Openssl實(shí)現(xiàn)雙向認(rèn)證教程（附服務(wù)端客戶端代碼）

#include <stdio.h>
#include <stdlib.h>
#include <errno.h>
#include <string.h>
#include <sys/types.h>
#include <netinet/in.h>
#include <sys/socket.h>
#include <sys/wait.h>
#include <unistd.h>
#include <arpa/inet.h>
#include <openssl/ssl.h>
#include <openssl/err.h>

#define MAXBUF 1024

void ShowCerts(SSL * ssl)
{
  X509 *cert;
  char *line;

  cert = SSL_get_peer_certificate(ssl);
  // SSL_get_verify_result()是重點(diǎn)，SSL_CTX_set_verify()只是配置啟不啟用并沒(méi)有執(zhí)行認(rèn)證，調(diào)用該函數(shù)才會(huì)真證進(jìn)行證書認(rèn)證
  // 如果驗(yàn)證不通過(guò)，那么程序拋出異常中止連接
  if(SSL_get_verify_result(ssl) == X509_V_OK){
    printf("證書驗(yàn)證通過(guò)\n");
  }
  if (cert != NULL) {
    printf("數(shù)字證書信息:\n");
    line = X509_NAME_oneline(X509_get_subject_name(cert), 0, 0);
    printf("證書: %s\n", line);
    free(line);
    line = X509_NAME_oneline(X509_get_issuer_name(cert), 0, 0);
    printf("頒發(fā)者: %s\n", line);
    free(line);
    X509_free(cert);
  } else
    printf("無(wú)證書信息！\n");
}

int main(int argc, char **argv) {
  int sockfd, new_fd;
  socklen_t len;
  struct sockaddr_in my_addr, their_addr;
  unsigned int myport, lisnum;
  char buf[MAXBUF + 1];
  SSL_CTX *ctx;

  if (argv[1])
    myport = atoi(argv[1]);
  else
    myport = 7838;

  if (argv[2])
    lisnum = atoi(argv[2]);
  else
    lisnum = 2;

  /* SSL 庫(kù)初始化 */
  SSL_library_init();
  /* 載入所有 SSL 算法 */
  OpenSSL_add_all_algorithms();
  /* 載入所有 SSL 錯(cuò)誤消息 */
  SSL_load_error_strings();
  /* 以 SSL V2 和 V3 標(biāo)準(zhǔn)兼容方式產(chǎn)生一個(gè) SSL_CTX ，即 SSL Content Text */
  ctx = SSL_CTX_new(SSLv23_server_method());
  /* 也可以用 SSLv2_server_method() 或 SSLv3_server_method() 單獨(dú)表示 V2 或 V3標(biāo)準(zhǔn) */
  if (ctx == NULL) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }

  // 雙向驗(yàn)證
  // SSL_VERIFY_PEER---要求對(duì)證書進(jìn)行認(rèn)證，沒(méi)有證書也會(huì)放行
  // SSL_VERIFY_FAIL_IF_NO_PEER_CERT---要求客戶端需要提供證書，但驗(yàn)證發(fā)現(xiàn)單獨(dú)使用沒(méi)有證書也會(huì)放行
  SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER|SSL_VERIFY_FAIL_IF_NO_PEER_CERT, NULL);
  // 設(shè)置信任根證書
  if (SSL_CTX_load_verify_locations(ctx, "ca.crt",NULL)<=0){
    ERR_print_errors_fp(stdout);
    exit(1);
  }

  /* 載入用戶的數(shù)字證書， 此證書用來(lái)發(fā)送給客戶端。 證書里包含有公鑰 */
  if (SSL_CTX_use_certificate_file(ctx, argv[3], SSL_FILETYPE_PEM) <= 0) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  /* 載入用戶私鑰 */
  if (SSL_CTX_use_PrivateKey_file(ctx, argv[4], SSL_FILETYPE_PEM) <= 0) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  /* 檢查用戶私鑰是否正確 */
  if (!SSL_CTX_check_private_key(ctx)) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }

  /* 開啟一個(gè) socket 監(jiān)聽 */
  if ((sockfd = socket(PF_INET, SOCK_STREAM, 0)) == -1) {
    perror("socket");
    exit(1);
  } else
    printf("socket created\n");

  bzero(&my_addr, sizeof(my_addr));
  my_addr.sin_family = PF_INET;
  my_addr.sin_port = htons(myport);
  my_addr.sin_addr.s_addr = INADDR_ANY;

  if (bind(sockfd, (struct sockaddr *) &my_addr, sizeof(struct sockaddr))
      == -1) {
    perror("bind");
    exit(1);
  } else
    printf("binded\n");

  if (listen(sockfd, lisnum) == -1) {
    perror("listen");
    exit(1);
  } else
    printf("begin listen\n");

  while (1) {
    SSL *ssl;
    len = sizeof(struct sockaddr);
    /* 等待客戶端連上來(lái) */
    if ((new_fd = accept(sockfd, (struct sockaddr *) &their_addr, &len))
        == -1) {
      perror("accept");
      exit(errno);
    } else
      printf("server: got connection from %s, port %d, socket %d\n",
          inet_ntoa(their_addr.sin_addr), ntohs(their_addr.sin_port),
          new_fd);

    /* 基于 ctx 產(chǎn)生一個(gè)新的 SSL */
    ssl = SSL_new(ctx);
    /* 將連接用戶的 socket 加入到 SSL */
    SSL_set_fd(ssl, new_fd);
    /* 建立 SSL 連接 */
    if (SSL_accept(ssl) == -1) {
      perror("accept");
      close(new_fd);
      break;
    }
    ShowCerts(ssl);

    /* 開始處理每個(gè)新連接上的數(shù)據(jù)收發(fā) */
    bzero(buf, MAXBUF + 1);
    strcpy(buf, "server->client");
    /* 發(fā)消息給客戶端 */
    len = SSL_write(ssl, buf, strlen(buf));

    if (len <= 0) {
      printf("消息'%s'發(fā)送失敗！錯(cuò)誤代碼是%d，錯(cuò)誤信息是'%s'\n", buf, errno,
          strerror(errno));
      goto finish;
    } else
      printf("消息'%s'發(fā)送成功，共發(fā)送了%d個(gè)字節(jié)！\n", buf, len);

    bzero(buf, MAXBUF + 1);
    /* 接收客戶端的消息 */
    len = SSL_read(ssl, buf, MAXBUF);
    if (len > 0)
      printf("接收消息成功:'%s'，共%d個(gè)字節(jié)的數(shù)據(jù)\n", buf, len);
    else
      printf("消息接收失??！錯(cuò)誤代碼是%d，錯(cuò)誤信息是'%s'\n",
      errno, strerror(errno));
    /* 處理每個(gè)新連接上的數(shù)據(jù)收發(fā)結(jié)束 */
    finish:
    /* 關(guān)閉 SSL 連接 */
    SSL_shutdown(ssl);
    /* 釋放 SSL */
    SSL_free(ssl);
    /* 關(guān)閉 socket */
    close(new_fd);
  }
  /* 關(guān)閉監(jiān)聽的 socket */
  close(sockfd);
  /* 釋放 CTX */
  SSL_CTX_free(ctx);
  return 0;
}

#include <stdio.h>
#include <string.h>
#include <errno.h>
#include <sys/socket.h>
#include <resolv.h>
#include <stdlib.h>
#include <netinet/in.h>
#include <arpa/inet.h>
#include <unistd.h>
#include <openssl/ssl.h>
#include <openssl/err.h>

#define MAXBUF 1024

void ShowCerts(SSL * ssl)
{
  X509 *cert;
  char *line;

  cert = SSL_get_peer_certificate(ssl);
  // SSL_get_verify_result()是重點(diǎn)，SSL_CTX_set_verify()只是配置啟不啟用并沒(méi)有執(zhí)行認(rèn)證，調(diào)用該函數(shù)才會(huì)真證進(jìn)行證書認(rèn)證
  // 如果驗(yàn)證不通過(guò)，那么程序拋出異常中止連接
  if(SSL_get_verify_result(ssl) == X509_V_OK){
    printf("證書驗(yàn)證通過(guò)\n");
  }
  if (cert != NULL) {
    printf("數(shù)字證書信息:\n");
    line = X509_NAME_oneline(X509_get_subject_name(cert), 0, 0);
    printf("證書: %s\n", line);
    free(line);
    line = X509_NAME_oneline(X509_get_issuer_name(cert), 0, 0);
    printf("頒發(fā)者: %s\n", line);
    free(line);
    X509_free(cert);
  } else
    printf("無(wú)證書信息！\n");
}

int main(int argc, char **argv)
{
  int sockfd, len;
  struct sockaddr_in dest;
  char buffer[MAXBUF + 1];
  SSL_CTX *ctx;
  SSL *ssl;

  if (argc != 5) {
    printf("參數(shù)格式錯(cuò)誤！正確用法如下：\n\t\t%s IP地址 端口\n\t比如:\t%s 127.0.0.1 80\n此程序用來(lái)從某個(gè)"
       "IP 地址的服務(wù)器某個(gè)端口接收最多 MAXBUF 個(gè)字節(jié)的消息",
       argv[0], argv[0]);
    exit(0);
  }

  /* SSL 庫(kù)初始化，參看 ssl-server.c 代碼 */
  SSL_library_init();
  OpenSSL_add_all_algorithms();
  SSL_load_error_strings();
  ctx = SSL_CTX_new(SSLv23_client_method());
  if (ctx == NULL) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }

  // 雙向驗(yàn)證
  // SSL_VERIFY_PEER---要求對(duì)證書進(jìn)行認(rèn)證，沒(méi)有證書也會(huì)放行
  // SSL_VERIFY_FAIL_IF_NO_PEER_CERT---要求客戶端需要提供證書，但驗(yàn)證發(fā)現(xiàn)單獨(dú)使用沒(méi)有證書也會(huì)放行
  SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER|SSL_VERIFY_FAIL_IF_NO_PEER_CERT, NULL);
  // 設(shè)置信任根證書
  if (SSL_CTX_load_verify_locations(ctx, "ca.crt",NULL)<=0){
    ERR_print_errors_fp(stdout);
    exit(1);
  }

  /* 載入用戶的數(shù)字證書， 此證書用來(lái)發(fā)送給客戶端。 證書里包含有公鑰 */
  if (SSL_CTX_use_certificate_file(ctx, argv[3], SSL_FILETYPE_PEM) <= 0) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  /* 載入用戶私鑰 */
  if (SSL_CTX_use_PrivateKey_file(ctx, argv[4], SSL_FILETYPE_PEM) <= 0) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }
  /* 檢查用戶私鑰是否正確 */
  if (!SSL_CTX_check_private_key(ctx)) {
    ERR_print_errors_fp(stdout);
    exit(1);
  }

  /* 創(chuàng)建一個(gè) socket 用于 tcp 通信 */
  if ((sockfd = socket(AF_INET, SOCK_STREAM, 0)) < 0) {
    perror("Socket");
    exit(errno);
  }
  printf("socket created\n");

  /* 初始化服務(wù)器端（對(duì)方）的地址和端口信息 */
  bzero(&dest, sizeof(dest));
  dest.sin_family = AF_INET;
  dest.sin_port = htons(atoi(argv[2]));
  if (inet_aton(argv[1], (struct in_addr *) &dest.sin_addr.s_addr) == 0) {
    perror(argv[1]);
    exit(errno);
  }
  printf("address created\n");

  /* 連接服務(wù)器 */
  if (connect(sockfd, (struct sockaddr *) &dest, sizeof(dest)) != 0) {
    perror("Connect ");
    exit(errno);
  }
  printf("server connected\n");

  /* 基于 ctx 產(chǎn)生一個(gè)新的 SSL */
  ssl = SSL_new(ctx);
  SSL_set_fd(ssl, sockfd);
  /* 建立 SSL 連接 */
  if (SSL_connect(ssl) == -1)
    ERR_print_errors_fp(stderr);
  else {
    printf("Connected with %s encryption\n", SSL_get_cipher(ssl));
    ShowCerts(ssl);
  }

  /* 接收對(duì)方發(fā)過(guò)來(lái)的消息，最多接收 MAXBUF 個(gè)字節(jié) */
  bzero(buffer, MAXBUF + 1);
  /* 接收服務(wù)器來(lái)的消息 */
  len = SSL_read(ssl, buffer, MAXBUF);
  if (len > 0)
    printf("接收消息成功:'%s'，共%d個(gè)字節(jié)的數(shù)據(jù)\n",
        buffer, len);
  else {
    printf
      ("消息接收失敗！錯(cuò)誤代碼是%d，錯(cuò)誤信息是'%s'\n",
       errno, strerror(errno));
    goto finish;
  }
  bzero(buffer, MAXBUF + 1);
  strcpy(buffer, "from client->server");
  /* 發(fā)消息給服務(wù)器 */
  len = SSL_write(ssl, buffer, strlen(buffer));
  if (len < 0)
    printf
      ("消息'%s'發(fā)送失?。″e(cuò)誤代碼是%d，錯(cuò)誤信息是'%s'\n",
       buffer, errno, strerror(errno));
  else
    printf("消息'%s'發(fā)送成功，共發(fā)送了%d個(gè)字節(jié)！\n",
        buffer, len);

 finish:
  /* 關(guān)閉連接 */
  SSL_shutdown(ssl);
  SSL_free(ssl);
  close(sockfd);
  SSL_CTX_free(ctx);
  return 0;
}

# CA證書及密鑰生成方法一----直接生成CA密鑰及其自簽名證書
# 如果想以后讀取私鑰文件ca_rsa_private.pem時(shí)不需要輸入密碼，亦即不對(duì)私鑰進(jìn)行加密存儲(chǔ)，那么將-passout pass:123456替換成-nodes
openssl req -newkey rsa:2048 -passout pass:123456 -keyout ca_rsa_private.pem -x509 -days 365 -out ca.crt -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CA/emailAddress=youremail@qq.com"
# CA證書及密鑰生成方法二----分步生成CA密鑰及其自簽名證書：
# openssl genrsa -aes256 -passout pass:123456 -out ca_rsa_private.pem 2048
# openssl req -new -x509 -days 365 -key ca_rsa_private.pem -passin pass:123456 -out ca.crt -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CA/emailAddress=youremail@qq.com"

# 服務(wù)器證書及密鑰生成方法一----直接生成服務(wù)器密鑰及待簽名證書
# 如果想以后讀取私鑰文件server_rsa_private.pem時(shí)不需要輸入密碼，亦即不對(duì)私鑰進(jìn)行加密存儲(chǔ)，那么將-passout pass:server替換成-nodes
openssl req -newkey rsa:2048 -passout pass:server -keyout server_rsa_private.pem -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=SERVER/emailAddress=youremail@qq.com"
# 服務(wù)器證書及密鑰生成方法二----分步生成服務(wù)器密鑰及待簽名證書
# openssl genrsa -aes256 -passout pass:server -out server_rsa_private.pem 2048
# openssl req -new -key server_rsa_private.pem -passin pass:server -out server.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=SERVER/emailAddress=youremail@qq.com"
# 使用CA證書及密鑰對(duì)服務(wù)器證書進(jìn)行簽名：
openssl x509 -req -days 365 -in server.csr -CA ca.crt -CAkey ca_rsa_private.pem -passin pass:123456 -CAcreateserial -out server.crt
# 將加密的RSA密鑰轉(zhuǎn)成未加密的RSA密鑰，避免每次讀取都要求輸入解密密碼
# 密碼就是生成私鑰文件時(shí)設(shè)置的passout、讀取私鑰文件時(shí)要輸入的passin，比如這里要輸入“server”
openssl rsa -in server_rsa_private.pem -out server_rsa_private.pem.unsecure

# 客戶端證書及密鑰生成方法一----直接生成客戶端密鑰及待簽名證書
# 如果想以后讀取私鑰文件client_rsa_private.pem時(shí)不需要輸入密碼，亦即不對(duì)私鑰進(jìn)行加密存儲(chǔ)，那么將-passout pass:client替換成-nodes
openssl req -newkey rsa:2048 -passout pass:client -keyout client_rsa_private.pem -out client.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CLIENT/emailAddress=youremail@qq.com"
# 客戶端證書及密鑰生成方法二----分步生成客戶端密鑰及待簽名證書：
# openssl genrsa -aes256 -passout pass:client -out client_rsa_private.pem 2048
# openssl req -new -key client_rsa_private.pem -passin pass:client -out client.csr -subj "/C=CN/ST=GD/L=SZ/O=COM/OU=NSP/CN=CLIENT/emailAddress=youremail@qq.com"
# 使用CA證書及密鑰對(duì)客戶端證書進(jìn)行簽名：
openssl x509 -req -days 365 -in client.csr -CA ca.crt -CAkey ca_rsa_private.pem -passin pass:123456 -CAcreateserial -out client.crt
# 將加密的RSA密鑰轉(zhuǎn)成未加密的RSA密鑰，避免每次讀取都要求輸入解密密碼
# 密碼就是生成私鑰文件時(shí)設(shè)置的passout、讀取私鑰文件時(shí)要輸入的passin，比如這里要輸入“client”
openssl rsa -in client_rsa_private.pem -out client_rsa_private.pem.unsecure