OpenSSL 1.1 通过 IANA ID 获取密码套件

Question

在 OpenSSL 1.0.2 中，我们使用了 s3_lib.c 中的 ssl3_get_cipher_by_id() 函数来使用 IANA ID 获取密码套件 (SSL_CIPHER*)。

例如，ID 0x00,0x2F 会将TLS_RSA_WITH_AES_128_CBC_SHA 密码套件作为SSL_CIPHER 结构提供给我们。

但是，1.0.2 及更高版本的 OpenSSL 文档中未列出此功能，虽然该功能在 1.1.1 中仍然可用，但似乎没有为较新的密码套件工作，例如为这两个返回 NULL：

0xC0,0x2F TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
0xC0,0x14 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA

我的问题：有没有一种现代方法可以通过其 IANA ID 获取密码套件（SSL_CIPHER 或 新 结构）？

我见过this related question，但它没有回答如何从 IANA 十六进制 ID 获取密码套件对象。

注意IANA ID 是指此类页面上的第一个十六进制列：

• https://testssl.sh/openssl-iana.mapping.html
• https://wiki.mozilla.org/Security/Cipher_Suites
• https://www.iana.org/assignments/tls-parameters/tls-parameters.xml#tls-parameters-4

Answer 1

你可以使用 SSL_CIPHER_find()，它

... 返回一个 SSL_CIPHER 结构，其密码 ID 存储在 ptr 中。 ptr 参数是一个 char 的二元数组，以网络字节顺序存储两字节的 TLS 密码 ID（由 IANA 分配）。

见https://www.openssl.org/docs/man1.1.1/man3/SSL_CIPHER_find.html

C 程序

您的两个示例的 C 代码可能如下所示：

#include <stdio.h>
#include <openssl/err.h>
#include <openssl/ssl.h>

static void print_name(unsigned char iana[], const SSL_CIPHER *cipher);

int main(void) {
    SSL_CTX *ctx = SSL_CTX_new(TLS_client_method());
    SSL *ssl = SSL_new(ctx);
    if (ssl == NULL) {
        ERR_print_errors_fp(stderr);
        exit(1);
    }

    unsigned char iana1[] = {0xC0, 0x2F};
    const SSL_CIPHER *cipher = SSL_CIPHER_find(ssl, iana1);
    if (cipher) {
        print_name(iana1, cipher);
    }

    unsigned char iana2[] = {0xC0, 0x14};
    cipher = SSL_CIPHER_find(ssl, iana2);
    if (cipher) {
        print_name(iana2, cipher);
    }
    SSL_free(ssl);
    SSL_CTX_free(ctx);
    return 0;
}

static void print_name(unsigned char iana[], const SSL_CIPHER *cipher) {
    const char *name = SSL_CIPHER_standard_name(cipher);
    if (name == NULL)
        name = "?";
    printf("0x%02X,0x%02X -> %s\n", iana[0], iana[1], name);
}

测试

如果你运行上面的程序，你会在调试控制台上得到如下输出：

0xC0,0x2F -> TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
0xC0,0x14 -> TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA