OpenSSL的实用思考

freeeyes

最近由于在做苹果的一个Push服务器，需要用到SSL的库，决定选择网上比较热炒的Openssl，在此之前，也听说了这个库比较难处理，因为资料并不是很完整，所以开发会有困难，不过本着挑战一下，既然有人说好，那么就实际检验一下吧。在查了很多资料后，写了一个openssl的上层封装类，给大家拍砖。
首先到openssl去下载一个最新的openssl。地址是http://www.openssl.org/
这里要说明一下，这时候最新的是1.0.0版本的。不过因为1.0.0支持VS2008，而本人的开发环境是VS2005，所以我使用了较为早一些的版本，0.9.8b。
linux下的安装很简单，按照install文件里面一步步来就可以了。
windows下比较复杂，需要下载一个工具。
安装步骤如下：
1.下载ActivePerl
2.打开Vs2005命令行提示工具。
3.进入你的openssl解压目录，并之行perl Configure VC-WIN32
4.运行ms\do_ms进行编译
5.运行vcvars32.bat
6.在openssl目录下运行“nmake -f ms\ntdll.mak ”
如果一切顺利，会在你的openssl解压目录下多了一个out*dll的目录（如果是32位系统，会是out32dll，不过在我的64位win7下生成的也是out32dll，不过根据官方文档说可以生成64位的）
行了，openssl已经可以使用了。
建立一个新的工程，你可以把你的库目录指定到out32dll，把C++的附加包含目录指定到include目录下，不过我个人建议把include目录考到你的工程路径下，然后建立一个lib目录，把OpenSSL下生成的libeay32.lib和ssleay32.lib考进去就行了，建立一个bin目录，把工程的工作路径指定在这里，并把libeay32.dll和ssleay32.dll拷贝进去，这样你的程序就可以随时随地带着走了。不需要到处编译OpenSSL。
呵呵，好了，所有的材料都齐备了。
看看怎么写一个支持SSL通讯的客户端程序吧。网上的一些OpenSSL写的比较乱，其实OpenSSL和CUrl一样，会用的话，非常好使，而且代码简单，完全不用带着恐惧的心情。（一开始总结网上那些OpenSSL可借鉴的时候，看着长篇累牍的代码确实头晕，但是后来一点点的分析，发现大部分写的都是没用的。）
其实OpenSSL并不是只能连接SSL连接，其实也可以连接非SSL的网址。并获得网站返回数据。
要用OpenSSL，需要像CUrl一样，初始化一些动作。

2. OpenSSL_add_all_algorithms();
3. ERR_load_BIO_strings();
4. SSL_load_error_strings();
5. SSL_library_init();

复制代码

这是固定的代码，加载一些必要的库和函数，没啥好解释的。
SSL通讯需要几个关键对象，在这里解释一下。
SSL*      m_pSSL;
SSL的对象指针，主要用于记录一些SSL中用到的算法和对象，以及最关键的SSL_CTX。
SSL_CTX*  m_pSSLCtx;
SSL_CTX实际上就是一个SSL的上下文。这里可以记录和设置你的SSL一些状态，比如你采用的SSL协议格式（SSL2,SSL3或者TLS）
BIO*      m_pSockBIO;
BIO我的理解是就是一个标准的Socket对象封装，之所以要用它把socket包装起来，因为加解密算法在里面完成，并不暴露在外面，极大的减轻了开发人员的开发量。
先从简单的来，先看看OpenSSL如何建立一个非安全的套接字。

2. //创建一个非安全连接
3. bool CSSLConnect::ConnectNonSSL(const char* pUrl, int nPort, const char* pCmd)
4. {
5. char szURL[SSL_BUFF_200]   = {'\0'};
6. char szData[SSL_BUFF_1024] = {'\0'};
7. sprint_safe(szURL, SSL_BUFF_200, "%s:%d", pUrl, nPort);
8. Close();
9. m_pSockBIO = BIO_new_connect(szURL);
10. if(m_pSockBIO == NULL)
11. {
12.   ERR_error_string(ERR_get_error(), (char* )m_szError);
13.   printf("[CSSLConnect::ConnectNonSSL] BIO_new_connect ERROR: %s.\n", m_szError);
14.   return false;  
15. }
16. if(BIO_do_connect(m_pSockBIO) <= 0)
17. {
18.   ERR_error_string(ERR_get_error(), (char* )m_szError);
19.   printf("[CSSLConnect::ConnectNonSSL] BIO_do_connect ERROR: %s.\n", m_szError);
20.   return false;
21. }
22. //链接建立后，发送命令，可以是http命令,如果是http命令，最好解析第一个包获得数据长度。
23. int nPos    = 0;
24. int nCmdLen = (int)strlen(pCmd);
25. while(true)
26. {
27.   if(nPos == nCmdLen || nCmdLen == 0)
28.   {
29.    break;
30.   }
31.   int nLen = BIO_write(m_pSockBIO, &pCmd[nPos], nCmdLen);
32.   if(nLen <= 0)
33.   {
34.    break;
35.   }
36.   else
37.   {
38.    nPos    += nLen;
39.    nCmdLen -= nPos;
40.   }
41. }
42. m_strBuff = "";
43. while(true)
44. {
45.   int nLen = BIO_read(m_pSockBIO, szData, SSL_BUFF_1024);
46.   if(nLen <= 0)
47.   {
48.    break;
49.   }
50.   else
51.   {
52.    m_strBuff += szData;
53.   }
54. }
55. return true;
56. }

复制代码

pUrl nPort是对应的你的URL和Port，比如你的URL是"www.baidu.com"，端口是80。pCmd是你发送的命令，比如给它一个标准的http头。
"GET / HTTP/1.1\r\nHost: www.baidu.com\r\nConnection: Close\r\n\r\n"
在这里，m_pSockBIO完全就是一个socket的用法。
你可以发送数据，并获得返回，对应的BIO_write()就是send，BIO_read对应的是Recv。
这里可以有一个小技巧，你可以在recv的时候，回调一个指定的函数指针，呵呵，想到这里，如果你看过CUrl的话，你就会恍然大悟。其实CURL完全可以用openssl做一个底层，用法也就是上述我说的方法。当然在这里，我简化了，只持续的接受数据。
好了，来点正题吧。
如果我要连接一个https网站怎么办，这里要区分一下，有的htpps需要一个自己的证书，有的需要一个默认的根证书。
先说简单的，比如我访问google的https怎么处理？
来看看以下代码：

2. //创建一个安全连接，默认的安全证书
3. bool CSSLConnect::ConnectSSL(const char* pUrl, int nPort, const char* pCmd)
4. {
5. char szURL[SSL_BUFF_200] = {'\0'};
7. sprint_safe(szURL, SSL_BUFF_200, "%s:%d", pUrl, nPort);
9. Close();
11. m_pSSLCtx = SSL_CTX_new(SSLv23_client_method());
13. m_pSockBIO = BIO_new_ssl_connect(m_pSSLCtx);
15. BIO_get_ssl(m_pSockBIO, &m_pSSL);
17. SSL_set_mode(m_pSSL, SSL_MODE_AUTO_RETRY);
19. BIO_set_conn_hostname(m_pSockBIO, szURL);
21. if(BIO_do_connect(m_pSockBIO) <= 0)
22. {
23. ERR_error_string(ERR_get_error(), (char* )m_szError);
24. printf("[CSSLConnect::Connect] SSL_CTX_use_certificate ERROR: %s.\n", m_szError);
25. return false;
26. }
28. int nPos = 0;
29. int nCmdLen = (int)strlen(pCmd);
31. while(true)
32. {
33. if(nPos == nCmdLen || nCmdLen == 0)
34. {
35. break;
36. }
38. int nLen = BIO_write(m_pSockBIO, &pCmd[nPos], nCmdLen);
39. if(nLen <= 0)
40. {
41. break;
42. }
43. else
44. {
45. nPos += nLen;
46. nCmdLen -= nPos;
47. }
48. }
50. char szData[SSL_BUFF_1024] = {'\0'};
51. m_strBuff = "";
52. while(true)
53. {
54. int nLen = BIO_read(m_pSockBIO, szData, SSL_BUFF_1024);
55. if(nLen <= 0)
56. {
57. break;
58. }
59. else
60. {
61. m_strBuff += szData;
62. }
63. }
65. return true;
66. }

复制代码

代码就这么多。是不是很简单？
你完全可以对比上面的代码，你会发现其实只是多了几句话而已。
m_pSSLCtx = SSL_CTX_new(SSLv23_client_method());
这句话是生成一个SSL上下文，这里支持SSLv2_client_method()，SSLv3_client_method()，TLSv1_client_method()。这里应对的是SSL的协议标准，SSL2,SSL3亦或TLS1。具体可以根据自己的需要进行替换。
m_pSockBIO = BIO_new_ssl_connect(m_pSSLCtx);
生成一个BIO*对象，并绑定SSLCtx的上下文。
BIO_get_ssl(m_pSockBIO, &m_pSSL);
根据这个BIO对象返回一个SSL对象。
SSL_set_mode(m_pSSL, SSL_MODE_AUTO_RETRY);
设置SSL对象需要自动重试请求。
if(BIO_do_connect(m_pSockBIO) <= 0)
这个代码是，根据已有的SSL，向远程SSL提交请求。进行一次握手，如果对方服务器拒绝，会在这里返回错误。抓住这里的错误，你可以进行分析。
此后的代码，和非安全套接字一样。
BIO_write会在内部将你给出的字符加密，这里不用你担心。
BIO_read会在内部解密服务器的数据返回，这里也不用担心，这里得到的都是解密后的字符。
看看，简单吧。
让我们测试一下，这时候拿一个google的测试一下。
测试地址是www.google.com 端口是443（一般SSL都是这个端口）发送命令么。。就是这个吧"GET / HTTP/1.1\x0D\x0AHost: www.google.com\x0D\x0A\x43onnection: Close\x0D\x0A\x0D\x0A"
数据回来了吧。
呵呵，接下来，说一下最复杂的证书加载。
有些网站需要加载证书，证书类型不同，比如P12，pem，DER等等。有的证书还需要key。
写到这里，先写一个处理证书读取的类，在OpenSSL中，只要你把不同的证书加载成一种中间格式(X509)就可以了。
先写一个函数吧。

2. X509* CSSLConnect::LoadBaseCret(BIO* pKeyBuff, int nType, const char* pPassword)
3. {
4. X509* pX509 = NULL;
5. EVP_PKEY* pPKey = NULL;
6. switch(nType)
7. {
8. case DER:
9. {
10. //如果是DER证书
11. pX509 = d2i_X509_bio(pKeyBuff, NULL);
12. break;
13. }
14. case PEM:
15. {
16. pX509 = PEM_read_bio_X509(pKeyBuff, NULL, NULL, NULL);
17. break;
18. }
19. case P12:
20. {
21. PKCS12 *pP12 = d2i_PKCS12_bio(pKeyBuff, NULL);
22. if(1 != PKCS12_parse(pP12, pPassword, &pPKey, &pX509, NULL))
23. {
24. ERR_error_string(ERR_get_error(), (char* )m_szError);
25. printf("[CSSLConnect::LoadBaseCret] ERROR: %s.\n", m_szError);
26. }
28. PKCS12_free(pP12);
29. break;
30. }
31. }
32. return pX509;
33. }

复制代码

这里只写出常用的几种证书的加载，其他的你可以往里添加。
把证书转换成X509格式，然后加载到相应的SSLCtx就大功告成了。

2. //创建一个安全的链接，需要证书
3. bool CSSLConnect::ConnectSSL(const char* pUrl, int nPort, int nCreType, const char* pCerFile, const char* pPassword, const char* pCmd)
4. {
5. char szURL[SSL_BUFF_200]   = {'\0'};
6. sprint_safe(szURL, SSL_BUFF_200, "%s:%d", pUrl, nPort);
8. Close();
9. //初始化SSLCtx
10. //m_pSSLCtx = SSL_CTX_new(SSLv23_client_method());
11. m_pSSLCtx = SSL_CTX_new(TLSv1_client_method());
12. if(m_pSSLCtx == NULL)
13. {
14.   printf("SSL CTX new Fail.\n");
15.   return false;
16. }
17. SSL_CTX_set_options(m_pSSLCtx, SSL_OP_ALL);
18. //解析证书文件
19. BIO* pKeyBuff = BIO_new_file(pCerFile, "r");
20. if(NULL == pKeyBuff)
21. {
22.   printf("[CSSLConnect::Connect]Load key file Fail.\n");
23.   return false;
24. }
25. X509*     pX509 = NULL;
26. EVP_PKEY* pPKey = NULL;
27. pX509 = LoadBaseCret(pKeyBuff, nCreType, pPassword);
28. if(NULL == pX509)
29. {
30.   printf("[CSSLConnect::Connect]LoadBaseCret error.\n");
31.   BIO_free_all(pKeyBuff);
32.   return false;
33. }
34. //加载证书
35. //if(1 != SSL_CTX_use_certificate(m_pSSLCtx, pX509))
36. if(1 != SSL_CTX_add_client_CA(m_pSSLCtx, pX509))
37. {
38.   ERR_error_string(ERR_get_error(), (char* )m_szError);
39.   printf("[CSSLConnect::Connect] SSL_CTX_use_certificate ERROR: %s.\n", m_szError);
40.   return false;
41. }
42. /*
43. //测试代码
44. if(! SSL_CTX_load_verify_locations(m_pSSLCtx, "dev.pem", NULL))
45. {
46.   //没有正确的获得pem
47.   ERR_error_string(ERR_get_error(), (char* )m_szError);
48.   printf("[CSSLConnect::Connect] pSockBIO ERROR: %s.\n", m_szError);
49.   return false;
50. }
52. if(1 != SSL_CTX_use_certificate_file(m_pSSLCtx, "dev.pem", SSL_FILETYPE_PEM))
53. {
54.   //没有正确的获得pem
55.   ERR_error_string(ERR_get_error(), (char* )m_szError);
56.   printf("[CSSLConnect::Connect] pSockBIO ERROR: %s.\n", m_szError);
57.   return false;
58. }
59. */
61. //检查证书是否有效
62. m_pSockBIO = BIO_new_ssl_connect(m_pSSLCtx);
63. if(m_pSockBIO == NULL)
64. {
65.   //没有正确的获得BIO
66.   ERR_error_string(ERR_get_error(), (char* )m_szError);
67.   printf("[CSSLConnect::Connect] pSockBIO ERROR: %s.\n", m_szError);
68.   return false;
69. }
70. BIO_get_ssl(m_pSockBIO, &m_pSSL);
71. if(m_pSSL == NULL)
72. {
73.   //没有正确的获得BIO
74.   ERR_error_string(ERR_get_error(), (char* )m_szError);
75.   printf("[CSSLConnect::Connect] m_pSSL ERROR: %s.\n", m_szError);
76.   return false;
77. }
78. if(SSL_get_verify_result(m_pSSL) != X509_V_OK)
79. {
80.   //X509证书无效
81.   ERR_error_string(ERR_get_error(), (char* )m_szError);
82.   printf("[CSSLConnect::Connect] SSL_get_verify_result ERROR: %s.\n", m_szError);
83.   return false;
84. }
85. SSL_set_mode(m_pSSL, SSL_MODE_AUTO_RETRY);
87. BIO_set_conn_hostname(m_pSockBIO, szURL);
88. int nRet = BIO_do_connect(m_pSockBIO);
89. if(nRet <= 0)
90. {
91.   //没有正确连接
92.   ERR_error_string(ERR_get_error(), (char* )m_szError);
93.   printf("[CSSLConnect::Connect] pSockBIO Connect ERROR: %s.\n", m_szError);
94.   return false;
95. }
96. int nPos    = 0;
97. int nCmdLen = (int)strlen(pCmd);
98. while(true)
99. {
100.   if(nPos == nCmdLen || nCmdLen == 0)
101.   {
102.    break;
103.   }
104.   int nLen = BIO_write(m_pSockBIO, &pCmd[nPos], nCmdLen);
105.   if(nLen <= 0)
106.   {
107.    break;
108.   }
109.   else
110.   {
111.    nPos    += nLen;
112.    nCmdLen -= nPos;
113.   }
114. }
115. char szData[SSL_BUFF_1024] = {'\0'};
116. m_strBuff = "";
117. while(true)
118. {
119.   int nLen = BIO_read(m_pSockBIO, szData, SSL_BUFF_1024);
120.   if(nLen <= 0)
121.   {
122.    break;
123.   }
124.   else
125.   {
126.    m_strBuff += szData;
127.   }
128. }
129. BIO_free_all(pKeyBuff);
130. X509_free(pX509);
131. return true;
132. }

复制代码

这个函数就是加载有证书的SSL连接代码了。
其他部分的代码很简单，关键在这里
if(1 != SSL_CTX_add_client_CA(m_pSSLCtx, pX509))
加载你的证书到m_pSSLCtx就行了。
呵呵，不复杂吧。
好了，代码完成了，拿一个有证书的链接测试一下。这里我拿苹果的Push服务器测试的。
如果你有苹果开发者账号，你可以参考一下。
http://developer.apple.com/library/ios/#documentation/NetworkingInternet/Conceptual/RemoteNotificationsPG/CommunicatingWIthAPS/CommunicatingWIthAPS.html

呵呵，有兴趣的哈，给自己的IPhone Push一条属于自己的消息吧。
在这里抛砖引玉了。
把工程代码都贴上来，大家可以测试。不对的地方多多指正。

iq50

眼总，我发现，你的文章对我超级实用！以前想用CURL下载HTTPS的东西，但是搞不定SSL。最近在看你写的LUA！

iq50

如果证书是存放在USB KEY中将如何？USB KEY的证书不能导出到磁盘上，所有加密运算需要在KEY中完成

evilswords

VS2005 里面选 x64而不是win32才能出 64版本，和64位系统无关吧