]> ruderich.org/simon Gitweb - tlsproxy/tlsproxy.git/blob - src/verify.c
src/connection.c: Fix memory leak in initialize_tls_session_*().
[tlsproxy/tlsproxy.git] / src / verify.c
1 /*
2  * Verify established TLS connections.
3  *
4  * Copyright (C) 2011  Simon Ruderich
5  *
6  * This program is free software: you can redistribute it and/or modify
7  * it under the terms of the GNU General Public License as published by
8  * the Free Software Foundation, either version 3 of the License, or
9  * (at your option) any later version.
10  *
11  * This program is distributed in the hope that it will be useful,
12  * but WITHOUT ANY WARRANTY; without even the implied warranty of
13  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
14  * GNU General Public License for more details.
15  *
16  * You should have received a copy of the GNU General Public License
17  * along with this program.  If not, see <http://www.gnu.org/licenses/>.
18  */
19
20 #include "tlsproxy.h"
21 #include "verify.h"
22
23 /* errno */
24 #include <errno.h>
25 /* gnutls_x509_*() */
26 #include <gnutls/x509.h>
27
28
29 int verify_tls_connection(gnutls_session_t session, const char *hostname) {
30     int result;
31     char path[1024];
32
33     size_t size;
34     unsigned int status;
35     gnutls_x509_crt_t cert;
36     const gnutls_datum_t *cert_list;
37     unsigned int cert_list_size;
38     FILE *file;
39     char buffer[66]; /* one line in a PEM file is 64 bytes + '\n' + '\0' */
40     char server_cert[8192];
41     char stored_cert[8192];
42
43     result = gnutls_certificate_verify_peers2(session, &status);
44     /* Verification failed (!= invalid certificate but worse), no need for any
45      * more checks. */
46     if (0 > result) {
47         LOG(LOG_WARNING,
48             "verify_tls_connection(): gnutls_certificate_verify_peers2() failed: %s",
49             gnutls_strerror(result));
50         return -1;
51     }
52     /* Definitely an invalid certificate, abort. */
53     if (status & GNUTLS_CERT_EXPIRED
54             || status & GNUTLS_CERT_REVOKED
55             || status & GNUTLS_CERT_NOT_ACTIVATED
56             || status & GNUTLS_CERT_INSECURE_ALGORITHM) {
57         LOG(LOG_WARNING,
58             "verify_tls_connection(): invalid server certificate");
59         return -1;
60     }
61
62     /* We only handle X509 certificates for now. Let validation fail to
63      * prevent an attacker from changing the certificate type to prevent
64      * detection. */
65     if (GNUTLS_CRT_X509 != gnutls_certificate_type_get(session)) {
66         LOG(LOG_WARNING,
67             "verify_tls_connection(): no X509 server certificate");
68         return -1;
69     }
70
71     /* Get server certificate. */
72
73     if (0 > (result = gnutls_x509_crt_init(&cert))) {
74         LOG(LOG_WARNING,
75             "verify_tls_connection(): gnutls_x509_crt_init() failed: %s",
76             gnutls_strerror(result));
77         return -1;
78     }
79
80     cert_list = gnutls_certificate_get_peers(session, &cert_list_size);
81     if (NULL == cert_list) {
82         LOG(LOG_WARNING,
83             "verify_tls_connection(): gnutls_certificate_get_peers() failed");
84         gnutls_x509_crt_deinit(cert);
85         return -1;
86     }
87
88     if (0 > (result = gnutls_x509_crt_import(cert, &cert_list[0],
89                                              GNUTLS_X509_FMT_DER))) {
90         LOG(LOG_WARNING,
91             "verify_tls_connection(): gnutls_x509_crt_import() failed: %s",
92             gnutls_strerror(result));
93         gnutls_x509_crt_deinit(cert);
94         return -1;
95     }
96
97     /* Export the certificate as PEM to compare it with the known certificate
98      * stored on disk. */
99     size = sizeof(server_cert);
100     result = gnutls_x509_crt_export(cert, GNUTLS_X509_FMT_PEM,
101                                     server_cert, &size);
102     if (GNUTLS_E_SUCCESS != result) {
103         LOG(LOG_WARNING,
104             "verify_tls_connection(): gnutls_x509_crt_export() failed: %s",
105             gnutls_strerror(result));
106         gnutls_x509_crt_deinit(cert);
107         return -1;
108     }
109     /* We got the certificate as PEM, free it. */
110     gnutls_x509_crt_deinit(cert);
111
112     /* Hostname too long. */
113     if (sizeof(path) - strlen(STORED_SERVER_CERT_FORMAT) <= strlen(hostname)) {
114         LOG(LOG_WARNING,
115             "verify_tls_connection(): hostname too long: '%s'",
116             hostname);
117         return -1;
118     }
119     /* Try to prevent path traversals in hostnames. */
120     if (NULL != strstr(hostname, "..")) {
121         LOG(LOG_WARNING,
122             "verify_tls_connection(): possible path traversal: '%s'",
123             hostname);
124         return -1;
125     }
126     snprintf(path, sizeof(path), STORED_SERVER_CERT_FORMAT, hostname);
127
128     /* Open the stored certificate file. */
129     file = fopen(path, "rb");
130     if (NULL == file) {
131         LOG(LOG_WARNING,
132             "verify_tls_connection(): failed to open '%s': %s",
133             path, strerror(errno));
134         return -1;
135     }
136
137     size = 1; /* '\0' */
138     stored_cert[0] = '\0'; /* for strcat() */
139
140     while (NULL != fgets(buffer, sizeof(buffer), file)) {
141         size += strlen(buffer);
142         /* Make sure the buffer is big enough. */
143         if (sizeof(stored_cert) <= size) {
144             LOG(LOG_WARNING, "verify_tls_connection(): '%s' too big",
145                 path);
146             fclose(file);
147             return -1;
148         }
149
150         strcat(stored_cert, buffer);
151     }
152     if (ferror(file)) {
153         fclose(file);
154         LOG(LOG_WARNING,
155             "verify_tls_connection(): failed to read from '%s': %s",
156             path, strerror(errno));
157         return -1;
158     }
159     fclose(file);
160
161     /* Check if the server certificate matches our stored certificate. */
162     if (0 != strcmp(stored_cert, server_cert)) {
163         LOG(LOG_ERROR,
164             "verify_tls_connection(): server certificate changed!",
165             path, strerror(errno));
166         return -2;
167     }
168
169     return 0;
170 }