- android - 多次调用 OnPrimaryClipChangedListener
- android - 无法更新 RecyclerView 中的 TextView 字段
- android.database.CursorIndexOutOfBoundsException : Index 0 requested, 光标大小为 0
- android - 使用 AppCompat 时,我们是否需要明确指定其 UI 组件(Spinner、EditText)颜色
我有到服务器的 SSL 连接。我有根 CA,它也是服务器证书。我没有客户端证书,当连接开始时,客户端会验证服务器证书以及它是否有效连接。现在我已经从我的根 CA 创建了中间 CA,并将其替换为服务器证书,现在我希望客户端验证服务器证书是否被根 CA 信任,我在 C++ 中使用 openSSL API 来完成。我该怎么做?这是我尝试过的方法,但还需要更多。
const Char *caCert = "/home/omar/CA/host/host_rsa_key.crt";
X509_LOOKUP *lookup = X509_STORE_add_lookup(ctx_ -> cert_store,X509_LOOKUP_file());
result=X509_LOOKUP_load_file(lookup,caCert,X509_FILETYPE_PEM);
if(result != 1)
{
log()<<ERROR! Cannot load file to lookup structure\n";
return;
}
SSL_CTX_sess_set_new_cb(ctx_, handshakeCallback);
SSL_CTX_set_verify(ctx_, SSL_VERIFY_PEER | SSL_VERIFY_FAIL_IF_NO_PEER_CERT,
verifyCallback);
SSL_CTX_set_verify_depth(ctx_, 8);
这是我将所有证书加载到 ssl_ctx 的地方。
我有 verifyCallback 函数,它在这里调用 verifyCertificate() 方法
Int verifyCertificate(Int preverify, X509_STORE_CTX *store)
{
X509 *cert = NULL;
// X509_NAME *name = NULL;
SSL *ssl = NULL;
Int certDepth = -1;
Int certErr = 0;
Char *certHost = NULL;
Char *certHash = NULL;
Char *certData = NULL;
cert = X509_STORE_CTX_get_current_cert(store);
if (cert == NULL)
log() << " ERROR! Failed to get certificate.\n";
goto VerifyCertificateError;
}
certDepth = X509_STORE_CTX_get_error_depth(store);
certErr = X509_STORE_CTX_get_error(store);
ssl = (SSL *) X509_STORE_CTX_get_ex_data(store, SSL_get_ex_data_X509_STORE_CTX_idx());
if (ssl == NULL)
{
log() << ERROR! Failed to get SSL context from store context.\n";
goto VerifyCertificateError;
}
if (preverify == 0)
{
//
// Self signed certificate allowed, SSH host auth style.
//
if (certErr == X509_V_ERR_DEPTH_ZERO_SELF_SIGNED_CERT)
{
log() << " Certificate preverify failed on self";
return 1;
}
else if (certErr == X509_V_ERR_CERT_NOT_YET_VALID)
{
log() << Allowing not yet valid certificate.\n";
return 1;
}
else if (certErr == X509_V_ERR_CERT_HAS_EXPIRED)
{
log() << " Allowing expired certificate.\n";
return 1;
}
else if(certErr == X509_V_ERR_UNABLE_TO_GET_ISSUER_CERT)
{
log()<<" Unable to get issuer cert.\n"
return 1;
}
if (certDepth == 0)
{
if (parseCertificate(store, certHost, certHash, certData) == 0)
{
log() << "Encryptable: ERROR! Failed to parse certificate.\n";
goto VerifyCertificateError;
}
goto VerifyCertificateError;
}
if (authCallback_(certHost, certHash, certData, certCallback_,
callbackParameter_) == 0)
{
log() << " ERROR! Failed to authorize "
<< "the server certificate.\n";
goto VerifyCertificateError;
if (certData != NULL)
{
delete [] certData;
}
return 0;
}
最佳答案
中间证书由 OpenSSL 检查,您无需执行任何特殊操作。当然
您不需要 verify_callback,因为默认回调已经进行了验证,即它会检查整个信任链,包括中间证书。如果您仍然使用一个,preverify
包含 OpenSSL 已经执行的检查结果,并且您的验证回调应该只返回此值,除非您在特定情况下需要不同的验证行为。
关于c++ - 如何验证中间CA,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/27355541/
我正在尝试在 Java 中执行此操作,但我认为这是一个一般证书问题。我有一个根CA,一个由根CA颁发的中间CA1,一个由中间CA1颁发的中间CA2,以及一个由中间CA2颁发的证书。 rootCA ->
编辑 1:https://security.stackexchange.com/questions/83972/trust-ca-and-parent-ca-but-not-other-derivat
我正在使用“任何?” block 中的方法。该片段正在字符串中查找字符串“CA”(拆分)检查: region="CA" check="AU,US,UK,CA,ZA" if check.split(',
我有一个SpringBoot应用程序,它使用以下配置与PostgreSQL通信,通过AWS Beanstrik部署:。在我将AWS Aurora证书更新为rds-ca-ecc384-g1之前,一切都很
我们正在使用我们现有的 CA 进行 freeipa 安装。在安装过程中,会生成 CSR,并且必须由 CA 签名才能创建证书。这个证书必须有 X509v3 Basic Constraints: CA:T
我正在尝试导出客户端证书以供网络浏览器使用。 目标是使用 指令限制对管理区域的访问。我看过很多关于使用自签名 CA 的教程。你会如何使用第三方来做到这一点? 1) 如果它是受信任的根 CA,我是否需要
我已经设法弄清楚 x509Certificate2Collection 中的证书是否是证书颁发机构证书,但我如何才能安全地确定它是根证书还是中间证书?以下是否足够安全? var collection
我使用 fabric-ca-sdk(fabric-sdk-java/fabric-sdk-java/src/test/fixture/sdkintegration) 中的测试代码启动 ca 服务器。并
环境: Red Hat Enterprise Linux Server release 7.7 (Maipo) # openssl version OpenSSL 1.0.2g 1 Mar 2016
导出 K8s 集群 CA 证书和 CA 私钥 团队,我有一个 Kubernetes 集群正在运行。我将一次又一次地删除和创建它,所以我想一直重复使用相同的 CA 证书,我需要保存 CA 证书和 key
我正在编写一个自定义客户端和服务器,我想通过公共(public) Internet 安全地进行通信,因此我想使用 OpenSSL 并让两端进行对等验证以确保我的客户端不会被 MITM 误导,同样,未经
问题: 我想构建一个 docker 容器 FROM:ubuntu:20.04但我无法访问外部互联网 我在内部网络上有一个 apt 镜像,可以使用 apt 镜像位于 https 后面,带有自定义证书 我
Linux 的新手,正在尝试了解更多,我遇到了这种情况。 我已经尝试使用 ps 命令并使用 grep 来捕获“ca”,但它会返回每次出现的“ca”,无论它来自什么,它实际上对我没有帮助。 我已经尝试过
我正在尝试在我的 .NET 应用程序和我安装了第三方根 CA 证书和中间 CA 证书的网站之间建立 TLS 连接: ServicePointManager.SecurityProtocol = Sec
SSL 证书永远不会让我眼花缭乱。我有一个网络应用程序,它从合作伙伴那里对另一项服务进行休息调用以获取某些数据。他们使用为公司生成的自签名或内部 CA。问题是每当另一端更新 SSL 证书时,我的应用程
我正在开发一个带有证书固定的移动应用程序。我将在 DMZ 中有一个盒子来代理我的请求。该服务器是否应该拥有来自可信 CA 的证书,还是我可以使用我自己的 CA 生成的证书? 从移动客户端使用受信任的
有没有人设法将 CA 证书安装到 activemq 实例中?我一直在进行谷歌搜索并阅读 activemq 文档,但我没有找到任何关于如何在 activemq 中使用预先存在的 CA 证书的信息。 我假
openssl ca 和 openssl x509 命令有什么区别?我正在使用它来创建和签署我的 root-ca、intermed-ca 和客户端证书,但是 openssl ca 命令不会在证书上注册
在 keystore 中创建私钥和自签名证书 keytool -genkey -alias mydomain -keystore mydomain.ks -dname cn=mydomain.com
我的 Raspberry Pi 3 出了点问题。我不得不运行 fsck.ext3,但是很多包都损坏了,例如 python 等。现在,ca-certificates 不会重新安装。每当它运行 updat
我是一名优秀的程序员,十分优秀!