c++ - s_client - openssl softpedia

Manejando SSL_shutdown correctamente

Question

La documentación de openssl en SSL_shutdown establece que: Por lo tanto, se recomienda verificar el valor de retorno de SSL_shutdown () y volver a llamar a SSL_shutdown (), si el cierre bidireccional aún no se ha completado (el valor de retorno de la primera llamada es 0).

https://www.openssl.org/docs/ssl/SSL_shutdown.html

Tengo un fragmento de código a continuación donde compruebo el valor de retorno 0 de SSL_shutdown y llamo de nuevo, que he estado usando. Mi pregunta es, ¿está bien ignorar el valor de retorno de SSL_shutdown en la segunda llamada o deberíamos seguir intentando de nuevo SSL_shutdown hasta que se devuelva 1 (cierre bidireccional completo).

 int r = SSL_shutdown(ssl);
 //error handling here if r < 0 
 if(!r)
 {

     shutdown(fd,1);
     SSL_shutdown(ssl); //how should I handle return value and error handling here is it required?? 
 }
 SSL_free(ssl);
 SSLMap.erase(fd);
 shutdown(fd,2);
 close(fd);

Answer 1

openssl es un poco de arte oscuro.

En primer lugar, la página a la que hizo referencia tiene HTML-ified los valores de retorno mal. Esto es lo que dice la página de manual:

  RETURN VALUES

   The following return values can occur:

   0   The shutdown is not yet finished. Call SSL_shutdown() for a second
       time, if a bidirectional shutdown shall be performed.  The output
       of SSL_get_error(3) may be misleading, as an erroneous
       SSL_ERROR_SYSCALL may be flagged even though no error occurred.

   1   The shutdown was successfully completed. The "close notify" alert
       was sent and the peer''s "close notify" alert was received.

   -1  The shutdown was not successful because a fatal error occurred
       either at the protocol level or a connection failure occurred. It
       can also occur if action is need to continue the operation for non-
       blocking BIOs.  Call SSL_get_error(3) with the return value ret to
       find out the reason.

Si tiene bloqueo de BIO, las cosas son relativamente simples. Un 0 en la primera llamada significa que debe volver a llamar a SSL_shutdown si desea un apagado bidireccional. A 1 significa que has terminado. A -1 significa un error. En la segunda llamada (que solo haces si tienes un 0 de vuelta), se inicia un cierre bidireccional. La lógica dicta que no puede volver a obtener un 0 (porque es un BIO de bloqueo y habrá completado el primer paso). A -1 indica un error, y un 1 indica que se ha completado.

Si tiene BIO sin bloqueo, aplica lo mismo, excepto por el hecho de que necesita pasar por todo el SSL_ERROR_WANT_READ y SSL_ERROR_WANT_WRITE , es decir:

   If the underlying BIO is non-blocking, SSL_shutdown() will also return
   when the underlying BIO could not satisfy the needs of SSL_shutdown()
   to continue the handshake. In this case a call to SSL_get_error() with
   the return value of SSL_shutdown() will yield SSL_ERROR_WANT_READ or
   SSL_ERROR_WANT_WRITE. The calling process then must repeat the call
   after taking appropriate action to satisfy the needs of SSL_shutdown().
   The action depends on the underlying BIO. When using a non-blocking
   socket, nothing is to be done, but select() can be used to check for
   the required condition. When using a buffering BIO, like a BIO pair,
   data must be written into or retrieved out of the BIO before being able
   to continue.

Entonces tienes dos niveles de repetición. Llama a SSL_shutdown la ''primera'' vez, pero repita si obtiene SSL_ERROR_WANT_READ o SSL_ERROR_WANT_WRITE después de recorrer el ciclo select() de la manera normal, y solo cuente el ''primer'' SSL_shutdown como hecho si obtiene un código de error SSL_ERROR_WANT_ (en el cual caso de que fallara), o usted obtiene un retorno de 0 o 1 . Si obtienes 1 devolución, lo has hecho. Si obtiene un retorno de 0 , y desea un cierre bidireccional, entonces tiene que hacer la segunda llamada, en la que nuevamente deberá verificar SSL_ERROR_WANT_READ o SSL_ERROR_WANT_WRITE y volver a intentar seleccionar; eso no debería devolver 1 , pero puede devolver 0 o un error.

No es simple.