Interrogation des extensions sur les certificats X509 à l'aide d'OpenSSL

Question

Je travaille avec la classe de certificat X509 de la bibliothèque OpenSSL et j'ai besoin d'interroger l'extension «utilisation des clés».

Après avoir abandonné « documentation » de vapourware de OpenSSL, une prise de vue en le noir recherche sur le Web a finalement révélé que je devais appeler

X509_get_ext_d2i(X509 *x, int nid, int *crit, int *idx) 

et la recherche dans l'en-tête objects.h révélais le JNV approprié.

Le problème est, cet appel renvoie un pointeur sur void, qui peut apparemment pointer vers une variété de structures en fonction de l'extension demandée.

Puisqu'aucun de ceux-ci ne semble être documenté, on est laissé sans moyen de comprendre comment analyser ce que la fonction renvoie. Est-ce que quelqu'un peut me diriger vers un document qui en parle, au lieu de simplement faire une liste de choses que je peux trouver moi-même (le profil de la fonction, de quel fichier provient-il, etc.)?

Answer 1

Le deuxième paramètre (nid) détermine le type renvoyé.

En regardant ce code:

http://opengrok.creo.hu/dragonfly/xref/src/crypto/openssl-0.9/crypto/x509v3/v3_purp.c#X509_check_purpose

Il semble que pour l'utilisation de la clé JNV, elle retourne un ASN1_BIT_STRING. (ligne 361).

Answer 2

Les solutions les plus faciles à lire l'utilisation de la clé semble être

X509* x509_cert = ... 
// without X509_check_ca x509_cert->ex_kusage always returns 0 (no idea why) 
int ca = X509_check_ca(x509_cert); 
unsigned long usage = x509_cert->ex_kusage; 

Les valeurs résultantes sont définies dans opensc/PKCS15-init.h

SC_PKCS15INIT_X509_DIGITAL_SIGNATURE  0x0080UL 
SC_PKCS15INIT_X509_NON_REPUDIATION  0x0040UL 
SC_PKCS15INIT_X509_KEY_ENCIPHERMENT  0x0020UL 
SC_PKCS15INIT_X509_DATA_ENCIPHERMENT  0x0010UL 
SC_PKCS15INIT_X509_KEY_AGREEMENT   0x0008UL 
SC_PKCS15INIT_X509_KEY_CERT_SIGN   0x0004UL 
SC_PKCS15INIT_X509_CRL_SIGN    0x0002UL 

Je suis venu à cette soultion en trouvant le code suivant d'un fichier source openssl

/* Handle key usage */ 
if((usage=X509_get_ext_d2i(x, NID_key_usage, NULL, NULL))) { 
    if(usage->length > 0) { 
     x->ex_kusage = usage->data[0]; 
     if(usage->length > 1) 
     x->ex_kusage |= usage->data[1] << 8; 
    } else x->ex_kusage = 0; 
    x->ex_flags |= EXFLAG_KUSAGE; 
    ASN1_BIT_STRING_free(usage); 
}