CLASSE CLIENT TYPE NORMAL OU CRYPTE (SSL) WINDOWS/LINUX

Commentaire de Nebula le 06/06/2005 02:06:58

Salut, pas mal du tout. Par contre l'utilisation de SSLv23_client_method n'est pas recommandée pour un client (sauf si tu désactives SSLv2 avec SSL_CTX_set_options ou SSL_set_options avant), car ce protocole comporte de multiples failles toujours actives car inhérentes à sa conception même... SSLv3 et TLSv1 sont les standards actuels ;-)

Un autre truc (je dis tout de suite que je ne fais pas de C++ mais du C, mais çà doit être valable quand même) : la gestion des erreurs est intégrée dans ta classe, ne serait-il pas préférable de déclencher des exceptions (méthode préférée du C++ il me semble) ?

Commentaire de neoTHGLF le 06/06/2005 17:50:42

Merci beaucoup pour ces remarques. Je vais modifier le SSL_v23_client_method, je ne savait pas qu'il existait des failles dans SSLv2. Pour la gestion des exceptions, malheureusement je ne comprends encore pas très bien la façon dont elles fonctionnent, je vais m'y atteler de plus près.
Pour les BIO, malheureusement, je trouve la documentation fournie sur le site www.openssl.org extrèmement obscure, je vais aussi m'y atteler (pour la énième fois) de plus près.
De même, je vais lire la doc sur le générateur de nombres aléatoires, il me semble effectivement que c'est un point clé vis à vis de la sécurité. Et ben, j'ai encore de nombreuses améliorations à faire ! ;) Je me souhaite bonne chance !
Cordialement.

Commentaire de Nebula le 08/06/2005 04:26:03

Hm bizarre, j'en avais pas eu besoin :-/

Pour les BIO tu peux commencer par ce site, qui dégrossit pas mal l'API (tout est en mode bloquant, si tu trouves en mode non-bloquant cela m'intéresse) : http://www-128.ibm.com/developerworks/linux/library/l-openssl.html

Je suis bien d'accord avec toi, la documentation d'OpenSSL est fouillis au possible et pour couronner le tout, elle est pas terminée... Mais c'est mieux que rien, et le dossier d'exemples vient la compléter ;-)

Pour le générateur de nombres aléatoires, tu l'initialises une fois au début de ton programme (au lancement par exemple, avant de créer tes connexions SSL), et puis c'est tout. Perso j'utilise rien sous Linux (il va chercher tout seul /dev/urandom ou /dev/random si le premier n'est pas disponible), et la CryptoAPI sous Windows pour en tirer un buffer de 2048 octets. Mais RAND_screen peut te suffire, si tu n'as pas besoin d'un truc très sécurisé.

Bon courage pour la suite !

Commentaire de Klephte le 27/12/2005 13:43:33

Salut, bravo pour ce bel exemple de développement à base d'OpenSSL.

Si tu me le permets, je ferai néanmoins une remarque complémentaire concernant la lecture des données de la socket à l'aide de la fonction SSL_read car, tu dois ajouter un test complémentaire SSL_ERROR_WANT_READ afin de t'assurer que tu ne tentes pas un décryptage trop hâtif d'un buffer partiel.

Voici ce que j'ai écrit dans mon code à l'époque :
nBytes = SSL_read (conn.ssl, conn.acBuffer + conn.nCharsInBuffer,kBufferSize - conn.nCharsInBuffer - 1);
// Si SSL_read renvoie l'erreur SSL_ERROR_WANT_READ (code 2), cela signifie que l'api ssl a besoin
// de données complémentaires pour décoder le buffer, on effectue donc une relecture jusqu'à ce que
// cette erreur disparaisse

while ((nBytes==-1) && (SSL_get_error(conn.ssl,nBytes) == SSL_ERROR_WANT_READ)){
nBytes = SSL_read (conn.ssl, conn.acBuffer + conn.nCharsInBuffer,kBufferSize - conn.nCharsInBuffer - 1);
}

Pour vérifier que tout s'est bien passé alors j'utilise cette fonction :
SSL_get_error(conn.ssl,nBytes) == SSL_ERROR_NONE

Pour avoir le détail de l'erreur :
int sslerror = SSL_get_error(conn.ssl,nBytes);
char error_buffer[120];
ERR_error_string(sslerror, error_buffer,120);



Arnaud Grandville

Commentaire de sevgautok le 14/03/2006 12:26:13

Bonjour,
a mon tour de me lancer dans la securisation de mon appli client/serveur en utilisant SSL.
J'en viens a l'erreur SSL_ERROR_WANT_READ. Dans mon cas, elle apparait en retour de l'appel de SSL_accept. Mes sockets sont non bloquantes. Je n'arrive pas a me depatouiller de ca.
En gros j'ai mon client qui fait un SSL_connect et au niveau du serveur j'ai ce probleme.
Malgré tous les exemples que j'ai pu trouver sur le net, je n'ai pas reussi a resoundre ca.
Merci infiniment pour tout reponse.

Commentaire de newzeh le 16/04/2007 14:49:08

Salut
J'ai telecharger ce code source client.cpp
j'ai simplement ecrit ce code source app.cpp:
#include "client.h"
#include <iostream>
#include <sys/types.h>
#include <sys/socket.h>
using namespace std;
int main()
{
client *obj;
obj = new client();
obj->client_set(1,"192.168.1.1",443,1);
return 0;
}
//end
J'ai tapé au shell de linux la commande suivante:
g++ -Wall -c app.cpp
g++ -Wall -c client.cpp
c bon jusqu'ici
ensuite lorsque je tape cette commande: g++ app.o client.o -o app

j'ai ce message d'erreur:
/tmp/ccWh5xOV.o: In function `client::client_read(char*)':
client.cpp:(.text+0x11c): référence indéfinie vers « SSL_read »
/tmp/ccWh5xOV.o: In function `client::client_write(char*)':
client.cpp:(.text+0x208): référence indéfinie vers « SSL_write »
/tmp/ccWh5xOV.o: In function `client::client_connect()':
client.cpp:(.text+0x2e4): référence indéfinie vers « SSL_load_error_strings »
client.cpp:(.text+0x2e9): référence indéfinie vers « SSL_library_init »
client.cpp:(.text+0x2ee): référence indéfinie vers « SSLv23_client_method »
client.cpp:(.text+0x2fc): référence indéfinie vers « SSL_CTX_new »
client.cpp:(.text+0x30a): référence indéfinie vers « SSL_new »
client.cpp:(.text+0x357): référence indéfinie vers « SSL_set_fd »
client.cpp:(.text+0x3ac): référence indéfinie vers « SSL_connect »
collect2: ld returned 1 exit status

Merci d'avance de votre aide

Commentaire de neoTHGLF le 30/04/2007 10:25:23

Salut DjMoa,
Désolé pour le retard.

pour ma part le code que tu as tapé fonctionne très bien. Peut être le probleme se situe t'il autre part dans ton programme ?

Cordialement,