

/* Main loop */
while (1) {
struct sockaddr_in their_addr;
size_t size = sizeof(struct sockaddr_in);
int newsock = accept(sock, (struct sockaddr*)&their_addr, &size);
int pid;

if (newsock == -1) {
perror("accept");
return 0;
}

printf("Got a connection from %s on port %d\n", inet_ntoa(their_addr.sin_addr), htons(their_addr.sin_port));

pid = fork();
if (pid == 0) {
/* In child process */
SSL *ssl;
char data = 0;
char *buffer;
int received = 0;

ssl = SSL_new(ctx); /* get new SSL state with context */
SSL_set_fd(ssl, newsock); /* set connection socket to SSL state */

buffer = malloc(CLIENT_BUF_SIZE);
if (buffer == NULL) {
printf("Malloc error\r\n");
return 0;
}

memset (buffer, 0x00, CLIENT_BUF_SIZE);
close(sock);

if ( SSL_accept(ssl) == 0) {
printf("SSL accept error\r\n");
return 0;
}
else {
ShowCerts(ssl); /* get any certificates */
}

SSL_write(ssl, "Hello client!\r\n", 15);

while (1) {
//handle
if (received = SSL_read(ssl, buffer, (CLIENT_BUF_SIZE-1))) {
buffer[received] = '\0';
printf("Odebralem nastepujaca tresc: %s\r\n", buffer);
}
}
SSL_free(ssl);
close(newsock);
free(buffer);
return 0;
}
else {
/* Parent process */
if (pid == -1) {
perror("fork");
return 1;
}
else {
//close(newsock);
}
}
}

close(sock);

return 0;
}[/syntax]

Statystyki: Napisane przez Atlantis — 9 lut 2015, o 10:20

Re: [Linux]Brak połączenia z daemonem SSL

2015-02-09T10:01:06+01:00

Sprawdź neststatem jak nadsłuchuje.

[syntax=bash]netstat -aepvt[/syntax]

i wklej tu.

Statystyki: Napisane przez PROTON — 9 lut 2015, o 10:01

[Linux]Brak połączenia z daemonem SSL

2015-02-09T08:53:27+01:00

Eksperymentuję właśnie z szyfrowaniem komunikacji za pomocą OpenSSL.
Napisałem własnego daemona, który nasłuchuje na określonym porcie.

Mogę się z nim połączyć za pomocą ncata i przesyłać dane w obydwie strony:

Code:

ncat --ssl localhost

Problem w tym, że jest to możliwe tylko wtedy, gdy w poleceniu użyję nazwy "localhost". W przypadku zastosowania numeru IP efekt jest następujący:

Code:

ncat --ssl 
Ncat: Connection refused.

Podobny komunikat dostaję przy próbie połączenia się z zewnątrz, za pomocą androidowego SSL clienta.

I żeby nie było: a iptables jest dodana odpowiednia formułka:

Code:

ACCEPT     tcp  --  anywhere             anywhere             tcp dpt: state NEW

Na tej samej maszynie pracuje również serwer https, z analogiczną formułką dla portu 443 i nie ma najmniejszego problemu, żeby się do niego dowołać z domowej sieci...

Co może być nie tak?

Statystyki: Napisane przez Atlantis — 9 lut 2015, o 08:53