src/verify.c

   1 /*
   2  * Verify established TLS connections.
   3  *
   4  * Copyright (C) 2011-2013  Simon Ruderich
   5  *
   6  * This program is free software: you can redistribute it and/or modify
   7  * it under the terms of the GNU General Public License as published by
   8  * the Free Software Foundation, either version 3 of the License, or
   9  * (at your option) any later version.
  10  *
  11  * This program is distributed in the hope that it will be useful,
  12  * but WITHOUT ANY WARRANTY; without even the implied warranty of
  13  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  14  * GNU General Public License for more details.
  15  *
  16  * You should have received a copy of the GNU General Public License
  17  * along with this program.  If not, see <http://www.gnu.org/licenses/>.
  18  */
  19
  20 #include "tlsproxy.h"
  21 #include "verify.h"
  22
  23 #include <assert.h>
  24 #include <errno.h>
  25
  26 #include <gnutls/x509.h>
  27
  28
  29 static int get_certificate_path(const char *format,
  30         const char *hostname, char *buffer, size_t size);
  31
  32
  33 int verify_tls_connection(gnutls_session_t session, const char *hostname) {
  34     int result;
  35     char path[TLSPROXY_MAX_PATH_LENGTH];
  36
  37     size_t size;
  38     unsigned int status;
  39     gnutls_x509_crt_t cert;
  40     const gnutls_datum_t *cert_list;
  41     unsigned int cert_list_size;
  42     FILE *file;
  43     char buffer[66]; /* one line in a PEM file is 64 bytes + '\n' + '\0' */
  44     char server_cert[16384];
  45     char stored_cert[16384];
  46
  47     result = gnutls_certificate_verify_peers2(session, &status);
  48     /* Verification failed (!= invalid certificate but worse), no need for any
  49      * more checks. */
  50     if (result < 0) {
  51         LOG(WARNING,
  52             "verify_tls_connection(): "
  53             "gnutls_certificate_verify_peers2() failed: %s",
  54             gnutls_strerror(result));
  55         return -1;
  56     }
  57     /* Definitely an invalid certificate, abort. */
  58     if (status & GNUTLS_CERT_REVOKED
  59             || status & GNUTLS_CERT_INSECURE_ALGORITHM
  60             || status & GNUTLS_CERT_NOT_ACTIVATED
  61             || status & GNUTLS_CERT_EXPIRED
  62             ) {
  63         LOG(WARNING, "verify_tls_connection(): invalid server certificate");
  64         return -1;
  65     }
  66
  67     /* We only handle X509 certificates for now. Let validation fail to
  68      * prevent an attacker from changing the certificate type to prevent
  69      * detection. */
  70     if (gnutls_certificate_type_get(session) != GNUTLS_CRT_X509) {
  71         LOG(WARNING, "verify_tls_connection(): no X509 server certificate");
  72         return -1;
  73     }
  74
  75     /* Get server certificate. */
  76
  77     result = gnutls_x509_crt_init(&cert);
  78     if (result < 0) {
  79         LOG(WARNING,
  80             "verify_tls_connection(): gnutls_x509_crt_init() failed: %s",
  81             gnutls_strerror(result));
  82         return -1;
  83     }
  84
  85     cert_list = gnutls_certificate_get_peers(session, &cert_list_size);
  86     if (cert_list == NULL) {
  87         LOG(WARNING,
  88             "verify_tls_connection(): gnutls_certificate_get_peers() failed");
  89         gnutls_x509_crt_deinit(cert);
  90         return -1;
  91     }
  92
  93     result = gnutls_x509_crt_import(cert, &cert_list[0], GNUTLS_X509_FMT_DER);
  94     if (result < 0) {
  95         LOG(WARNING,
  96             "verify_tls_connection(): gnutls_x509_crt_import() failed: %s",
  97             gnutls_strerror(result));
  98         gnutls_x509_crt_deinit(cert);
  99         return -1;
 100     }
 101
 102     /* Export the certificate as PEM to compare it with the known certificate
 103      * stored on disk. */
 104     size = sizeof(server_cert);
 105     result = gnutls_x509_crt_export(cert, GNUTLS_X509_FMT_PEM,
 106                                     server_cert, &size);
 107     if (result != GNUTLS_E_SUCCESS) {
 108         LOG(WARNING,
 109             "verify_tls_connection(): gnutls_x509_crt_export() failed: %s",
 110             gnutls_strerror(result));
 111         gnutls_x509_crt_deinit(cert);
 112         return -1;
 113     }
 114     /* We got the certificate as PEM, free the crt struct. */
 115     gnutls_x509_crt_deinit(cert);
 116
 117     /* Open stored server certificate file. */
 118     if (server_certificate_file(&file, hostname, path, sizeof(path)) != 0) {
 119         LOG(DEBUG1, "server certificate:\n%s", server_cert);
 120         return -1;
 121     }
 122
 123     size = 1; /* '\0' */
 124     stored_cert[0] = '\0'; /* for strcat() */
 125
 126     while (fgets(buffer, sizeof(buffer), file) != NULL) {
 127         size += strlen(buffer);
 128         /* Make sure the buffer is big enough. */
 129         if (size >= sizeof(stored_cert)) {
 130             LOG(WARNING, "verify_tls_connection(): '%s' too big", path);
 131             fclose(file);
 132
 133             LOG(DEBUG1, "server certificate:\n%s", server_cert);
 134             return -1;
 135         }
 136
 137         strcat(stored_cert, buffer);
 138     }
 139     if (ferror(file)) {
 140         LOG(WARNING, "verify_tls_connection(): failed to read from '%s': %s",
 141                      path, strerror(errno));
 142         fclose(file);
 143
 144         LOG(DEBUG1, "server certificate:\n%s", server_cert);
 145         return -1;
 146     }
 147     fclose(file);
 148
 149     /* Check if the server certificate matches our stored certificate. */
 150     if (strcmp(stored_cert, server_cert)) {
 151         LOG(ERROR, "verify_tls_connection(): server certificate changed!",
 152                    path, strerror(errno));
 153
 154         LOG(WARNING, "server certificate:\n%s", server_cert);
 155         return -2;
 156     }
 157
 158     /* Check that the proxy certificate file exists and is readable for this
 159      * domain. This ensures we send an "invalid" certificate even if the proxy
 160      * certificate doesn't exist. */
 161     if (proxy_certificate_path(hostname, path, sizeof(path)) != 0) {
 162         return -1;
 163     }
 164     file = fopen(path, "r");
 165     if (file == NULL) {
 166         LOG(WARNING,
 167             "verify_tls_connection(): proxy certificate doesn't exist: '%s'",
 168             path);
 169         return -1;
 170     }
 171     fclose(file);
 172
 173     return 0;
 174 }
 175
 176
 177 static int get_certificate_path(const char *format,
 178         const char *hostname, char *buffer, size_t size) {
 179     int result;
 180
 181     /* Hostname too long. */
 182     assert(size > strlen(format));
 183     if (size - strlen(format) <= strlen(hostname)) {
 184         LOG(WARNING, "get_certificate_path(): hostname too long: '%s'",
 185                      hostname);
 186         return -1;
 187     }
 188     /* Try to prevent path traversals in hostnames. */
 189     if (strstr(hostname, "..") != NULL) {
 190         LOG(WARNING, "get_certificate_path(): possible path traversal: '%s'",
 191                      hostname);
 192         return -1;
 193     }
 194     /* Safe as format is no user input. */
 195     result = snprintf(buffer, size, format, hostname);
 196     if (result < 0) {
 197         LOG_PERROR(ERROR, "get_certificate_path(): snprintf failed");
 198         return -1;
 199     } else if ((size_t)result >= size) {
 200         LOG(ERROR, "get_certificate_path(): snprintf buffer too short");
 201         return -1;
 202     }
 203
 204     return 0;
 205 }
 206
 207 int proxy_certificate_path(const char *hostname, char *path, size_t size) {
 208     return get_certificate_path(PROXY_SERVER_CERT_FORMAT,
 209                                 hostname, path, size);
 210 }
 211
 212 int server_certificate_file(FILE **file, const char *hostname,
 213                             char *path, size_t size) {
 214     if (get_certificate_path(STORED_SERVER_CERT_FORMAT,
 215                              hostname, path, size) != 0) {
 216         LOG_PERROR(ERROR, "server_certificate_file(): failed to get path");
 217         return -1;
 218     }
 219
 220     /* Open the stored certificate file. */
 221     *file = fopen(path, "rb");
 222     if (*file == NULL) {
 223         if (global_passthrough_unknown) {
 224             LOG(DEBUG1, "server_certificate_file(): failed to open '%s': %s",
 225                         path, strerror(errno));
 226         } else {
 227             LOG(WARNING, "server_certificate_file(): failed to open '%s': %s",
 228                          path, strerror(errno));
 229         }
 230         /* Couldn't open the file, special case. */
 231         return -2;
 232     }
 233
 234     return 0;
 235 }