NOM¶

SSL_CTX_set_client_cert_cb, SSL_CTX_get_client_cert_cb - Gestion de la fonction de rappel de certificat client.

SYNOPSIS¶

#include <openssl/ssl.h>

void SSL_CTX_set_client_cert_cb(SSL_CTX *ctx, int (*client_cert_cb)(SSL *ssl, X509 **x509, EVP_PKEY **pkey));
int (*SSL_CTX_get_client_cert_cb(SSL_CTX *ctx))(SSL *ssl, X509 **x509, EVP_PKEY **pkey);
int (*client_cert_cb)(SSL *ssl, X509 **x509, EVP_PKEY **pkey);

DESCRIPTION¶

SSL_CTX_set_client_cert_cb() définit le rappel client_cert_cb(), qui est appelé lors d’une demande de certificat client par un serveur et qu’aucun certificat n’a été défini pour l’objet SSL.

Lorsque client_cert_cb() est NULL, aucune fonction de rappel n’est utilisée.

SSL_CTX_ge_client_cert_cb() renvoie un pointeur vers la fonction de rappel actuellement définie.

client_cert_cb() est le rappel défini par l’application. Si elle veut définir un certificat, une combinaison clef/certificat privé doit être indiquée en utilisant les arguments x509 et pkey, et 1 doit être renvoyé. Le certificat sera installé dans ssl ; consultez les sections NOTES et BOGUES. Si aucun certificat ne doit être défini, 0 doit être renvoyé et aucun certificat ne sera adressé. Le renvoi d’une valeur négative suspendra l’initiation de connexion et la fonction d’initiation s'arrêtera immédiatement. SSL_get_error(3) renverra SSL_ERROR_WANT_X509_LOOKUP pour signaler que l’initiation est suspendue. Le prochain appel à la fonction d’initiation amènera de nouveau à l’appel de client_cert_cb(). C’est au client_cert_cb() d’emmagasiner l’information sur l’état du dernier appel, si une demande de continuation est faite.

NOTES¶

Pendant l’initialisation de connexion (ou renégociation), un serveur peut demander un certificat au client. Un certificat client doit seulement être adressé, lorsque le serveur a bien envoyé la requête.

Quand un certificat a été défini en utilisant la famille de fonctions SSL_CTX_use_certificate(3), il est adressé au serveur. La norme TLS exige qu’un seul certificat soit adressé, s’il a une correspondance dans la liste de CA acceptables envoyée par le serveur. Cette contrainte n’est pas respectée par le comportement par défaut de la bibliothèque OpenSSL. L’utilisation de la fonction de rappel permet d’implémenter une routine de sélection appropriée ou de choisir le certificat à envoyer par une interaction de l’utilisateur.

Si une fonction de rappel est définie et qu’aucun certificat n’a été défini pour l’objet SSL, la fonction de rappel est appelée. Si la fonction de rappel renvoie un certificat, la bibliothèque OpenSSL essayera de charger la clef privée et les données de certificat dans l’objet SSL, en utilisant les fonctions SSL_use_certificate() et SSL_use_private_key(). Par conséquent, les clef et certificat seront installés définitivement pour l’objet SSL. Ils ne seront pas réinitialisés par SSL_clear(3). Si le rappel ne renvoie aucun certificat, la bibliothèque OpenSSl n’adressera pas de certificat.

BOGUES¶

client_cert_cb() ne peut pas renvoyer une chaîne de certificats complète, il peut simplement renvoyer un certificat client. Si la chaîne est de longueur 2, le certificat du CA racine peut être omis en accord avec le standard TLS et donc une réponse conforme au standard peut être adressée au serveur. Pour une chaîne plus longue, le client doit envoyer la chaîne complète (avec l’option d’omettre le certificat du CA racine). Cela peut être uniquement accompli soit en ajoutant les certificats de CA intermédiaires dans le stockage de certificats de confiance pour l’objet SSL_CTX (avec pour conséquence d’avoir à ajouter des certificats de CA qui peut-être ne seraient pas considérés de confiance), soit en ajoutant la chaîne de certificats avec la fonction SSL_CTX_add_extra_chain_cert(3), qui est seulement disponible pour l’objet SSL_CTX globalement, et par conséquent peut probablement s’appliquer à un seul certificat client, rendant le concept de fonction de rappel (pour permettre le choix parmi plusieurs certificats) discutable.

Une fois que l’objet SSL a été utilisé conjointement avec la fonction de rappel, le certificat sera défini pour l’objet SSL et ne sera pas effacé même quand SSL_clear(3) sera appelée. Il est donc obligatoire de détruire l’objet SSL avec SSL_free(3) et créer un nouvel objet pour retourner à l’état précédent.

VOIR AUSSI¶

ssl(3), SSL_CTX_use_certificate(3), SSL_CTX_add_extra_chain_cert(3), SSL_get_client_CA_list(3), SSL_clear(3), SSL_free(3)

TRADUCTION¶

La traduction de cette page de manuel est maintenue par les membres de la liste <debian-l10n-french AT lists DOT debian DOT org>. Veuillez signaler toute erreur de traduction par un rapport de bogue sur le paquet manpages-fr-extra.