One Level Up Top Level

src/event/ngx_event_openssl.c - nginx-1.7.10

Global variables defined

Data types defined

Functions defined

Macros defined

Source code


  2. /*
  3. * Copyright (C) Igor Sysoev
  4. * Copyright (C) Nginx, Inc.
  5. */


  8. #include <ngx_config.h>
  9. #include <ngx_core.h>
  10. #include <ngx_event.h>


  13. ‌#define NGX_SSL_PASSWORD_BUFFER_SIZE  4096


  16. typedef struct {
  17.     ngx_uint_t  engine;   /* unsigned  engine:1; */
  18. ‌} ngx_openssl_conf_t;


  21. static int ngx_ssl_password_callback(char *buf, int size, int rwflag,
  22.     void *userdata);
  23. static int ngx_ssl_verify_callback(int ok, X509_STORE_CTX *x509_store);
  24. static void ngx_ssl_info_callback(const ngx_ssl_conn_t *ssl_conn, int where,
  25.     int ret);
  26. static void ngx_ssl_passwords_cleanup(void *data);
  27. static void ngx_ssl_handshake_handler(ngx_event_t *ev);
  28. static ngx_int_t ngx_ssl_handle_recv(ngx_connection_t *c, int n);
  29. static void ngx_ssl_write_handler(ngx_event_t *wev);
  30. static void ngx_ssl_read_handler(ngx_event_t *rev);
  31. static void ngx_ssl_shutdown_handler(ngx_event_t *ev);
  32. static void ngx_ssl_connection_error(ngx_connection_t *c, int sslerr,
  33.     ngx_err_t err, char *text);
  34. static void ngx_ssl_clear_error(ngx_log_t *log);

  36. static ngx_int_t ngx_ssl_session_id_context(ngx_ssl_t *ssl,
  37.     ngx_str_t *sess_ctx);
  38. ngx_int_t ngx_ssl_session_cache_init(ngx_shm_zone_t *shm_zone, void *data);
  39. static int ngx_ssl_new_session(ngx_ssl_conn_t *ssl_conn,
  40.     ngx_ssl_session_t *sess);
  41. static ngx_ssl_session_t *ngx_ssl_get_cached_session(ngx_ssl_conn_t *ssl_conn,
  42.     u_char *id, int len, int *copy);
  43. static void ngx_ssl_remove_session(SSL_CTX *ssl, ngx_ssl_session_t *sess);
  44. static void ngx_ssl_expire_sessions(ngx_ssl_session_cache_t *cache,
  45.     ngx_slab_pool_t *shpool, ngx_uint_t n);
  46. static void ngx_ssl_session_rbtree_insert_value(ngx_rbtree_node_t *temp,
  47.     ngx_rbtree_node_t *node, ngx_rbtree_node_t *sentinel);

  49. #ifdef SSL_CTRL_SET_TLSEXT_TICKET_KEY_CB
  50. static int ngx_ssl_session_ticket_key_callback(ngx_ssl_conn_t *ssl_conn,
  51.     unsigned char *name, unsigned char *iv, EVP_CIPHER_CTX *ectx,
  52.     HMAC_CTX *hctx, int enc);
  53. #endif

  55. #if (OPENSSL_VERSION_NUMBER < 0x10002002L || defined LIBRESSL_VERSION_NUMBER)
  56. static ngx_int_t ngx_ssl_check_name(ngx_str_t *name, ASN1_STRING *str);
  57. #endif

  59. static void *ngx_openssl_create_conf(ngx_cycle_t *cycle);
  60. static char *ngx_openssl_engine(ngx_conf_t *cf, ngx_command_t *cmd, void *conf);
  61. static void ngx_openssl_exit(ngx_cycle_t *cycle);


  64. ‌static ngx_command_t  ngx_openssl_commands[] = {

  66.     { ngx_string("ssl_engine"),
  67.       NGX_MAIN_CONF|NGX_DIRECT_CONF|NGX_CONF_TAKE1,
  68.       ngx_openssl_engine,
  69.       0,
  70.       0,
  71.       NULL },

  73.       ngx_null_command
  74. };


  77. ‌static ngx_core_module_t  ngx_openssl_module_ctx = {
  78.     ngx_string("openssl"),
  79.     ngx_openssl_create_conf,
  80.     NULL
  81. };


  84. ‌ngx_module_t  ngx_openssl_module = {
  85.     NGX_MODULE_V1,
  86.     &ngx_openssl_module_ctx,               /* module context */
  87.     ngx_openssl_commands,                  /* module directives */
  88.     NGX_CORE_MODULE,                       /* module type */
  89.     NULL,                                  /* init master */
  90.     NULL,                                  /* init module */
  91.     NULL,                                  /* init process */
  92.     NULL,                                  /* init thread */
  93.     NULL,                                  /* exit thread */
  94.     NULL,                                  /* exit process */
  95.     ngx_openssl_exit,                      /* exit master */
  96.     NGX_MODULE_V1_PADDING
  97. };


  100. ‌int  ngx_ssl_connection_index;
  101. ‌int  ngx_ssl_server_conf_index;
  102. ‌int  ngx_ssl_session_cache_index;
  103. ‌int  ngx_ssl_session_ticket_keys_index;
  104. ‌int  ngx_ssl_certificate_index;
  105. ‌int  ngx_ssl_stapling_index;


  108. ngx_int_t
  109. ‌ngx_ssl_init(ngx_log_t *log)
  110. {
  111. #ifndef OPENSSL_IS_BORINGSSL
  112.     OPENSSL_config(NULL);
  113. #endif

  115.     SSL_library_init();
  116.     SSL_load_error_strings();

  118.     OpenSSL_add_all_algorithms();

  120. #if OPENSSL_VERSION_NUMBER >= 0x0090800fL
  121. #ifndef SSL_OP_NO_COMPRESSION
  122.     {
  123.     /*
  124.      * Disable gzip compression in OpenSSL prior to 1.0.0 version,
  125.      * this saves about 522K per connection.
  126.      */
  127.     int                  n;
  128.     STACK_OF(SSL_COMP)  *ssl_comp_methods;

  130.     ssl_comp_methods = SSL_COMP_get_compression_methods();
  131.     n = sk_SSL_COMP_num(ssl_comp_methods);

  133.     while (n--) {
  134.         (void) sk_SSL_COMP_pop(ssl_comp_methods);
  135.     }
  136.     }
  137. #endif
  138. #endif

  140.     ngx_ssl_connection_index = SSL_get_ex_new_index(0, NULL, NULL, NULL, NULL);

  142.     if (ngx_ssl_connection_index == -1) {
  143.         ngx_ssl_error(NGX_LOG_ALERT, log, 0, "SSL_get_ex_new_index() failed");
  144.         return NGX_ERROR;
  145.     }

  147.     ngx_ssl_server_conf_index = SSL_CTX_get_ex_new_index(0, NULL, NULL, NULL,
  148.                                                          NULL);
  149.     if (ngx_ssl_server_conf_index == -1) {
  150.         ngx_ssl_error(NGX_LOG_ALERT, log, 0,
  151.                       "SSL_CTX_get_ex_new_index() failed");
  152.         return NGX_ERROR;
  153.     }

  155.     ngx_ssl_session_cache_index = SSL_CTX_get_ex_new_index(0, NULL, NULL, NULL,
  156.                                                            NULL);
  157.     if (ngx_ssl_session_cache_index == -1) {
  158.         ngx_ssl_error(NGX_LOG_ALERT, log, 0,
  159.                       "SSL_CTX_get_ex_new_index() failed");
  160.         return NGX_ERROR;
  161.     }

  163.     ngx_ssl_session_ticket_keys_index = SSL_CTX_get_ex_new_index(0, NULL, NULL,
  164.                                                                  NULL, NULL);
  165.     if (ngx_ssl_session_ticket_keys_index == -1) {
  166.         ngx_ssl_error(NGX_LOG_ALERT, log, 0,
  167.                       "SSL_CTX_get_ex_new_index() failed");
  168.         return NGX_ERROR;
  169.     }

  171.     ngx_ssl_certificate_index = SSL_CTX_get_ex_new_index(0, NULL, NULL, NULL,
  172.                                                          NULL);
  173.     if (ngx_ssl_certificate_index == -1) {
  174.         ngx_ssl_error(NGX_LOG_ALERT, log, 0,
  175.                       "SSL_CTX_get_ex_new_index() failed");
  176.         return NGX_ERROR;
  177.     }

  179.     ngx_ssl_stapling_index = SSL_CTX_get_ex_new_index(0, NULL, NULL, NULL,
  180.                                                       NULL);
  181.     if (ngx_ssl_stapling_index == -1) {
  182.         ngx_ssl_error(NGX_LOG_ALERT, log, 0,
  183.                       "SSL_CTX_get_ex_new_index() failed");
  184.         return NGX_ERROR;
  185.     }

  187.     return NGX_OK;
  188. }


  191. ngx_int_t
  192. ‌ngx_ssl_create(ngx_ssl_t *ssl, ngx_uint_t protocols, void *data)
  193. {
  194.     ssl->ctx = SSL_CTX_new(SSLv23_method());

  196.     if (ssl->ctx == NULL) {
  197.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0, "SSL_CTX_new() failed");
  198.         return NGX_ERROR;
  199.     }

  201.     if (SSL_CTX_set_ex_data(ssl->ctx, ngx_ssl_server_conf_index, data) == 0) {
  202.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  203.                       "SSL_CTX_set_ex_data() failed");
  204.         return NGX_ERROR;
  205.     }

  207.     ssl->buffer_size = NGX_SSL_BUFSIZE;

  209.     /* client side options */

  211. #ifdef SSL_OP_MICROSOFT_SESS_ID_BUG
  212.     SSL_CTX_set_options(ssl->ctx, SSL_OP_MICROSOFT_SESS_ID_BUG);
  213. #endif

  215. #ifdef SSL_OP_NETSCAPE_CHALLENGE_BUG
  216.     SSL_CTX_set_options(ssl->ctx, SSL_OP_NETSCAPE_CHALLENGE_BUG);
  217. #endif

  219.     /* server side options */

  221. #ifdef SSL_OP_SSLREF2_REUSE_CERT_TYPE_BUG
  222.     SSL_CTX_set_options(ssl->ctx, SSL_OP_SSLREF2_REUSE_CERT_TYPE_BUG);
  223. #endif

  225. #ifdef SSL_OP_MICROSOFT_BIG_SSLV3_BUFFER
  226.     SSL_CTX_set_options(ssl->ctx, SSL_OP_MICROSOFT_BIG_SSLV3_BUFFER);
  227. #endif

  229. #ifdef SSL_OP_MSIE_SSLV2_RSA_PADDING
  230.     /* this option allow a potential SSL 2.0 rollback (CAN-2005-2969) */
  231.     SSL_CTX_set_options(ssl->ctx, SSL_OP_MSIE_SSLV2_RSA_PADDING);
  232. #endif

  234. #ifdef SSL_OP_SSLEAY_080_CLIENT_DH_BUG
  235.     SSL_CTX_set_options(ssl->ctx, SSL_OP_SSLEAY_080_CLIENT_DH_BUG);
  236. #endif

  238. #ifdef SSL_OP_TLS_D5_BUG
  239.     SSL_CTX_set_options(ssl->ctx, SSL_OP_TLS_D5_BUG);
  240. #endif

  242. #ifdef SSL_OP_TLS_BLOCK_PADDING_BUG
  243.     SSL_CTX_set_options(ssl->ctx, SSL_OP_TLS_BLOCK_PADDING_BUG);
  244. #endif

  246. #ifdef SSL_OP_DONT_INSERT_EMPTY_FRAGMENTS
  247.     SSL_CTX_set_options(ssl->ctx, SSL_OP_DONT_INSERT_EMPTY_FRAGMENTS);
  248. #endif

  250.     SSL_CTX_set_options(ssl->ctx, SSL_OP_SINGLE_DH_USE);

  252.     if (!(protocols & NGX_SSL_SSLv2)) {
  253.         SSL_CTX_set_options(ssl->ctx, SSL_OP_NO_SSLv2);
  254.     }
  255.     if (!(protocols & NGX_SSL_SSLv3)) {
  256.         SSL_CTX_set_options(ssl->ctx, SSL_OP_NO_SSLv3);
  257.     }
  258.     if (!(protocols & NGX_SSL_TLSv1)) {
  259.         SSL_CTX_set_options(ssl->ctx, SSL_OP_NO_TLSv1);
  260.     }
  261. #ifdef SSL_OP_NO_TLSv1_1
  262.     if (!(protocols & NGX_SSL_TLSv1_1)) {
  263.         SSL_CTX_set_options(ssl->ctx, SSL_OP_NO_TLSv1_1);
  264.     }
  265. #endif
  266. #ifdef SSL_OP_NO_TLSv1_2
  267.     if (!(protocols & NGX_SSL_TLSv1_2)) {
  268.         SSL_CTX_set_options(ssl->ctx, SSL_OP_NO_TLSv1_2);
  269.     }
  270. #endif

  272. #ifdef SSL_OP_NO_COMPRESSION
  273.     SSL_CTX_set_options(ssl->ctx, SSL_OP_NO_COMPRESSION);
  274. #endif

  276. #ifdef SSL_MODE_RELEASE_BUFFERS
  277.     SSL_CTX_set_mode(ssl->ctx, SSL_MODE_RELEASE_BUFFERS);
  278. #endif

  280.     SSL_CTX_set_read_ahead(ssl->ctx, 1);

  282.     SSL_CTX_set_info_callback(ssl->ctx, ngx_ssl_info_callback);

  284.     return NGX_OK;
  285. }


  288. ngx_int_t
  289. ‌ngx_ssl_certificate(ngx_conf_t *cf, ngx_ssl_t *ssl, ngx_str_t *cert,
  290.     ngx_str_t *key, ngx_array_t *passwords)
  291. {
  292.     BIO         *bio;
  293.     X509        *x509;
  294.     u_long       n;
  295.     ngx_str_t   *pwd;
  296.     ngx_uint_t   tries;

  298.     if (ngx_conf_full_name(cf->cycle, cert, 1) != NGX_OK) {
  299.         return NGX_ERROR;
  300.     }

  302.     /*
  303.      * we can't use SSL_CTX_use_certificate_chain_file() as it doesn't
  304.      * allow to access certificate later from SSL_CTX, so we reimplement
  305.      * it here
  306.      */

  308.     bio = BIO_new_file((char *) cert->data, "r");
  309.     if (bio == NULL) {
  310.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  311.                       "BIO_new_file(\"%s\") failed", cert->data);
  312.         return NGX_ERROR;
  313.     }

  315.     x509 = PEM_read_bio_X509_AUX(bio, NULL, NULL, NULL);
  316.     if (x509 == NULL) {
  317.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  318.                       "PEM_read_bio_X509_AUX(\"%s\") failed", cert->data);
  319.         BIO_free(bio);
  320.         return NGX_ERROR;
  321.     }

  323.     if (SSL_CTX_use_certificate(ssl->ctx, x509) == 0) {
  324.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  325.                       "SSL_CTX_use_certificate(\"%s\") failed", cert->data);
  326.         X509_free(x509);
  327.         BIO_free(bio);
  328.         return NGX_ERROR;
  329.     }

  331.     if (SSL_CTX_set_ex_data(ssl->ctx, ngx_ssl_certificate_index, x509)
  332.         == 0)
  333.     {
  334.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  335.                       "SSL_CTX_set_ex_data() failed");
  336.         X509_free(x509);
  337.         BIO_free(bio);
  338.         return NGX_ERROR;
  339.     }

  341.     X509_free(x509);

  343.     /* read rest of the chain */

  345.     for ( ;; ) {

  347.         x509 = PEM_read_bio_X509(bio, NULL, NULL, NULL);
  348.         if (x509 == NULL) {
  349.             n = ERR_peek_last_error();

  351.             if (ERR_GET_LIB(n) == ERR_LIB_PEM
  352.                 && ERR_GET_REASON(n) == PEM_R_NO_START_LINE)
  353.             {
  354.                 /* end of file */
  355.                 ERR_clear_error();
  356.                 break;
  357.             }

  359.             /* some real error */

  361.             ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  362.                           "PEM_read_bio_X509(\"%s\") failed", cert->data);
  363.             BIO_free(bio);
  364.             return NGX_ERROR;
  365.         }

  367.         if (SSL_CTX_add_extra_chain_cert(ssl->ctx, x509) == 0) {
  368.             ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  369.                           "SSL_CTX_add_extra_chain_cert(\"%s\") failed",
  370.                           cert->data);
  371.             X509_free(x509);
  372.             BIO_free(bio);
  373.             return NGX_ERROR;
  374.         }
  375.     }

  377.     BIO_free(bio);

  379.     if (ngx_strncmp(key->data, "engine:", sizeof("engine:") - 1) == 0) {

  381. #ifndef OPENSSL_NO_ENGINE

  383.         u_char      *p, *last;
  384.         ENGINE      *engine;
  385.         EVP_PKEY    *pkey;

  387.         p = key->data + sizeof("engine:") - 1;
  388.         last = (u_char *) ngx_strchr(p, ':');

  390.         if (last == NULL) {
  391.             ngx_conf_log_error(NGX_LOG_EMERG, cf, 0,
  392.                                "invalid syntax in \"%V\"", key);
  393.             return NGX_ERROR;
  394.         }

  396.         *last = '\0';

  398.         engine = ENGINE_by_id((char *) p);

  400.         if (engine == NULL) {
  401.             ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  402.                           "ENGINE_by_id(\"%s\") failed", p);
  403.             return NGX_ERROR;
  404.         }

  406.         *last++ = ':';

  408.         pkey = ENGINE_load_private_key(engine, (char *) last, 0, 0);

  410.         if (pkey == NULL) {
  411.             ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  412.                           "ENGINE_load_private_key(\"%s\") failed", last);
  413.             ENGINE_free(engine);
  414.             return NGX_ERROR;
  415.         }

  417.         ENGINE_free(engine);

  419.         if (SSL_CTX_use_PrivateKey(ssl->ctx, pkey) == 0) {
  420.             ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  421.                           "SSL_CTX_use_PrivateKey(\"%s\") failed", last);
  422.             EVP_PKEY_free(pkey);
  423.             return NGX_ERROR;
  424.         }

  426.         EVP_PKEY_free(pkey);

  428.         return NGX_OK;

  430. #else

  432.         ngx_conf_log_error(NGX_LOG_EMERG, cf, 0,
  433.                            "loading \"engine:...\" certificate keys "
  434.                            "is not supported");
  435.         return NGX_ERROR;

  437. #endif
  438.     }

  440.     if (ngx_conf_full_name(cf->cycle, key, 1) != NGX_OK) {
  441.         return NGX_ERROR;
  442.     }

  444.     if (passwords) {
  445.         tries = passwords->nelts;
  446.         pwd = passwords->elts;

  448.         SSL_CTX_set_default_passwd_cb(ssl->ctx, ngx_ssl_password_callback);
  449.         SSL_CTX_set_default_passwd_cb_userdata(ssl->ctx, pwd);

  451.     } else {
  452.         tries = 1;
  453. #if (NGX_SUPPRESS_WARN)
  454.         pwd = NULL;
  455. #endif
  456.     }

  458.     for ( ;; ) {

  460.         if (SSL_CTX_use_PrivateKey_file(ssl->ctx, (char *) key->data,
  461.                                         SSL_FILETYPE_PEM)
  462.             != 0)
  463.         {
  464.             break;
  465.         }

  467.         if (--tries) {
  468.             ERR_clear_error();
  469.             SSL_CTX_set_default_passwd_cb_userdata(ssl->ctx, ++pwd);
  470.             continue;
  471.         }

  473.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  474.                       "SSL_CTX_use_PrivateKey_file(\"%s\") failed", key->data);
  475.         return NGX_ERROR;
  476.     }

  478.     SSL_CTX_set_default_passwd_cb(ssl->ctx, NULL);

  480.     return NGX_OK;
  481. }


  484. static int
  485. ‌ngx_ssl_password_callback(char *buf, int size, int rwflag, void *userdata)
  486. {
  487.     ngx_str_t *pwd = userdata;

  489.     if (rwflag) {
  490.         ngx_log_error(NGX_LOG_ALERT, ngx_cycle->log, 0,
  491.                       "ngx_ssl_password_callback() is called for encryption");
  492.         return 0;
  493.     }

  495.     if (pwd->len > (size_t) size) {
  496.         ngx_log_error(NGX_LOG_ERR, ngx_cycle->log, 0,
  497.                       "password is truncated to %d bytes", size);
  498.     } else {
  499.         size = pwd->len;
  500.     }

  502.     ngx_memcpy(buf, pwd->data, size);

  504.     return size;
  505. }


  508. ngx_int_t
  509. ‌ngx_ssl_client_certificate(ngx_conf_t *cf, ngx_ssl_t *ssl, ngx_str_t *cert,
  510.     ngx_int_t depth)
  511. {
  512.     STACK_OF(X509_NAME)  *list;

  514.     SSL_CTX_set_verify(ssl->ctx, SSL_VERIFY_PEER, ngx_ssl_verify_callback);

  516.     SSL_CTX_set_verify_depth(ssl->ctx, depth);

  518.     if (cert->len == 0) {
  519.         return NGX_OK;
  520.     }

  522.     if (ngx_conf_full_name(cf->cycle, cert, 1) != NGX_OK) {
  523.         return NGX_ERROR;
  524.     }

  526.     if (SSL_CTX_load_verify_locations(ssl->ctx, (char *) cert->data, NULL)
  527.         == 0)
  528.     {
  529.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  530.                       "SSL_CTX_load_verify_locations(\"%s\") failed",
  531.                       cert->data);
  532.         return NGX_ERROR;
  533.     }

  535.     /*
  536.      * SSL_CTX_load_verify_locations() may leave errors in the error queue
  537.      * while returning success
  538.      */

  540.     ERR_clear_error();

  542.     list = SSL_load_client_CA_file((char *) cert->data);

  544.     if (list == NULL) {
  545.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  546.                       "SSL_load_client_CA_file(\"%s\") failed", cert->data);
  547.         return NGX_ERROR;
  548.     }

  550.     /*
  551.      * before 0.9.7h and 0.9.8 SSL_load_client_CA_file()
  552.      * always leaved an error in the error queue
  553.      */

  555.     ERR_clear_error();

  557.     SSL_CTX_set_client_CA_list(ssl->ctx, list);

  559.     return NGX_OK;
  560. }


  563. ngx_int_t
  564. ‌ngx_ssl_trusted_certificate(ngx_conf_t *cf, ngx_ssl_t *ssl, ngx_str_t *cert,
  565.     ngx_int_t depth)
  566. {
  567.     SSL_CTX_set_verify_depth(ssl->ctx, depth);

  569.     if (cert->len == 0) {
  570.         return NGX_OK;
  571.     }

  573.     if (ngx_conf_full_name(cf->cycle, cert, 1) != NGX_OK) {
  574.         return NGX_ERROR;
  575.     }

  577.     if (SSL_CTX_load_verify_locations(ssl->ctx, (char *) cert->data, NULL)
  578.         == 0)
  579.     {
  580.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  581.                       "SSL_CTX_load_verify_locations(\"%s\") failed",
  582.                       cert->data);
  583.         return NGX_ERROR;
  584.     }

  586.     /*
  587.      * SSL_CTX_load_verify_locations() may leave errors in the error queue
  588.      * while returning success
  589.      */

  591.     ERR_clear_error();

  593.     return NGX_OK;
  594. }


  597. ngx_int_t
  598. ‌ngx_ssl_crl(ngx_conf_t *cf, ngx_ssl_t *ssl, ngx_str_t *crl)
  599. {
  600.     X509_STORE   *store;
  601.     X509_LOOKUP  *lookup;

  603.     if (crl->len == 0) {
  604.         return NGX_OK;
  605.     }

  607.     if (ngx_conf_full_name(cf->cycle, crl, 1) != NGX_OK) {
  608.         return NGX_ERROR;
  609.     }

  611.     store = SSL_CTX_get_cert_store(ssl->ctx);

  613.     if (store == NULL) {
  614.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  615.                       "SSL_CTX_get_cert_store() failed");
  616.         return NGX_ERROR;
  617.     }

  619.     lookup = X509_STORE_add_lookup(store, X509_LOOKUP_file());

  621.     if (lookup == NULL) {
  622.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  623.                       "X509_STORE_add_lookup() failed");
  624.         return NGX_ERROR;
  625.     }

  627.     if (X509_LOOKUP_load_file(lookup, (char *) crl->data, X509_FILETYPE_PEM)
  628.         == 0)
  629.     {
  630.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  631.                       "X509_LOOKUP_load_file(\"%s\") failed", crl->data);
  632.         return NGX_ERROR;
  633.     }

  635.     X509_STORE_set_flags(store,
  636.                          X509_V_FLAG_CRL_CHECK|X509_V_FLAG_CRL_CHECK_ALL);

  638.     return NGX_OK;
  639. }


  642. static int
  643. ‌ngx_ssl_verify_callback(int ok, X509_STORE_CTX *x509_store)
  644. {
  645. #if (NGX_DEBUG)
  646.     char              *subject, *issuer;
  647.     int                err, depth;
  648.     X509              *cert;
  649.     X509_NAME         *sname, *iname;
  650.     ngx_connection_t  *c;
  651.     ngx_ssl_conn_t    *ssl_conn;

  653.     ssl_conn = X509_STORE_CTX_get_ex_data(x509_store,
  654.                                           SSL_get_ex_data_X509_STORE_CTX_idx());

  656.     c = ngx_ssl_get_connection(ssl_conn);

  658.     cert = X509_STORE_CTX_get_current_cert(x509_store);
  659.     err = X509_STORE_CTX_get_error(x509_store);
  660.     depth = X509_STORE_CTX_get_error_depth(x509_store);

  662.     sname = X509_get_subject_name(cert);
  663.     subject = sname ? X509_NAME_oneline(sname, NULL, 0) : "(none)";

  665.     iname = X509_get_issuer_name(cert);
  666.     issuer = iname ? X509_NAME_oneline(iname, NULL, 0) : "(none)";

  668.     ngx_log_debug5(NGX_LOG_DEBUG_EVENT, c->log, 0,
  669.                    "verify:%d, error:%d, depth:%d, "
  670.                    "subject:\"%s\", issuer:\"%s\"",
  671.                    ok, err, depth, subject, issuer);

  673.     if (sname) {
  674.         OPENSSL_free(subject);
  675.     }

  677.     if (iname) {
  678.         OPENSSL_free(issuer);
  679.     }
  680. #endif

  682.     return 1;
  683. }


  686. static void
  687. ‌ngx_ssl_info_callback(const ngx_ssl_conn_t *ssl_conn, int where, int ret)
  688. {
  689.     BIO               *rbio, *wbio;
  690.     ngx_connection_t  *c;

  692.     if (where & SSL_CB_HANDSHAKE_START) {
  693.         c = ngx_ssl_get_connection((ngx_ssl_conn_t *) ssl_conn);

  695.         if (c->ssl->handshaked) {
  696.             c->ssl->renegotiation = 1;
  697.             ngx_log_debug0(NGX_LOG_DEBUG_EVENT, c->log, 0, "SSL renegotiation");
  698.         }
  699.     }

  701.     if ((where & SSL_CB_ACCEPT_LOOP) == SSL_CB_ACCEPT_LOOP) {
  702.         c = ngx_ssl_get_connection((ngx_ssl_conn_t *) ssl_conn);

  704.         if (!c->ssl->handshake_buffer_set) {
  705.             /*
  706.              * By default OpenSSL uses 4k buffer during a handshake,
  707.              * which is too low for long certificate chains and might
  708.              * result in extra round-trips.
  709.              *
  710.              * To adjust a buffer size we detect that buffering was added
  711.              * to write side of the connection by comparing rbio and wbio.
  712.              * If they are different, we assume that it's due to buffering
  713.              * added to wbio, and set buffer size.
  714.              */

  716.             rbio = SSL_get_rbio((ngx_ssl_conn_t *) ssl_conn);
  717.             wbio = SSL_get_wbio((ngx_ssl_conn_t *) ssl_conn);

  719.             if (rbio != wbio) {
  720.                 (void) BIO_set_write_buffer_size(wbio, NGX_SSL_BUFSIZE);
  721.                 c->ssl->handshake_buffer_set = 1;
  722.             }
  723.         }
  724.     }
  725. }


  728. RSA *
  729. ‌ngx_ssl_rsa512_key_callback(ngx_ssl_conn_t *ssl_conn, int is_export,
  730.     int key_length)
  731. {
  732.     static RSA  *key;

  734.     if (key_length != 512) {
  735.         return NULL;
  736.     }

  738. #ifndef OPENSSL_NO_DEPRECATED

  740.     if (key == NULL) {
  741.         key = RSA_generate_key(512, RSA_F4, NULL, NULL);
  742.     }

  744. #endif

  746.     return key;
  747. }


  750. ngx_array_t *
  751. ‌ngx_ssl_read_password_file(ngx_conf_t *cf, ngx_str_t *file)
  752. {
  753.     u_char              *p, *last, *end;
  754.     size_t               len;
  755.     ssize_t              n;
  756.     ngx_fd_t             fd;
  757.     ngx_str_t           *pwd;
  758.     ngx_array_t         *passwords;
  759.     ngx_pool_cleanup_t  *cln;
  760.     u_char               buf[NGX_SSL_PASSWORD_BUFFER_SIZE];

  762.     if (ngx_conf_full_name(cf->cycle, file, 1) != NGX_OK) {
  763.         return NULL;
  764.     }

  766.     cln = ngx_pool_cleanup_add(cf->temp_pool, 0);
  767.     passwords = ngx_array_create(cf->temp_pool, 4, sizeof(ngx_str_t));

  769.     if (cln == NULL || passwords == NULL) {
  770.         return NULL;
  771.     }

  773.     cln->handler = ngx_ssl_passwords_cleanup;
  774.     cln->data = passwords;

  776.     fd = ngx_open_file(file->data, NGX_FILE_RDONLY, NGX_FILE_OPEN, 0);
  777.     if (fd == NGX_INVALID_FILE) {
  778.         ngx_conf_log_error(NGX_LOG_EMERG, cf, ngx_errno,
  779.                            ngx_open_file_n " \"%s\" failed", file->data);
  780.         return NULL;
  781.     }

  783.     len = 0;
  784.     last = buf;

  786.     do {
  787.         n = ngx_read_fd(fd, last, NGX_SSL_PASSWORD_BUFFER_SIZE - len);

  789.         if (n == -1) {
  790.             ngx_conf_log_error(NGX_LOG_EMERG, cf, ngx_errno,
  791.                                ngx_read_fd_n " \"%s\" failed", file->data);
  792.             passwords = NULL;
  793.             goto cleanup;
  794.         }

  796.         end = last + n;

  798.         if (len && n == 0) {
  799.             *end++ = LF;
  800.         }

  802.         p = buf;

  804.         for ( ;; ) {
  805.             last = ngx_strlchr(last, end, LF);

  807.             if (last == NULL) {
  808.                 break;
  809.             }

  811.             len = last++ - p;

  813.             if (len && p[len - 1] == CR) {
  814.                 len--;
  815.             }

  817.             if (len) {
  818.                 pwd = ngx_array_push(passwords);
  819.                 if (pwd == NULL) {
  820.                     passwords = NULL;
  821.                     goto cleanup;
  822.                 }

  824.                 pwd->len = len;
  825.                 pwd->data = ngx_pnalloc(cf->temp_pool, len);

  827.                 if (pwd->data == NULL) {
  828.                     passwords->nelts--;
  829.                     passwords = NULL;
  830.                     goto cleanup;
  831.                 }

  833.                 ngx_memcpy(pwd->data, p, len);
  834.             }

  836.             p = last;
  837.         }

  839.         len = end - p;

  841.         if (len == NGX_SSL_PASSWORD_BUFFER_SIZE) {
  842.             ngx_conf_log_error(NGX_LOG_EMERG, cf, 0,
  843.                                "too long line in \"%s\"", file->data);
  844.             passwords = NULL;
  845.             goto cleanup;
  846.         }

  848.         ngx_memmove(buf, p, len);
  849.         last = buf + len;

  851.     } while (n != 0);

  853.     if (passwords->nelts == 0) {
  854.         pwd = ngx_array_push(passwords);
  855.         if (pwd == NULL) {
  856.             passwords = NULL;
  857.             goto cleanup;
  858.         }

  860.         ngx_memzero(pwd, sizeof(ngx_str_t));
  861.     }

  863. cleanup:

  865.     if (ngx_close_file(fd) == NGX_FILE_ERROR) {
  866.         ngx_conf_log_error(NGX_LOG_ALERT, cf, ngx_errno,
  867.                            ngx_close_file_n " \"%s\" failed", file->data);
  868.     }

  870.     ngx_memzero(buf, NGX_SSL_PASSWORD_BUFFER_SIZE);

  872.     return passwords;
  873. }


  876. static void
  877. ‌ngx_ssl_passwords_cleanup(void *data)
  878. {
  879.     ngx_array_t *passwords = data;

  881.     ngx_str_t   *pwd;
  882.     ngx_uint_t   i;

  884.     pwd = passwords->elts;

  886.     for (i = 0; i < passwords->nelts; i++) {
  887.         ngx_memzero(pwd[i].data, pwd[i].len);
  888.     }
  889. }


  892. ngx_int_t
  893. ‌ngx_ssl_dhparam(ngx_conf_t *cf, ngx_ssl_t *ssl, ngx_str_t *file)
  894. {
  895.     DH   *dh;
  896.     BIO  *bio;

  898.     /*
  899.      * -----BEGIN DH PARAMETERS-----
  900.      * MIGHAoGBALu8LcrYRnSQfEP89YDpz9vZWKP1aLQtSwju1OsPs1BMbAMCducQgAxc
  901.      * y7qokiYUxb7spWWl/fHSh6K8BJvmd4Bg6RqSp1fjBI9osHb302zI8pul34HcLKcl
  902.      * 7OZicMyaUDXYzs7vnqAnSmOrHlj6/UmI0PZdFGdX2gcd8EXP4WubAgEC
  903.      * -----END DH PARAMETERS-----
  904.      */

  906.     static unsigned char dh1024_p[] = {
  907.         0xBB, 0xBC, 0x2D, 0xCA, 0xD8, 0x46, 0x74, 0x90, 0x7C, 0x43, 0xFC, 0xF5,
  908.         0x80, 0xE9, 0xCF, 0xDB, 0xD9, 0x58, 0xA3, 0xF5, 0x68, 0xB4, 0x2D, 0x4B,
  909.         0x08, 0xEE, 0xD4, 0xEB, 0x0F, 0xB3, 0x50, 0x4C, 0x6C, 0x03, 0x02, 0x76,
  910.         0xE7, 0x10, 0x80, 0x0C, 0x5C, 0xCB, 0xBA, 0xA8, 0x92, 0x26, 0x14, 0xC5,
  911.         0xBE, 0xEC, 0xA5, 0x65, 0xA5, 0xFD, 0xF1, 0xD2, 0x87, 0xA2, 0xBC, 0x04,
  912.         0x9B, 0xE6, 0x77, 0x80, 0x60, 0xE9, 0x1A, 0x92, 0xA7, 0x57, 0xE3, 0x04,
  913.         0x8F, 0x68, 0xB0, 0x76, 0xF7, 0xD3, 0x6C, 0xC8, 0xF2, 0x9B, 0xA5, 0xDF,
  914.         0x81, 0xDC, 0x2C, 0xA7, 0x25, 0xEC, 0xE6, 0x62, 0x70, 0xCC, 0x9A, 0x50,
  915.         0x35, 0xD8, 0xCE, 0xCE, 0xEF, 0x9E, 0xA0, 0x27, 0x4A, 0x63, 0xAB, 0x1E,
  916.         0x58, 0xFA, 0xFD, 0x49, 0x88, 0xD0, 0xF6, 0x5D, 0x14, 0x67, 0x57, 0xDA,
  917.         0x07, 0x1D, 0xF0, 0x45, 0xCF, 0xE1, 0x6B, 0x9B
  918.     };

  920.     static unsigned char dh1024_g[] = { 0x02 };


  923.     if (file->len == 0) {

  925.         dh = DH_new();
  926.         if (dh == NULL) {
  927.             ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0, "DH_new() failed");
  928.             return NGX_ERROR;
  929.         }

  931.         dh->p = BN_bin2bn(dh1024_p, sizeof(dh1024_p), NULL);
  932.         dh->g = BN_bin2bn(dh1024_g, sizeof(dh1024_g), NULL);

  934.         if (dh->p == NULL || dh->g == NULL) {
  935.             ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0, "BN_bin2bn() failed");
  936.             DH_free(dh);
  937.             return NGX_ERROR;
  938.         }

  940.         SSL_CTX_set_tmp_dh(ssl->ctx, dh);

  942.         DH_free(dh);

  944.         return NGX_OK;
  945.     }

  947.     if (ngx_conf_full_name(cf->cycle, file, 1) != NGX_OK) {
  948.         return NGX_ERROR;
  949.     }

  951.     bio = BIO_new_file((char *) file->data, "r");
  952.     if (bio == NULL) {
  953.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  954.                       "BIO_new_file(\"%s\") failed", file->data);
  955.         return NGX_ERROR;
  956.     }

  958.     dh = PEM_read_bio_DHparams(bio, NULL, NULL, NULL);
  959.     if (dh == NULL) {
  960.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  961.                       "PEM_read_bio_DHparams(\"%s\") failed", file->data);
  962.         BIO_free(bio);
  963.         return NGX_ERROR;
  964.     }

  966.     SSL_CTX_set_tmp_dh(ssl->ctx, dh);

  968.     DH_free(dh);
  969.     BIO_free(bio);

  971.     return NGX_OK;
  972. }


  975. ngx_int_t
  976. ‌ngx_ssl_ecdh_curve(ngx_conf_t *cf, ngx_ssl_t *ssl, ngx_str_t *name)
  977. {
  978. #if OPENSSL_VERSION_NUMBER >= 0x0090800fL
  979. #ifndef OPENSSL_NO_ECDH
  980.     int      nid;
  981.     EC_KEY  *ecdh;

  983.     /*
  984.      * Elliptic-Curve Diffie-Hellman parameters are either "named curves"
  985.      * from RFC 4492 section 5.1.1, or explicitly described curves over
  986.      * binary fields. OpenSSL only supports the "named curves", which provide
  987.      * maximum interoperability.
  988.      */

  990.     nid = OBJ_sn2nid((const char *) name->data);
  991.     if (nid == 0) {
  992.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  993.                       "Unknown curve name \"%s\"", name->data);
  994.         return NGX_ERROR;
  995.     }

  997.     ecdh = EC_KEY_new_by_curve_name(nid);
  998.     if (ecdh == NULL) {
  999.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  1000.                       "Unable to create curve \"%s\"", name->data);
  1001.         return NGX_ERROR;
  1002.     }

  1004.     SSL_CTX_set_options(ssl->ctx, SSL_OP_SINGLE_ECDH_USE);

  1006.     SSL_CTX_set_tmp_ecdh(ssl->ctx, ecdh);

  1008.     EC_KEY_free(ecdh);
  1009. #endif
  1010. #endif

  1012.     return NGX_OK;
  1013. }


  1016. ngx_int_t
  1017. ‌ngx_ssl_create_connection(ngx_ssl_t *ssl, ngx_connection_t *c, ngx_uint_t flags)
  1018. {
  1019.     ngx_ssl_connection_t  *sc;

  1021.     sc = ngx_pcalloc(c->pool, sizeof(ngx_ssl_connection_t));
  1022.     if (sc == NULL) {
  1023.         return NGX_ERROR;
  1024.     }

  1026.     sc->buffer = ((flags & NGX_SSL_BUFFER) != 0);
  1027.     sc->buffer_size = ssl->buffer_size;

  1029.     sc->connection = SSL_new(ssl->ctx);

  1031.     if (sc->connection == NULL) {
  1032.         ngx_ssl_error(NGX_LOG_ALERT, c->log, 0, "SSL_new() failed");
  1033.         return NGX_ERROR;
  1034.     }

  1036.     if (SSL_set_fd(sc->connection, c->fd) == 0) {
  1037.         ngx_ssl_error(NGX_LOG_ALERT, c->log, 0, "SSL_set_fd() failed");
  1038.         return NGX_ERROR;
  1039.     }

  1041.     if (flags & NGX_SSL_CLIENT) {
  1042.         SSL_set_connect_state(sc->connection);

  1044.     } else {
  1045.         SSL_set_accept_state(sc->connection);
  1046.     }

  1048.     if (SSL_set_ex_data(sc->connection, ngx_ssl_connection_index, c) == 0) {
  1049.         ngx_ssl_error(NGX_LOG_ALERT, c->log, 0, "SSL_set_ex_data() failed");
  1050.         return NGX_ERROR;
  1051.     }

  1053.     c->ssl = sc;

  1055.     return NGX_OK;
  1056. }


  1059. ngx_int_t
  1060. ‌ngx_ssl_set_session(ngx_connection_t *c, ngx_ssl_session_t *session)
  1061. {
  1062.     if (session) {
  1063.         if (SSL_set_session(c->ssl->connection, session) == 0) {
  1064.             ngx_ssl_error(NGX_LOG_ALERT, c->log, 0, "SSL_set_session() failed");
  1065.             return NGX_ERROR;
  1066.         }
  1067.     }

  1069.     return NGX_OK;
  1070. }


  1073. ngx_int_t
  1074. ‌ngx_ssl_handshake(ngx_connection_t *c)
  1075. {
  1076.     int        n, sslerr;
  1077.     ngx_err_t  err;

  1079.     ngx_ssl_clear_error(c->log);

  1081.     n = SSL_do_handshake(c->ssl->connection);

  1083.     ngx_log_debug1(NGX_LOG_DEBUG_EVENT, c->log, 0, "SSL_do_handshake: %d", n);

  1085.     if (n == 1) {

  1087.         if (ngx_handle_read_event(c->read, 0) != NGX_OK) {
  1088.             return NGX_ERROR;
  1089.         }

  1091.         if (ngx_handle_write_event(c->write, 0) != NGX_OK) {
  1092.             return NGX_ERROR;
  1093.         }

  1095. #if (NGX_DEBUG)
  1096.         {
  1097.         char         buf[129], *s, *d;
  1098. #if OPENSSL_VERSION_NUMBER >= 0x10000000L
  1099.         const
  1100. #endif
  1101.         SSL_CIPHER  *cipher;

  1103.         cipher = SSL_get_current_cipher(c->ssl->connection);

  1105.         if (cipher) {
  1106.             SSL_CIPHER_description(cipher, &buf[1], 128);

  1108.             for (s = &buf[1], d = buf; *s; s++) {
  1109.                 if (*s == ' ' && *d == ' ') {
  1110.                     continue;
  1111.                 }

  1113.                 if (*s == LF || *s == CR) {
  1114.                     continue;
  1115.                 }

  1117.                 *++d = *s;
  1118.             }

  1120.             if (*d != ' ') {
  1121.                 d++;
  1122.             }

  1124.             *d = '\0';

  1126.             ngx_log_debug2(NGX_LOG_DEBUG_EVENT, c->log, 0,
  1127.                            "SSL: %s, cipher: \"%s\"",
  1128.                            SSL_get_version(c->ssl->connection), &buf[1]);

  1130.             if (SSL_session_reused(c->ssl->connection)) {
  1131.                 ngx_log_debug0(NGX_LOG_DEBUG_EVENT, c->log, 0,
  1132.                                "SSL reused session");
  1133.             }

  1135.         } else {
  1136.             ngx_log_debug0(NGX_LOG_DEBUG_EVENT, c->log, 0,
  1137.                            "SSL no shared ciphers");
  1138.         }
  1139.         }
  1140. #endif

  1142.         c->ssl->handshaked = 1;

  1144.         c->recv = ngx_ssl_recv;
  1145.         c->send = ngx_ssl_write;
  1146.         c->recv_chain = ngx_ssl_recv_chain;
  1147.         c->send_chain = ngx_ssl_send_chain;

  1149. #ifdef SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS

  1151.         /* initial handshake done, disable renegotiation (CVE-2009-3555) */
  1152.         if (c->ssl->connection->s3) {
  1153.             c->ssl->connection->s3->flags |= SSL3_FLAGS_NO_RENEGOTIATE_CIPHERS;
  1154.         }

  1156. #endif

  1158.         return NGX_OK;
  1159.     }

  1161.     sslerr = SSL_get_error(c->ssl->connection, n);

  1163.     ngx_log_debug1(NGX_LOG_DEBUG_EVENT, c->log, 0, "SSL_get_error: %d", sslerr);

  1165.     if (sslerr == SSL_ERROR_WANT_READ) {
  1166.         c->read->ready = 0;
  1167.         c->read->handler = ngx_ssl_handshake_handler;
  1168.         c->write->handler = ngx_ssl_handshake_handler;

  1170.         if (ngx_handle_read_event(c->read, 0) != NGX_OK) {
  1171.             return NGX_ERROR;
  1172.         }

  1174.         if (ngx_handle_write_event(c->write, 0) != NGX_OK) {
  1175.             return NGX_ERROR;
  1176.         }

  1178.         return NGX_AGAIN;
  1179.     }

  1181.     if (sslerr == SSL_ERROR_WANT_WRITE) {
  1182.         c->write->ready = 0;
  1183.         c->read->handler = ngx_ssl_handshake_handler;
  1184.         c->write->handler = ngx_ssl_handshake_handler;

  1186.         if (ngx_handle_read_event(c->read, 0) != NGX_OK) {
  1187.             return NGX_ERROR;
  1188.         }

  1190.         if (ngx_handle_write_event(c->write, 0) != NGX_OK) {
  1191.             return NGX_ERROR;
  1192.         }

  1194.         return NGX_AGAIN;
  1195.     }

  1197.     err = (sslerr == SSL_ERROR_SYSCALL) ? ngx_errno : 0;

  1199.     c->ssl->no_wait_shutdown = 1;
  1200.     c->ssl->no_send_shutdown = 1;
  1201.     c->read->eof = 1;

  1203.     if (sslerr == SSL_ERROR_ZERO_RETURN || ERR_peek_error() == 0) {
  1204.         ngx_connection_error(c, err,
  1205.                              "peer closed connection in SSL handshake");

  1207.         return NGX_ERROR;
  1208.     }

  1210.     c->read->error = 1;

  1212.     ngx_ssl_connection_error(c, sslerr, err, "SSL_do_handshake() failed");

  1214.     return NGX_ERROR;
  1215. }


  1218. static void
  1219. ‌ngx_ssl_handshake_handler(ngx_event_t *ev)
  1220. {
  1221.     ngx_connection_t  *c;

  1223.     c = ev->data;

  1225.     ngx_log_debug1(NGX_LOG_DEBUG_EVENT, c->log, 0,
  1226.                    "SSL handshake handler: %d", ev->write);

  1228.     if (ev->timedout) {
  1229.         c->ssl->handler(c);
  1230.         return;
  1231.     }

  1233.     if (ngx_ssl_handshake(c) == NGX_AGAIN) {
  1234.         return;
  1235.     }

  1237.     c->ssl->handler(c);
  1238. }


  1241. ssize_t
  1242. ‌ngx_ssl_recv_chain(ngx_connection_t *c, ngx_chain_t *cl, off_t limit)
  1243. {
  1244.     u_char     *last;
  1245.     ssize_t     n, bytes, size;
  1246.     ngx_buf_t  *b;

  1248.     bytes = 0;

  1250.     b = cl->buf;
  1251.     last = b->last;

  1253.     for ( ;; ) {
  1254.         size = b->end - last;

  1256.         if (limit) {
  1257.             if (bytes >= limit) {
  1258.                 return bytes;
  1259.             }

  1261.             if (bytes + size > limit) {
  1262.                 size = (ssize_t) (limit - bytes);
  1263.             }
  1264.         }

  1266.         n = ngx_ssl_recv(c, last, size);

  1268.         if (n > 0) {
  1269.             last += n;
  1270.             bytes += n;

  1272.             if (last == b->end) {
  1273.                 cl = cl->next;

  1275.                 if (cl == NULL) {
  1276.                     return bytes;
  1277.                 }

  1279.                 b = cl->buf;
  1280.                 last = b->last;
  1281.             }

  1283.             continue;
  1284.         }

  1286.         if (bytes) {

  1288.             if (n == 0 || n == NGX_ERROR) {
  1289.                 c->read->ready = 1;
  1290.             }

  1292.             return bytes;
  1293.         }

  1295.         return n;
  1296.     }
  1297. }


  1300. ssize_t
  1301. ‌ngx_ssl_recv(ngx_connection_t *c, u_char *buf, size_t size)
  1302. {
  1303.     int  n, bytes;

  1305.     if (c->ssl->last == NGX_ERROR) {
  1306.         c->read->error = 1;
  1307.         return NGX_ERROR;
  1308.     }

  1310.     if (c->ssl->last == NGX_DONE) {
  1311.         c->read->ready = 0;
  1312.         c->read->eof = 1;
  1313.         return 0;
  1314.     }

  1316.     bytes = 0;

  1318.     ngx_ssl_clear_error(c->log);

  1320.     /*
  1321.      * SSL_read() may return data in parts, so try to read
  1322.      * until SSL_read() would return no data
  1323.      */

  1325.     for ( ;; ) {

  1327.         n = SSL_read(c->ssl->connection, buf, size);

  1329.         ngx_log_debug1(NGX_LOG_DEBUG_EVENT, c->log, 0, "SSL_read: %d", n);

  1331.         if (n > 0) {
  1332.             bytes += n;
  1333.         }

  1335.         c->ssl->last = ngx_ssl_handle_recv(c, n);

  1337.         if (c->ssl->last == NGX_OK) {

  1339.             size -= n;

  1341.             if (size == 0) {
  1342.                 c->read->ready = 1;
  1343.                 return bytes;
  1344.             }

  1346.             buf += n;

  1348.             continue;
  1349.         }

  1351.         if (bytes) {
  1352.             if (c->ssl->last != NGX_AGAIN) {
  1353.                 c->read->ready = 1;
  1354.             }

  1356.             return bytes;
  1357.         }

  1359.         switch (c->ssl->last) {

  1361.         case NGX_DONE:
  1362.             c->read->ready = 0;
  1363.             c->read->eof = 1;
  1364.             return 0;

  1366.         case NGX_ERROR:
  1367.             c->read->error = 1;

  1369.             /* fall through */

  1371.         case NGX_AGAIN:
  1372.             return c->ssl->last;
  1373.         }
  1374.     }
  1375. }


  1378. static ngx_int_t
  1379. ‌ngx_ssl_handle_recv(ngx_connection_t *c, int n)
  1380. {
  1381.     int        sslerr;
  1382.     ngx_err_t  err;

  1384.     if (c->ssl->renegotiation) {
  1385.         /*
  1386.          * disable renegotiation (CVE-2009-3555):
  1387.          * OpenSSL (at least up to 0.9.8l) does not handle disabled
  1388.          * renegotiation gracefully, so drop connection here
  1389.          */

  1391.         ngx_log_error(NGX_LOG_NOTICE, c->log, 0, "SSL renegotiation disabled");

  1393.         while (ERR_peek_error()) {
  1394.             ngx_ssl_error(NGX_LOG_DEBUG, c->log, 0,
  1395.                           "ignoring stale global SSL error");
  1396.         }

  1398.         ERR_clear_error();

  1400.         c->ssl->no_wait_shutdown = 1;
  1401.         c->ssl->no_send_shutdown = 1;

  1403.         return NGX_ERROR;
  1404.     }

  1406.     if (n > 0) {

  1408.         if (c->ssl->saved_write_handler) {

  1410.             c->write->handler = c->ssl->saved_write_handler;
  1411.             c->ssl->saved_write_handler = NULL;
  1412.             c->write->ready = 1;

  1414.             if (ngx_handle_write_event(c->write, 0) != NGX_OK) {
  1415.                 return NGX_ERROR;
  1416.             }

  1418.             ngx_post_event(c->write, &ngx_posted_events);
  1419.         }

  1421.         return NGX_OK;
  1422.     }

  1424.     sslerr = SSL_get_error(c->ssl->connection, n);

  1426.     err = (sslerr == SSL_ERROR_SYSCALL) ? ngx_errno : 0;

  1428.     ngx_log_debug1(NGX_LOG_DEBUG_EVENT, c->log, 0, "SSL_get_error: %d", sslerr);

  1430.     if (sslerr == SSL_ERROR_WANT_READ) {
  1431.         c->read->ready = 0;
  1432.         return NGX_AGAIN;
  1433.     }

  1435.     if (sslerr == SSL_ERROR_WANT_WRITE) {

  1437.         ngx_log_error(NGX_LOG_INFO, c->log, 0,
  1438.                       "peer started SSL renegotiation");

  1440.         c->write->ready = 0;

  1442.         if (ngx_handle_write_event(c->write, 0) != NGX_OK) {
  1443.             return NGX_ERROR;
  1444.         }

  1446.         /*
  1447.          * we do not set the timer because there is already the read event timer
  1448.          */

  1450.         if (c->ssl->saved_write_handler == NULL) {
  1451.             c->ssl->saved_write_handler = c->write->handler;
  1452.             c->write->handler = ngx_ssl_write_handler;
  1453.         }

  1455.         return NGX_AGAIN;
  1456.     }

  1458.     c->ssl->no_wait_shutdown = 1;
  1459.     c->ssl->no_send_shutdown = 1;

  1461.     if (sslerr == SSL_ERROR_ZERO_RETURN || ERR_peek_error() == 0) {
  1462.         ngx_log_debug0(NGX_LOG_DEBUG_EVENT, c->log, 0,
  1463.                        "peer shutdown SSL cleanly");
  1464.         return NGX_DONE;
  1465.     }

  1467.     ngx_ssl_connection_error(c, sslerr, err, "SSL_read() failed");

  1469.     return NGX_ERROR;
  1470. }


  1473. static void
  1474. ‌ngx_ssl_write_handler(ngx_event_t *wev)
  1475. {
  1476.     ngx_connection_t  *c;

  1478.     c = wev->data;

  1480.     c->read->handler(c->read);
  1481. }


  1484. /*
  1485. * OpenSSL has no SSL_writev() so we copy several bufs into our 16K buffer
  1486. * before the SSL_write() call to decrease a SSL overhead.
  1487. *
  1488. * Besides for protocols such as HTTP it is possible to always buffer
  1489. * the output to decrease a SSL overhead some more.
  1490. */

  1492. ngx_chain_t *
  1493. ‌ngx_ssl_send_chain(ngx_connection_t *c, ngx_chain_t *in, off_t limit)
  1494. {
  1495.     int          n;
  1496.     ngx_uint_t   flush;
  1497.     ssize_t      send, size;
  1498.     ngx_buf_t   *buf;

  1500.     if (!c->ssl->buffer) {

  1502.         while (in) {
  1503.             if (ngx_buf_special(in->buf)) {
  1504.                 in = in->next;
  1505.                 continue;
  1506.             }

  1508.             n = ngx_ssl_write(c, in->buf->pos, in->buf->last - in->buf->pos);

  1510.             if (n == NGX_ERROR) {
  1511.                 return NGX_CHAIN_ERROR;
  1512.             }

  1514.             if (n == NGX_AGAIN) {
  1515.                 return in;
  1516.             }

  1518.             in->buf->pos += n;
  1519.             c->sent += n;

  1521.             if (in->buf->pos == in->buf->last) {
  1522.                 in = in->next;
  1523.             }
  1524.         }

  1526.         return in;
  1527.     }


  1530.     /* the maximum limit size is the maximum int32_t value - the page size */

  1532.     if (limit == 0 || limit > (off_t) (NGX_MAX_INT32_VALUE - ngx_pagesize)) {
  1533.         limit = NGX_MAX_INT32_VALUE - ngx_pagesize;
  1534.     }

  1536.     buf = c->ssl->buf;

  1538.     if (buf == NULL) {
  1539.         buf = ngx_create_temp_buf(c->pool, c->ssl->buffer_size);
  1540.         if (buf == NULL) {
  1541.             return NGX_CHAIN_ERROR;
  1542.         }

  1544.         c->ssl->buf = buf;
  1545.     }

  1547.     if (buf->start == NULL) {
  1548.         buf->start = ngx_palloc(c->pool, c->ssl->buffer_size);
  1549.         if (buf->start == NULL) {
  1550.             return NGX_CHAIN_ERROR;
  1551.         }

  1553.         buf->pos = buf->start;
  1554.         buf->last = buf->start;
  1555.         buf->end = buf->start + c->ssl->buffer_size;
  1556.     }

  1558.     send = buf->last - buf->pos;
  1559.     flush = (in == NULL) ? 1 : buf->flush;

  1561.     for ( ;; ) {

  1563.         while (in && buf->last < buf->end && send < limit) {
  1564.             if (in->buf->last_buf || in->buf->flush) {
  1565.                 flush = 1;
  1566.             }

  1568.             if (ngx_buf_special(in->buf)) {
  1569.                 in = in->next;
  1570.                 continue;
  1571.             }

  1573.             size = in->buf->last - in->buf->pos;

  1575.             if (size > buf->end - buf->last) {
  1576.                 size = buf->end - buf->last;
  1577.             }

  1579.             if (send + size > limit) {
  1580.                 size = (ssize_t) (limit - send);
  1581.             }

  1583.             ngx_log_debug1(NGX_LOG_DEBUG_EVENT, c->log, 0,
  1584.                            "SSL buf copy: %d", size);

  1586.             ngx_memcpy(buf->last, in->buf->pos, size);

  1588.             buf->last += size;
  1589.             in->buf->pos += size;
  1590.             send += size;

  1592.             if (in->buf->pos == in->buf->last) {
  1593.                 in = in->next;
  1594.             }
  1595.         }

  1597.         if (!flush && send < limit && buf->last < buf->end) {
  1598.             break;
  1599.         }

  1601.         size = buf->last - buf->pos;

  1603.         if (size == 0) {
  1604.             buf->flush = 0;
  1605.             c->buffered &= ~NGX_SSL_BUFFERED;
  1606.             return in;
  1607.         }

  1609.         n = ngx_ssl_write(c, buf->pos, size);

  1611.         if (n == NGX_ERROR) {
  1612.             return NGX_CHAIN_ERROR;
  1613.         }

  1615.         if (n == NGX_AGAIN) {
  1616.             break;
  1617.         }

  1619.         buf->pos += n;
  1620.         c->sent += n;

  1622.         if (n < size) {
  1623.             break;
  1624.         }

  1626.         flush = 0;

  1628.         buf->pos = buf->start;
  1629.         buf->last = buf->start;

  1631.         if (in == NULL || send == limit) {
  1632.             break;
  1633.         }
  1634.     }

  1636.     buf->flush = flush;

  1638.     if (buf->pos < buf->last) {
  1639.         c->buffered |= NGX_SSL_BUFFERED;

  1641.     } else {
  1642.         c->buffered &= ~NGX_SSL_BUFFERED;
  1643.     }

  1645.     return in;
  1646. }


  1649. ssize_t
  1650. ‌ngx_ssl_write(ngx_connection_t *c, u_char *data, size_t size)
  1651. {
  1652.     int        n, sslerr;
  1653.     ngx_err_t  err;

  1655.     ngx_ssl_clear_error(c->log);

  1657.     ngx_log_debug1(NGX_LOG_DEBUG_EVENT, c->log, 0, "SSL to write: %d", size);

  1659.     n = SSL_write(c->ssl->connection, data, size);

  1661.     ngx_log_debug1(NGX_LOG_DEBUG_EVENT, c->log, 0, "SSL_write: %d", n);

  1663.     if (n > 0) {

  1665.         if (c->ssl->saved_read_handler) {

  1667.             c->read->handler = c->ssl->saved_read_handler;
  1668.             c->ssl->saved_read_handler = NULL;
  1669.             c->read->ready = 1;

  1671.             if (ngx_handle_read_event(c->read, 0) != NGX_OK) {
  1672.                 return NGX_ERROR;
  1673.             }

  1675.             ngx_post_event(c->read, &ngx_posted_events);
  1676.         }

  1678.         return n;
  1679.     }

  1681.     sslerr = SSL_get_error(c->ssl->connection, n);

  1683.     err = (sslerr == SSL_ERROR_SYSCALL) ? ngx_errno : 0;

  1685.     ngx_log_debug1(NGX_LOG_DEBUG_EVENT, c->log, 0, "SSL_get_error: %d", sslerr);

  1687.     if (sslerr == SSL_ERROR_WANT_WRITE) {
  1688.         c->write->ready = 0;
  1689.         return NGX_AGAIN;
  1690.     }

  1692.     if (sslerr == SSL_ERROR_WANT_READ) {

  1694.         ngx_log_error(NGX_LOG_INFO, c->log, 0,
  1695.                       "peer started SSL renegotiation");

  1697.         c->read->ready = 0;

  1699.         if (ngx_handle_read_event(c->read, 0) != NGX_OK) {
  1700.             return NGX_ERROR;
  1701.         }

  1703.         /*
  1704.          * we do not set the timer because there is already
  1705.          * the write event timer
  1706.          */

  1708.         if (c->ssl->saved_read_handler == NULL) {
  1709.             c->ssl->saved_read_handler = c->read->handler;
  1710.             c->read->handler = ngx_ssl_read_handler;
  1711.         }

  1713.         return NGX_AGAIN;
  1714.     }

  1716.     c->ssl->no_wait_shutdown = 1;
  1717.     c->ssl->no_send_shutdown = 1;
  1718.     c->write->error = 1;

  1720.     ngx_ssl_connection_error(c, sslerr, err, "SSL_write() failed");

  1722.     return NGX_ERROR;
  1723. }


  1726. static void
  1727. ‌ngx_ssl_read_handler(ngx_event_t *rev)
  1728. {
  1729.     ngx_connection_t  *c;

  1731.     c = rev->data;

  1733.     c->write->handler(c->write);
  1734. }


  1737. void
  1738. ‌ngx_ssl_free_buffer(ngx_connection_t *c)
  1739. {
  1740.     if (c->ssl->buf && c->ssl->buf->start) {
  1741.         if (ngx_pfree(c->pool, c->ssl->buf->start) == NGX_OK) {
  1742.             c->ssl->buf->start = NULL;
  1743.         }
  1744.     }
  1745. }


  1748. ngx_int_t
  1749. ‌ngx_ssl_shutdown(ngx_connection_t *c)
  1750. {
  1751.     int        n, sslerr, mode;
  1752.     ngx_err_t  err;

  1754.     if (c->timedout) {
  1755.         mode = SSL_RECEIVED_SHUTDOWN|SSL_SENT_SHUTDOWN;
  1756.         SSL_set_quiet_shutdown(c->ssl->connection, 1);

  1758.     } else {
  1759.         mode = SSL_get_shutdown(c->ssl->connection);

  1761.         if (c->ssl->no_wait_shutdown) {
  1762.             mode |= SSL_RECEIVED_SHUTDOWN;
  1763.         }

  1765.         if (c->ssl->no_send_shutdown) {
  1766.             mode |= SSL_SENT_SHUTDOWN;
  1767.         }

  1769.         if (c->ssl->no_wait_shutdown && c->ssl->no_send_shutdown) {
  1770.             SSL_set_quiet_shutdown(c->ssl->connection, 1);
  1771.         }
  1772.     }

  1774.     SSL_set_shutdown(c->ssl->connection, mode);

  1776.     ngx_ssl_clear_error(c->log);

  1778.     n = SSL_shutdown(c->ssl->connection);

  1780.     ngx_log_debug1(NGX_LOG_DEBUG_EVENT, c->log, 0, "SSL_shutdown: %d", n);

  1782.     sslerr = 0;

  1784.     /* SSL_shutdown() never returns -1, on error it returns 0 */

  1786.     if (n != 1 && ERR_peek_error()) {
  1787.         sslerr = SSL_get_error(c->ssl->connection, n);

  1789.         ngx_log_debug1(NGX_LOG_DEBUG_EVENT, c->log, 0,
  1790.                        "SSL_get_error: %d", sslerr);
  1791.     }

  1793.     if (n == 1 || sslerr == 0 || sslerr == SSL_ERROR_ZERO_RETURN) {
  1794.         SSL_free(c->ssl->connection);
  1795.         c->ssl = NULL;

  1797.         return NGX_OK;
  1798.     }

  1800.     if (sslerr == SSL_ERROR_WANT_READ || sslerr == SSL_ERROR_WANT_WRITE) {
  1801.         c->read->handler = ngx_ssl_shutdown_handler;
  1802.         c->write->handler = ngx_ssl_shutdown_handler;

  1804.         if (ngx_handle_read_event(c->read, 0) != NGX_OK) {
  1805.             return NGX_ERROR;
  1806.         }

  1808.         if (ngx_handle_write_event(c->write, 0) != NGX_OK) {
  1809.             return NGX_ERROR;
  1810.         }

  1812.         if (sslerr == SSL_ERROR_WANT_READ) {
  1813.             ngx_add_timer(c->read, 30000);
  1814.         }

  1816.         return NGX_AGAIN;
  1817.     }

  1819.     err = (sslerr == SSL_ERROR_SYSCALL) ? ngx_errno : 0;

  1821.     ngx_ssl_connection_error(c, sslerr, err, "SSL_shutdown() failed");

  1823.     SSL_free(c->ssl->connection);
  1824.     c->ssl = NULL;

  1826.     return NGX_ERROR;
  1827. }


  1830. static void
  1831. ‌ngx_ssl_shutdown_handler(ngx_event_t *ev)
  1832. {
  1833.     ngx_connection_t           *c;
  1834.     ngx_connection_handler_pt   handler;

  1836.     c = ev->data;
  1837.     handler = c->ssl->handler;

  1839.     if (ev->timedout) {
  1840.         c->timedout = 1;
  1841.     }

  1843.     ngx_log_debug0(NGX_LOG_DEBUG_EVENT, ev->log, 0, "SSL shutdown handler");

  1845.     if (ngx_ssl_shutdown(c) == NGX_AGAIN) {
  1846.         return;
  1847.     }

  1849.     handler(c);
  1850. }


  1853. static void
  1854. ‌ngx_ssl_connection_error(ngx_connection_t *c, int sslerr, ngx_err_t err,
  1855.     char *text)
  1856. {
  1857.     int         n;
  1858.     ngx_uint_t  level;

  1860.     level = NGX_LOG_CRIT;

  1862.     if (sslerr == SSL_ERROR_SYSCALL) {

  1864.         if (err == NGX_ECONNRESET
  1865.             || err == NGX_EPIPE
  1866.             || err == NGX_ENOTCONN
  1867.             || err == NGX_ETIMEDOUT
  1868.             || err == NGX_ECONNREFUSED
  1869.             || err == NGX_ENETDOWN
  1870.             || err == NGX_ENETUNREACH
  1871.             || err == NGX_EHOSTDOWN
  1872.             || err == NGX_EHOSTUNREACH)
  1873.         {
  1874.             switch (c->log_error) {

  1876.             case NGX_ERROR_IGNORE_ECONNRESET:
  1877.             case NGX_ERROR_INFO:
  1878.                 level = NGX_LOG_INFO;
  1879.                 break;

  1881.             case NGX_ERROR_ERR:
  1882.                 level = NGX_LOG_ERR;
  1883.                 break;

  1885.             default:
  1886.                 break;
  1887.             }
  1888.         }

  1890.     } else if (sslerr == SSL_ERROR_SSL) {

  1892.         n = ERR_GET_REASON(ERR_peek_error());

  1894.             /* handshake failures */
  1895.         if (n == SSL_R_BAD_CHANGE_CIPHER_SPEC                        /*  103 */
  1896.             || n == SSL_R_BLOCK_CIPHER_PAD_IS_WRONG                  /*  129 */
  1897.             || n == SSL_R_DIGEST_CHECK_FAILED                        /*  149 */
  1898.             || n == SSL_R_ERROR_IN_RECEIVED_CIPHER_LIST              /*  151 */
  1899.             || n == SSL_R_EXCESSIVE_MESSAGE_SIZE                     /*  152 */
  1900.             || n == SSL_R_LENGTH_MISMATCH                            /*  159 */
  1901.             || n == SSL_R_NO_CIPHERS_PASSED                          /*  182 */
  1902.             || n == SSL_R_NO_CIPHERS_SPECIFIED                       /*  183 */
  1903.             || n == SSL_R_NO_COMPRESSION_SPECIFIED                   /*  187 */
  1904.             || n == SSL_R_NO_SHARED_CIPHER                           /*  193 */
  1905.             || n == SSL_R_RECORD_LENGTH_MISMATCH                     /*  213 */
  1906. #ifdef SSL_R_PARSE_TLSEXT
  1907.             || n == SSL_R_PARSE_TLSEXT                               /*  227 */
  1908. #endif
  1909.             || n == SSL_R_UNEXPECTED_MESSAGE                         /*  244 */
  1910.             || n == SSL_R_UNEXPECTED_RECORD                          /*  245 */
  1911.             || n == SSL_R_UNKNOWN_ALERT_TYPE                         /*  246 */
  1912.             || n == SSL_R_UNKNOWN_PROTOCOL                           /*  252 */
  1913.             || n == SSL_R_WRONG_VERSION_NUMBER                       /*  267 */
  1914.             || n == SSL_R_DECRYPTION_FAILED_OR_BAD_RECORD_MAC        /*  281 */
  1915. #ifdef SSL_R_RENEGOTIATE_EXT_TOO_LONG
  1916.             || n == SSL_R_RENEGOTIATE_EXT_TOO_LONG                   /*  335 */
  1917.             || n == SSL_R_RENEGOTIATION_ENCODING_ERR                 /*  336 */
  1918.             || n == SSL_R_RENEGOTIATION_MISMATCH                     /*  337 */
  1919. #endif
  1920. #ifdef SSL_R_UNSAFE_LEGACY_RENEGOTIATION_DISABLED
  1921.             || n == SSL_R_UNSAFE_LEGACY_RENEGOTIATION_DISABLED       /*  338 */
  1922. #endif
  1923. #ifdef SSL_R_SCSV_RECEIVED_WHEN_RENEGOTIATING
  1924.             || n == SSL_R_SCSV_RECEIVED_WHEN_RENEGOTIATING           /*  345 */
  1925. #endif
  1926. #ifdef SSL_R_INAPPROPRIATE_FALLBACK
  1927.             || n == SSL_R_INAPPROPRIATE_FALLBACK                     /*  373 */
  1928. #endif
  1929.             || n == 1000 /* SSL_R_SSLV3_ALERT_CLOSE_NOTIFY */
  1930.             || n == SSL_R_SSLV3_ALERT_UNEXPECTED_MESSAGE             /* 1010 */
  1931.             || n == SSL_R_SSLV3_ALERT_BAD_RECORD_MAC                 /* 1020 */
  1932.             || n == SSL_R_TLSV1_ALERT_DECRYPTION_FAILED              /* 1021 */
  1933.             || n == SSL_R_TLSV1_ALERT_RECORD_OVERFLOW                /* 1022 */
  1934.             || n == SSL_R_SSLV3_ALERT_DECOMPRESSION_FAILURE          /* 1030 */
  1935.             || n == SSL_R_SSLV3_ALERT_HANDSHAKE_FAILURE              /* 1040 */
  1936.             || n == SSL_R_SSLV3_ALERT_NO_CERTIFICATE                 /* 1041 */
  1937.             || n == SSL_R_SSLV3_ALERT_BAD_CERTIFICATE                /* 1042 */
  1938.             || n == SSL_R_SSLV3_ALERT_UNSUPPORTED_CERTIFICATE        /* 1043 */
  1939.             || n == SSL_R_SSLV3_ALERT_CERTIFICATE_REVOKED            /* 1044 */
  1940.             || n == SSL_R_SSLV3_ALERT_CERTIFICATE_EXPIRED            /* 1045 */
  1941.             || n == SSL_R_SSLV3_ALERT_CERTIFICATE_UNKNOWN            /* 1046 */
  1942.             || n == SSL_R_SSLV3_ALERT_ILLEGAL_PARAMETER              /* 1047 */
  1943.             || n == SSL_R_TLSV1_ALERT_UNKNOWN_CA                     /* 1048 */
  1944.             || n == SSL_R_TLSV1_ALERT_ACCESS_DENIED                  /* 1049 */
  1945.             || n == SSL_R_TLSV1_ALERT_DECODE_ERROR                   /* 1050 */
  1946.             || n == SSL_R_TLSV1_ALERT_DECRYPT_ERROR                  /* 1051 */
  1947.             || n == SSL_R_TLSV1_ALERT_EXPORT_RESTRICTION             /* 1060 */
  1948.             || n == SSL_R_TLSV1_ALERT_PROTOCOL_VERSION               /* 1070 */
  1949.             || n == SSL_R_TLSV1_ALERT_INSUFFICIENT_SECURITY          /* 1071 */
  1950.             || n == SSL_R_TLSV1_ALERT_INTERNAL_ERROR                 /* 1080 */
  1951.             || n == SSL_R_TLSV1_ALERT_USER_CANCELLED                 /* 1090 */
  1952.             || n == SSL_R_TLSV1_ALERT_NO_RENEGOTIATION)              /* 1100 */
  1953.         {
  1954.             switch (c->log_error) {

  1956.             case NGX_ERROR_IGNORE_ECONNRESET:
  1957.             case NGX_ERROR_INFO:
  1958.                 level = NGX_LOG_INFO;
  1959.                 break;

  1961.             case NGX_ERROR_ERR:
  1962.                 level = NGX_LOG_ERR;
  1963.                 break;

  1965.             default:
  1966.                 break;
  1967.             }
  1968.         }
  1969.     }

  1971.     ngx_ssl_error(level, c->log, err, text);
  1972. }


  1975. static void
  1976. ‌ngx_ssl_clear_error(ngx_log_t *log)
  1977. {
  1978.     while (ERR_peek_error()) {
  1979.         ngx_ssl_error(NGX_LOG_ALERT, log, 0, "ignoring stale global SSL error");
  1980.     }

  1982.     ERR_clear_error();
  1983. }


  1986. void ngx_cdecl
  1987. ‌ngx_ssl_error(ngx_uint_t level, ngx_log_t *log, ngx_err_t err, char *fmt, ...)
  1988. {
  1989.     int          flags;
  1990.     u_long       n;
  1991.     va_list      args;
  1992.     u_char      *p, *last;
  1993.     u_char       errstr[NGX_MAX_CONF_ERRSTR];
  1994.     const char  *data;

  1996.     last = errstr + NGX_MAX_CONF_ERRSTR;

  1998.     va_start(args, fmt);
  1999.     p = ngx_vslprintf(errstr, last - 1, fmt, args);
  2000.     va_end(args);

  2002.     p = ngx_cpystrn(p, (u_char *) " (SSL:", last - p);

  2004.     for ( ;; ) {

  2006.         n = ERR_peek_error_line_data(NULL, NULL, &data, &flags);

  2008.         if (n == 0) {
  2009.             break;
  2010.         }

  2012.         if (p >= last) {
  2013.             goto next;
  2014.         }

  2016.         *p++ = ' ';

  2018.         ERR_error_string_n(n, (char *) p, last - p);

  2020.         while (p < last && *p) {
  2021.             p++;
  2022.         }

  2024.         if (p < last && *data && (flags & ERR_TXT_STRING)) {
  2025.             *p++ = ':';
  2026.             p = ngx_cpystrn(p, (u_char *) data, last - p);
  2027.         }

  2029.     next:

  2031.         (void) ERR_get_error();
  2032.     }

  2034.     ngx_log_error(level, log, err, "%s)", errstr);
  2035. }


  2038. ngx_int_t
  2039. ‌ngx_ssl_session_cache(ngx_ssl_t *ssl, ngx_str_t *sess_ctx,
  2040.     ssize_t builtin_session_cache, ngx_shm_zone_t *shm_zone, time_t timeout)
  2041. {
  2042.     long  cache_mode;

  2044.     SSL_CTX_set_timeout(ssl->ctx, (long) timeout);

  2046.     if (ngx_ssl_session_id_context(ssl, sess_ctx) != NGX_OK) {
  2047.         return NGX_ERROR;
  2048.     }

  2050.     if (builtin_session_cache == NGX_SSL_NO_SCACHE) {
  2051.         SSL_CTX_set_session_cache_mode(ssl->ctx, SSL_SESS_CACHE_OFF);
  2052.         return NGX_OK;
  2053.     }

  2055.     if (builtin_session_cache == NGX_SSL_NONE_SCACHE) {

  2057.         /*
  2058.          * If the server explicitly says that it does not support
  2059.          * session reuse (see SSL_SESS_CACHE_OFF above), then
  2060.          * Outlook Express fails to upload a sent email to
  2061.          * the Sent Items folder on the IMAP server via a separate IMAP
  2062.          * connection in the background. Therefore we have a special
  2063.          * mode (SSL_SESS_CACHE_SERVER|SSL_SESS_CACHE_NO_INTERNAL_STORE)
  2064.          * where the server pretends that it supports session reuse,
  2065.          * but it does not actually store any session.
  2066.          */

  2068.         SSL_CTX_set_session_cache_mode(ssl->ctx,
  2069.                                        SSL_SESS_CACHE_SERVER
  2070.                                        |SSL_SESS_CACHE_NO_AUTO_CLEAR
  2071.                                        |SSL_SESS_CACHE_NO_INTERNAL_STORE);

  2073.         SSL_CTX_sess_set_cache_size(ssl->ctx, 1);

  2075.         return NGX_OK;
  2076.     }

  2078.     cache_mode = SSL_SESS_CACHE_SERVER;

  2080.     if (shm_zone && builtin_session_cache == NGX_SSL_NO_BUILTIN_SCACHE) {
  2081.         cache_mode |= SSL_SESS_CACHE_NO_INTERNAL;
  2082.     }

  2084.     SSL_CTX_set_session_cache_mode(ssl->ctx, cache_mode);

  2086.     if (builtin_session_cache != NGX_SSL_NO_BUILTIN_SCACHE) {

  2088.         if (builtin_session_cache != NGX_SSL_DFLT_BUILTIN_SCACHE) {
  2089.             SSL_CTX_sess_set_cache_size(ssl->ctx, builtin_session_cache);
  2090.         }
  2091.     }

  2093.     if (shm_zone) {
  2094.         SSL_CTX_sess_set_new_cb(ssl->ctx, ngx_ssl_new_session);
  2095.         SSL_CTX_sess_set_get_cb(ssl->ctx, ngx_ssl_get_cached_session);
  2096.         SSL_CTX_sess_set_remove_cb(ssl->ctx, ngx_ssl_remove_session);

  2098.         if (SSL_CTX_set_ex_data(ssl->ctx, ngx_ssl_session_cache_index, shm_zone)
  2099.             == 0)
  2100.         {
  2101.             ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  2102.                           "SSL_CTX_set_ex_data() failed");
  2103.             return NGX_ERROR;
  2104.         }
  2105.     }

  2107.     return NGX_OK;
  2108. }


  2111. static ngx_int_t
  2112. ‌ngx_ssl_session_id_context(ngx_ssl_t *ssl, ngx_str_t *sess_ctx)
  2113. {
  2114.     int                   n, i;
  2115.     X509                 *cert;
  2116.     X509_NAME            *name;
  2117.     EVP_MD_CTX            md;
  2118.     unsigned int          len;
  2119.     STACK_OF(X509_NAME)  *list;
  2120.     u_char                buf[EVP_MAX_MD_SIZE];

  2122.     /*
  2123.      * Session ID context is set based on the string provided,
  2124.      * the server certificate, and the client CA list.
  2125.      */

  2127.     EVP_MD_CTX_init(&md);

  2129.     if (EVP_DigestInit_ex(&md, EVP_sha1(), NULL) == 0) {
  2130.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  2131.                       "EVP_DigestInit_ex() failed");
  2132.         goto failed;
  2133.     }

  2135.     if (EVP_DigestUpdate(&md, sess_ctx->data, sess_ctx->len) == 0) {
  2136.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  2137.                       "EVP_DigestUpdate() failed");
  2138.         goto failed;
  2139.     }

  2141.     cert = SSL_CTX_get_ex_data(ssl->ctx, ngx_ssl_certificate_index);

  2143.     if (X509_digest(cert, EVP_sha1(), buf, &len) == 0) {
  2144.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  2145.                       "X509_digest() failed");
  2146.         goto failed;
  2147.     }

  2149.     if (EVP_DigestUpdate(&md, buf, len) == 0) {
  2150.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  2151.                       "EVP_DigestUpdate() failed");
  2152.         goto failed;
  2153.     }

  2155.     list = SSL_CTX_get_client_CA_list(ssl->ctx);

  2157.     if (list != NULL) {
  2158.         n = sk_X509_NAME_num(list);

  2160.         for (i = 0; i < n; i++) {
  2161.             name = sk_X509_NAME_value(list, i);

  2163.             if (X509_NAME_digest(name, EVP_sha1(), buf, &len) == 0) {
  2164.                 ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  2165.                               "X509_NAME_digest() failed");
  2166.                 goto failed;
  2167.             }

  2169.             if (EVP_DigestUpdate(&md, buf, len) == 0) {
  2170.                 ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  2171.                               "EVP_DigestUpdate() failed");
  2172.                 goto failed;
  2173.             }
  2174.         }
  2175.     }

  2177.     if (EVP_DigestFinal_ex(&md, buf, &len) == 0) {
  2178.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  2179.                       "EVP_DigestUpdate() failed");
  2180.         goto failed;
  2181.     }

  2183.     EVP_MD_CTX_cleanup(&md);

  2185.     if (SSL_CTX_set_session_id_context(ssl->ctx, buf, len) == 0) {
  2186.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  2187.                       "SSL_CTX_set_session_id_context() failed");
  2188.         return NGX_ERROR;
  2189.     }

  2191.     return NGX_OK;

  2193. failed:

  2195.     EVP_MD_CTX_cleanup(&md);

  2197.     return NGX_ERROR;
  2198. }


  2201. ngx_int_t
  2202. ‌ngx_ssl_session_cache_init(ngx_shm_zone_t *shm_zone, void *data)
  2203. {
  2204.     size_t                    len;
  2205.     ngx_slab_pool_t          *shpool;
  2206.     ngx_ssl_session_cache_t  *cache;

  2208.     if (data) {
  2209.         shm_zone->data = data;
  2210.         return NGX_OK;
  2211.     }

  2213.     shpool = (ngx_slab_pool_t *) shm_zone->shm.addr;

  2215.     if (shm_zone->shm.exists) {
  2216.         shm_zone->data = shpool->data;
  2217.         return NGX_OK;
  2218.     }

  2220.     cache = ngx_slab_alloc(shpool, sizeof(ngx_ssl_session_cache_t));
  2221.     if (cache == NULL) {
  2222.         return NGX_ERROR;
  2223.     }

  2225.     shpool->data = cache;
  2226.     shm_zone->data = cache;

  2228.     ngx_rbtree_init(&cache->session_rbtree, &cache->sentinel,
  2229.                     ngx_ssl_session_rbtree_insert_value);

  2231.     ngx_queue_init(&cache->expire_queue);

  2233.     len = sizeof(" in SSL session shared cache \"\"") + shm_zone->shm.name.len;

  2235.     shpool->log_ctx = ngx_slab_alloc(shpool, len);
  2236.     if (shpool->log_ctx == NULL) {
  2237.         return NGX_ERROR;
  2238.     }

  2240.     ngx_sprintf(shpool->log_ctx, " in SSL session shared cache \"%V\"%Z",
  2241.                 &shm_zone->shm.name);

  2243.     shpool->log_nomem = 0;

  2245.     return NGX_OK;
  2246. }


  2249. /*
  2250. * The length of the session id is 16 bytes for SSLv2 sessions and
  2251. * between 1 and 32 bytes for SSLv3/TLSv1, typically 32 bytes.
  2252. * It seems that the typical length of the external ASN1 representation
  2253. * of a session is 118 or 119 bytes for SSLv3/TSLv1.
  2254. *
  2255. * Thus on 32-bit platforms we allocate separately an rbtree node,
  2256. * a session id, and an ASN1 representation, they take accordingly
  2257. * 64, 32, and 128 bytes.
  2258. *
  2259. * On 64-bit platforms we allocate separately an rbtree node + session_id,
  2260. * and an ASN1 representation, they take accordingly 128 and 128 bytes.
  2261. *
  2262. * OpenSSL's i2d_SSL_SESSION() and d2i_SSL_SESSION are slow,
  2263. * so they are outside the code locked by shared pool mutex
  2264. */

  2266. static int
  2267. ‌ngx_ssl_new_session(ngx_ssl_conn_t *ssl_conn, ngx_ssl_session_t *sess)
  2268. {
  2269.     int                       len;
  2270.     u_char                   *p, *id, *cached_sess, *session_id;
  2271.     uint32_t                  hash;
  2272.     SSL_CTX                  *ssl_ctx;
  2273.     unsigned int              session_id_length;
  2274.     ngx_shm_zone_t           *shm_zone;
  2275.     ngx_connection_t         *c;
  2276.     ngx_slab_pool_t          *shpool;
  2277.     ngx_ssl_sess_id_t        *sess_id;
  2278.     ngx_ssl_session_cache_t  *cache;
  2279.     u_char                    buf[NGX_SSL_MAX_SESSION_SIZE];

  2281.     len = i2d_SSL_SESSION(sess, NULL);

  2283.     /* do not cache too big session */

  2285.     if (len > (int) NGX_SSL_MAX_SESSION_SIZE) {
  2286.         return 0;
  2287.     }

  2289.     p = buf;
  2290.     i2d_SSL_SESSION(sess, &p);

  2292.     c = ngx_ssl_get_connection(ssl_conn);

  2294.     ssl_ctx = SSL_get_SSL_CTX(ssl_conn);
  2295.     shm_zone = SSL_CTX_get_ex_data(ssl_ctx, ngx_ssl_session_cache_index);

  2297.     cache = shm_zone->data;
  2298.     shpool = (ngx_slab_pool_t *) shm_zone->shm.addr;

  2300.     ngx_shmtx_lock(&shpool->mutex);

  2302.     /* drop one or two expired sessions */
  2303.     ngx_ssl_expire_sessions(cache, shpool, 1);

  2305.     cached_sess = ngx_slab_alloc_locked(shpool, len);

  2307.     if (cached_sess == NULL) {

  2309.         /* drop the oldest non-expired session and try once more */

  2311.         ngx_ssl_expire_sessions(cache, shpool, 0);

  2313.         cached_sess = ngx_slab_alloc_locked(shpool, len);

  2315.         if (cached_sess == NULL) {
  2316.             sess_id = NULL;
  2317.             goto failed;
  2318.         }
  2319.     }

  2321.     sess_id = ngx_slab_alloc_locked(shpool, sizeof(ngx_ssl_sess_id_t));

  2323.     if (sess_id == NULL) {

  2325.         /* drop the oldest non-expired session and try once more */

  2327.         ngx_ssl_expire_sessions(cache, shpool, 0);

  2329.         sess_id = ngx_slab_alloc_locked(shpool, sizeof(ngx_ssl_sess_id_t));

  2331.         if (sess_id == NULL) {
  2332.             goto failed;
  2333.         }
  2334.     }

  2336. #if OPENSSL_VERSION_NUMBER >= 0x0090800fL

  2338.     session_id = (u_char *) SSL_SESSION_get_id(sess, &session_id_length);

  2340. #else

  2342.     session_id = sess->session_id;
  2343.     session_id_length = sess->session_id_length;

  2345. #endif

  2347. #if (NGX_PTR_SIZE == 8)

  2349.     id = sess_id->sess_id;

  2351. #else

  2353.     id = ngx_slab_alloc_locked(shpool, session_id_length);

  2355.     if (id == NULL) {

  2357.         /* drop the oldest non-expired session and try once more */

  2359.         ngx_ssl_expire_sessions(cache, shpool, 0);

  2361.         id = ngx_slab_alloc_locked(shpool, session_id_length);

  2363.         if (id == NULL) {
  2364.             goto failed;
  2365.         }
  2366.     }

  2368. #endif

  2370.     ngx_memcpy(cached_sess, buf, len);

  2372.     ngx_memcpy(id, session_id, session_id_length);

  2374.     hash = ngx_crc32_short(session_id, session_id_length);

  2376.     ngx_log_debug3(NGX_LOG_DEBUG_EVENT, c->log, 0,
  2377.                    "ssl new session: %08XD:%ud:%d",
  2378.                    hash, session_id_length, len);

  2380.     sess_id->node.key = hash;
  2381.     sess_id->node.data = (u_char) session_id_length;
  2382.     sess_id->id = id;
  2383.     sess_id->len = len;
  2384.     sess_id->session = cached_sess;

  2386.     sess_id->expire = ngx_time() + SSL_CTX_get_timeout(ssl_ctx);

  2388.     ngx_queue_insert_head(&cache->expire_queue, &sess_id->queue);

  2390.     ngx_rbtree_insert(&cache->session_rbtree, &sess_id->node);

  2392.     ngx_shmtx_unlock(&shpool->mutex);

  2394.     return 0;

  2396. failed:

  2398.     if (cached_sess) {
  2399.         ngx_slab_free_locked(shpool, cached_sess);
  2400.     }

  2402.     if (sess_id) {
  2403.         ngx_slab_free_locked(shpool, sess_id);
  2404.     }

  2406.     ngx_shmtx_unlock(&shpool->mutex);

  2408.     ngx_log_error(NGX_LOG_ALERT, c->log, 0,
  2409.                   "could not allocate new session%s", shpool->log_ctx);

  2411.     return 0;
  2412. }


  2415. static ngx_ssl_session_t *
  2416. ‌ngx_ssl_get_cached_session(ngx_ssl_conn_t *ssl_conn, u_char *id, int len,
  2417.     int *copy)
  2418. {
  2419. #if OPENSSL_VERSION_NUMBER >= 0x0090707fL
  2420.     const
  2421. #endif
  2422.     u_char                   *p;
  2423.     uint32_t                  hash;
  2424.     ngx_int_t                 rc;
  2425.     ngx_shm_zone_t           *shm_zone;
  2426.     ngx_slab_pool_t          *shpool;
  2427.     ngx_rbtree_node_t        *node, *sentinel;
  2428.     ngx_ssl_session_t        *sess;
  2429.     ngx_ssl_sess_id_t        *sess_id;
  2430.     ngx_ssl_session_cache_t  *cache;
  2431.     u_char                    buf[NGX_SSL_MAX_SESSION_SIZE];
  2432. #if (NGX_DEBUG)
  2433.     ngx_connection_t         *c;
  2434. #endif

  2436.     hash = ngx_crc32_short(id, (size_t) len);
  2437.     *copy = 0;

  2439. #if (NGX_DEBUG)
  2440.     c = ngx_ssl_get_connection(ssl_conn);

  2442.     ngx_log_debug2(NGX_LOG_DEBUG_EVENT, c->log, 0,
  2443.                    "ssl get session: %08XD:%d", hash, len);
  2444. #endif

  2446.     shm_zone = SSL_CTX_get_ex_data(SSL_get_SSL_CTX(ssl_conn),
  2447.                                    ngx_ssl_session_cache_index);

  2449.     cache = shm_zone->data;

  2451.     sess = NULL;

  2453.     shpool = (ngx_slab_pool_t *) shm_zone->shm.addr;

  2455.     ngx_shmtx_lock(&shpool->mutex);

  2457.     node = cache->session_rbtree.root;
  2458.     sentinel = cache->session_rbtree.sentinel;

  2460.     while (node != sentinel) {

  2462.         if (hash < node->key) {
  2463.             node = node->left;
  2464.             continue;
  2465.         }

  2467.         if (hash > node->key) {
  2468.             node = node->right;
  2469.             continue;
  2470.         }

  2472.         /* hash == node->key */

  2474.         sess_id = (ngx_ssl_sess_id_t *) node;

  2476.         rc = ngx_memn2cmp(id, sess_id->id, (size_t) len, (size_t) node->data);

  2478.         if (rc == 0) {

  2480.             if (sess_id->expire > ngx_time()) {
  2481.                 ngx_memcpy(buf, sess_id->session, sess_id->len);

  2483.                 ngx_shmtx_unlock(&shpool->mutex);

  2485.                 p = buf;
  2486.                 sess = d2i_SSL_SESSION(NULL, &p, sess_id->len);

  2488.                 return sess;
  2489.             }

  2491.             ngx_queue_remove(&sess_id->queue);

  2493.             ngx_rbtree_delete(&cache->session_rbtree, node);

  2495.             ngx_slab_free_locked(shpool, sess_id->session);
  2496. #if (NGX_PTR_SIZE == 4)
  2497.             ngx_slab_free_locked(shpool, sess_id->id);
  2498. #endif
  2499.             ngx_slab_free_locked(shpool, sess_id);

  2501.             sess = NULL;

  2503.             goto done;
  2504.         }

  2506.         node = (rc < 0) ? node->left : node->right;
  2507.     }

  2509. done:

  2511.     ngx_shmtx_unlock(&shpool->mutex);

  2513.     return sess;
  2514. }


  2517. void
  2518. ‌ngx_ssl_remove_cached_session(SSL_CTX *ssl, ngx_ssl_session_t *sess)
  2519. {
  2520.      SSL_CTX_remove_session(ssl, sess);

  2522.      ngx_ssl_remove_session(ssl, sess);
  2523. }


  2526. static void
  2527. ‌ngx_ssl_remove_session(SSL_CTX *ssl, ngx_ssl_session_t *sess)
  2528. {
  2529.     u_char                   *id;
  2530.     uint32_t                  hash;
  2531.     ngx_int_t                 rc;
  2532.     unsigned int              len;
  2533.     ngx_shm_zone_t           *shm_zone;
  2534.     ngx_slab_pool_t          *shpool;
  2535.     ngx_rbtree_node_t        *node, *sentinel;
  2536.     ngx_ssl_sess_id_t        *sess_id;
  2537.     ngx_ssl_session_cache_t  *cache;

  2539.     shm_zone = SSL_CTX_get_ex_data(ssl, ngx_ssl_session_cache_index);

  2541.     if (shm_zone == NULL) {
  2542.         return;
  2543.     }

  2545.     cache = shm_zone->data;

  2547. #if OPENSSL_VERSION_NUMBER >= 0x0090800fL

  2549.     id = (u_char *) SSL_SESSION_get_id(sess, &len);

  2551. #else

  2553.     id = sess->session_id;
  2554.     len = sess->session_id_length;

  2556. #endif

  2558.     hash = ngx_crc32_short(id, len);

  2560.     ngx_log_debug2(NGX_LOG_DEBUG_EVENT, ngx_cycle->log, 0,
  2561.                    "ssl remove session: %08XD:%ud", hash, len);

  2563.     shpool = (ngx_slab_pool_t *) shm_zone->shm.addr;

  2565.     ngx_shmtx_lock(&shpool->mutex);

  2567.     node = cache->session_rbtree.root;
  2568.     sentinel = cache->session_rbtree.sentinel;

  2570.     while (node != sentinel) {

  2572.         if (hash < node->key) {
  2573.             node = node->left;
  2574.             continue;
  2575.         }

  2577.         if (hash > node->key) {
  2578.             node = node->right;
  2579.             continue;
  2580.         }

  2582.         /* hash == node->key */

  2584.         sess_id = (ngx_ssl_sess_id_t *) node;

  2586.         rc = ngx_memn2cmp(id, sess_id->id, len, (size_t) node->data);

  2588.         if (rc == 0) {

  2590.             ngx_queue_remove(&sess_id->queue);

  2592.             ngx_rbtree_delete(&cache->session_rbtree, node);

  2594.             ngx_slab_free_locked(shpool, sess_id->session);
  2595. #if (NGX_PTR_SIZE == 4)
  2596.             ngx_slab_free_locked(shpool, sess_id->id);
  2597. #endif
  2598.             ngx_slab_free_locked(shpool, sess_id);

  2600.             goto done;
  2601.         }

  2603.         node = (rc < 0) ? node->left : node->right;
  2604.     }

  2606. done:

  2608.     ngx_shmtx_unlock(&shpool->mutex);
  2609. }


  2612. static void
  2613. ‌ngx_ssl_expire_sessions(ngx_ssl_session_cache_t *cache,
  2614.     ngx_slab_pool_t *shpool, ngx_uint_t n)
  2615. {
  2616.     time_t              now;
  2617.     ngx_queue_t        *q;
  2618.     ngx_ssl_sess_id_t  *sess_id;

  2620.     now = ngx_time();

  2622.     while (n < 3) {

  2624.         if (ngx_queue_empty(&cache->expire_queue)) {
  2625.             return;
  2626.         }

  2628.         q = ngx_queue_last(&cache->expire_queue);

  2630.         sess_id = ngx_queue_data(q, ngx_ssl_sess_id_t, queue);

  2632.         if (n++ != 0 && sess_id->expire > now) {
  2633.             return;
  2634.         }

  2636.         ngx_queue_remove(q);

  2638.         ngx_log_debug1(NGX_LOG_DEBUG_EVENT, ngx_cycle->log, 0,
  2639.                        "expire session: %08Xi", sess_id->node.key);

  2641.         ngx_rbtree_delete(&cache->session_rbtree, &sess_id->node);

  2643.         ngx_slab_free_locked(shpool, sess_id->session);
  2644. #if (NGX_PTR_SIZE == 4)
  2645.         ngx_slab_free_locked(shpool, sess_id->id);
  2646. #endif
  2647.         ngx_slab_free_locked(shpool, sess_id);
  2648.     }
  2649. }


  2652. static void
  2653. ‌ngx_ssl_session_rbtree_insert_value(ngx_rbtree_node_t *temp,
  2654.     ngx_rbtree_node_t *node, ngx_rbtree_node_t *sentinel)
  2655. {
  2656.     ngx_rbtree_node_t  **p;
  2657.     ngx_ssl_sess_id_t   *sess_id, *sess_id_temp;

  2659.     for ( ;; ) {

  2661.         if (node->key < temp->key) {

  2663.             p = &temp->left;

  2665.         } else if (node->key > temp->key) {

  2667.             p = &temp->right;

  2669.         } else { /* node->key == temp->key */

  2671.             sess_id = (ngx_ssl_sess_id_t *) node;
  2672.             sess_id_temp = (ngx_ssl_sess_id_t *) temp;

  2674.             p = (ngx_memn2cmp(sess_id->id, sess_id_temp->id,
  2675.                               (size_t) node->data, (size_t) temp->data)
  2676.                  < 0) ? &temp->left : &temp->right;
  2677.         }

  2679.         if (*p == sentinel) {
  2680.             break;
  2681.         }

  2683.         temp = *p;
  2684.     }

  2686.     *p = node;
  2687.     node->parent = temp;
  2688.     node->left = sentinel;
  2689.     node->right = sentinel;
  2690.     ngx_rbt_red(node);
  2691. }


  2694. #ifdef SSL_CTRL_SET_TLSEXT_TICKET_KEY_CB

  2696. ngx_int_t
  2697. ‌ngx_ssl_session_ticket_keys(ngx_conf_t *cf, ngx_ssl_t *ssl, ngx_array_t *paths)
  2698. {
  2699.     u_char                         buf[48];
  2700.     ssize_t                        n;
  2701.     ngx_str_t                     *path;
  2702.     ngx_file_t                     file;
  2703.     ngx_uint_t                     i;
  2704.     ngx_array_t                   *keys;
  2705.     ngx_file_info_t                fi;
  2706.     ngx_ssl_session_ticket_key_t  *key;

  2708.     if (paths == NULL) {
  2709.         return NGX_OK;
  2710.     }

  2712.     keys = ngx_array_create(cf->pool, paths->nelts,
  2713.                             sizeof(ngx_ssl_session_ticket_key_t));
  2714.     if (keys == NULL) {
  2715.         return NGX_ERROR;
  2716.     }

  2718.     path = paths->elts;
  2719.     for (i = 0; i < paths->nelts; i++) {

  2721.         if (ngx_conf_full_name(cf->cycle, &path[i], 1) != NGX_OK) {
  2722.             return NGX_ERROR;
  2723.         }

  2725.         ngx_memzero(&file, sizeof(ngx_file_t));
  2726.         file.name = path[i];
  2727.         file.log = cf->log;

  2729.         file.fd = ngx_open_file(file.name.data, NGX_FILE_RDONLY, 0, 0);
  2730.         if (file.fd == NGX_INVALID_FILE) {
  2731.             ngx_conf_log_error(NGX_LOG_EMERG, cf, ngx_errno,
  2732.                                ngx_open_file_n " \"%V\" failed", &file.name);
  2733.             return NGX_ERROR;
  2734.         }

  2736.         if (ngx_fd_info(file.fd, &fi) == NGX_FILE_ERROR) {
  2737.             ngx_conf_log_error(NGX_LOG_CRIT, cf, ngx_errno,
  2738.                                ngx_fd_info_n " \"%V\" failed", &file.name);
  2739.             goto failed;
  2740.         }

  2742.         if (ngx_file_size(&fi) != 48) {
  2743.             ngx_conf_log_error(NGX_LOG_EMERG, cf, 0,
  2744.                                "\"%V\" must be 48 bytes", &file.name);
  2745.             goto failed;
  2746.         }

  2748.         n = ngx_read_file(&file, buf, 48, 0);

  2750.         if (n == NGX_ERROR) {
  2751.             ngx_conf_log_error(NGX_LOG_CRIT, cf, ngx_errno,
  2752.                                ngx_read_file_n " \"%V\" failed", &file.name);
  2753.             goto failed;
  2754.         }

  2756.         if (n != 48) {
  2757.             ngx_conf_log_error(NGX_LOG_CRIT, cf, 0,
  2758.                                ngx_read_file_n " \"%V\" returned only "
  2759.                                "%z bytes instead of 48", &file.name, n);
  2760.             goto failed;
  2761.         }

  2763.         key = ngx_array_push(keys);
  2764.         if (key == NULL) {
  2765.             goto failed;
  2766.         }

  2768.         ngx_memcpy(key->name, buf, 16);
  2769.         ngx_memcpy(key->aes_key, buf + 16, 16);
  2770.         ngx_memcpy(key->hmac_key, buf + 32, 16);

  2772.         if (ngx_close_file(file.fd) == NGX_FILE_ERROR) {
  2773.             ngx_log_error(NGX_LOG_ALERT, cf->log, ngx_errno,
  2774.                           ngx_close_file_n " \"%V\" failed", &file.name);
  2775.         }
  2776.     }

  2778.     if (SSL_CTX_set_ex_data(ssl->ctx, ngx_ssl_session_ticket_keys_index, keys)
  2779.         == 0)
  2780.     {
  2781.         ngx_ssl_error(NGX_LOG_EMERG, ssl->log, 0,
  2782.                       "SSL_CTX_set_ex_data() failed");
  2783.         return NGX_ERROR;
  2784.     }

  2786.     if (SSL_CTX_set_tlsext_ticket_key_cb(ssl->ctx,
  2787.                                          ngx_ssl_session_ticket_key_callback)
  2788.         == 0)
  2789.     {
  2790.         ngx_log_error(NGX_LOG_WARN, cf->log, 0,
  2791.                       "nginx was built with Session Tickets support, however, "
  2792.                       "now it is linked dynamically to an OpenSSL library "
  2793.                       "which has no tlsext support, therefore Session Tickets "
  2794.                       "are not available");
  2795.     }

  2797.     return NGX_OK;

  2799. failed:

  2801.     if (ngx_close_file(file.fd) == NGX_FILE_ERROR) {
  2802.         ngx_log_error(NGX_LOG_ALERT, cf->log, ngx_errno,
  2803.                       ngx_close_file_n " \"%V\" failed", &file.name);
  2804.     }

  2806.     return NGX_ERROR;
  2807. }


  2810. #ifdef OPENSSL_NO_SHA256
  2811. ‌#define ngx_ssl_session_ticket_md  EVP_sha1
  2812. #else
  2813. ‌#define ngx_ssl_session_ticket_md  EVP_sha256
  2814. #endif


  2817. static int
  2818. ‌ngx_ssl_session_ticket_key_callback(ngx_ssl_conn_t *ssl_conn,
  2819.     unsigned char *name, unsigned char *iv, EVP_CIPHER_CTX *ectx,
  2820.     HMAC_CTX *hctx, int enc)
  2821. {
  2822.     SSL_CTX                       *ssl_ctx;
  2823.     ngx_uint_t                     i;
  2824.     ngx_array_t                   *keys;
  2825.     ngx_ssl_session_ticket_key_t  *key;
  2826. #if (NGX_DEBUG)
  2827.     u_char                         buf[32];
  2828.     ngx_connection_t              *c;
  2829. #endif

  2831.     ssl_ctx = SSL_get_SSL_CTX(ssl_conn);

  2833.     keys = SSL_CTX_get_ex_data(ssl_ctx, ngx_ssl_session_ticket_keys_index);
  2834.     if (keys == NULL) {
  2835.         return -1;
  2836.     }

  2838.     key = keys->elts;

  2840. #if (NGX_DEBUG)
  2841.     c = ngx_ssl_get_connection(ssl_conn);
  2842. #endif

  2844.     if (enc == 1) {
  2845.         /* encrypt session ticket */

  2847.         ngx_log_debug3(NGX_LOG_DEBUG_EVENT, c->log, 0,
  2848.                        "ssl session ticket encrypt, key: \"%*s\" (%s session)",
  2849.                        ngx_hex_dump(buf, key[0].name, 16) - buf, buf,
  2850.                        SSL_session_reused(ssl_conn) ? "reused" : "new");

  2852.         RAND_pseudo_bytes(iv, 16);
  2853.         EVP_EncryptInit_ex(ectx, EVP_aes_128_cbc(), NULL, key[0].aes_key, iv);
  2854.         HMAC_Init_ex(hctx, key[0].hmac_key, 16,
  2855.                      ngx_ssl_session_ticket_md(), NULL);
  2856.         ngx_memcpy(name, key[0].name, 16);

  2858.         return 0;

  2860.     } else {
  2861.         /* decrypt session ticket */

  2863.         for (i = 0; i < keys->nelts; i++) {
  2864.             if (ngx_memcmp(name, key[i].name, 16) == 0) {
  2865.                 goto found;
  2866.             }
  2867.         }

  2869.         ngx_log_debug2(NGX_LOG_DEBUG_EVENT, c->log, 0,
  2870.                        "ssl session ticket decrypt, key: \"%*s\" not found",
  2871.                        ngx_hex_dump(buf, name, 16) - buf, buf);

  2873.         return 0;

  2875.     found:

  2877.         ngx_log_debug3(NGX_LOG_DEBUG_EVENT, c->log, 0,
  2878.                        "ssl session ticket decrypt, key: \"%*s\"%s",
  2879.                        ngx_hex_dump(buf, key[i].name, 16) - buf, buf,
  2880.                        (i == 0) ? " (default)" : "");

  2882.         HMAC_Init_ex(hctx, key[i].hmac_key, 16,
  2883.                      ngx_ssl_session_ticket_md(), NULL);
  2884.         EVP_DecryptInit_ex(ectx, EVP_aes_128_cbc(), NULL, key[i].aes_key, iv);

  2886.         return (i == 0) ? 1 : 2 /* renew */;
  2887.     }
  2888. }

  2890. #else

  2892. ngx_int_t
  2893. ‌ngx_ssl_session_ticket_keys(ngx_conf_t *cf, ngx_ssl_t *ssl, ngx_array_t *paths)
  2894. {
  2895.     if (paths) {
  2896.         ngx_log_error(NGX_LOG_WARN, ssl->log, 0,
  2897.                       "\"ssl_session_ticket_keys\" ignored, not supported");
  2898.     }

  2900.     return NGX_OK;
  2901. }

  2903. #endif


  2906. void
  2907. ‌ngx_ssl_cleanup_ctx(void *data)
  2908. {
  2909.     ngx_ssl_t  *ssl = data;

  2911.     SSL_CTX_free(ssl->ctx);
  2912. }


  2915. ngx_int_t
  2916. ‌ngx_ssl_check_host(ngx_connection_t *c, ngx_str_t *name)
  2917. {
  2918.     X509   *cert;

  2920.     cert = SSL_get_peer_certificate(c->ssl->connection);
  2921.     if (cert == NULL) {
  2922.         return NGX_ERROR;
  2923.     }

  2925. #if (OPENSSL_VERSION_NUMBER >= 0x10002002L && !defined LIBRESSL_VERSION_NUMBER)

  2927.     /* X509_check_host() is only available in OpenSSL 1.0.2+ */

  2929.     if (name->len == 0) {
  2930.         goto failed;
  2931.     }

  2933.     if (X509_check_host(cert, (char *) name->data, name->len, 0, NULL) != 1) {
  2934.         ngx_log_debug0(NGX_LOG_DEBUG_EVENT, c->log, 0,
  2935.                        "X509_check_host(): no match");
  2936.         goto failed;
  2937.     }

  2939.     ngx_log_debug0(NGX_LOG_DEBUG_EVENT, c->log, 0,
  2940.                    "X509_check_host(): match");

  2942.     goto found;

  2944. #else
  2945.     {
  2946.     int                      n, i;
  2947.     X509_NAME               *sname;
  2948.     ASN1_STRING             *str;
  2949.     X509_NAME_ENTRY         *entry;
  2950.     GENERAL_NAME            *altname;
  2951.     STACK_OF(GENERAL_NAME)  *altnames;

  2953.     /*
  2954.      * As per RFC6125 and RFC2818, we check subjectAltName extension,
  2955.      * and if it's not present - commonName in Subject is checked.
  2956.      */

  2958.     altnames = X509_get_ext_d2i(cert, NID_subject_alt_name, NULL, NULL);

  2960.     if (altnames) {
  2961.         n = sk_GENERAL_NAME_num(altnames);

  2963.         for (i = 0; i < n; i++) {
  2964.             altname = sk_GENERAL_NAME_value(altnames, i);

  2966.             if (altname->type != GEN_DNS) {
  2967.                 continue;
  2968.             }

  2970.             str = altname->d.dNSName;

  2972.             ngx_log_debug2(NGX_LOG_DEBUG_EVENT, c->log, 0,
  2973.                            "SSL subjectAltName: \"%*s\"",
  2974.                            ASN1_STRING_length(str), ASN1_STRING_data(str));

  2976.             if (ngx_ssl_check_name(name, str) == NGX_OK) {
  2977.                 ngx_log_debug0(NGX_LOG_DEBUG_EVENT, c->log, 0,
  2978.                                "SSL subjectAltName: match");
  2979.                 GENERAL_NAMES_free(altnames);
  2980.                 goto found;
  2981.             }
  2982.         }

  2984.         ngx_log_debug0(NGX_LOG_DEBUG_EVENT, c->log, 0,
  2985.                        "SSL subjectAltName: no match");

  2987.         GENERAL_NAMES_free(altnames);
  2988.         goto failed;
  2989.     }

  2991.     /*
  2992.      * If there is no subjectAltName extension, check commonName
  2993.      * in Subject.  While RFC2818 requires to only check "most specific"
  2994.      * CN, both Apache and OpenSSL check all CNs, and so do we.
  2995.      */

  2997.     sname = X509_get_subject_name(cert);

  2999.     if (sname == NULL) {
  3000.         goto failed;
  3001.     }

  3003.     i = -1;
  3004.     for ( ;; ) {
  3005.         i = X509_NAME_get_index_by_NID(sname, NID_commonName, i);

  3007.         if (i < 0) {
  3008.             break;
  3009.         }

  3011.         entry = X509_NAME_get_entry(sname, i);
  3012.         str = X509_NAME_ENTRY_get_data(entry);

  3014.         ngx_log_debug2(NGX_LOG_DEBUG_EVENT, c->log, 0,
  3015.                        "SSL commonName: \"%*s\"",
  3016.                        ASN1_STRING_length(str), ASN1_STRING_data(str));

  3018.         if (ngx_ssl_check_name(name, str) == NGX_OK) {
  3019.             ngx_log_debug0(NGX_LOG_DEBUG_EVENT, c->log, 0,
  3020.                            "SSL commonName: match");
  3021.             goto found;
  3022.         }
  3023.     }

  3025.     ngx_log_debug0(NGX_LOG_DEBUG_EVENT, c->log, 0,
  3026.                    "SSL commonName: no match");
  3027.     }
  3028. #endif

  3030. failed:

  3032.     X509_free(cert);
  3033.     return NGX_ERROR;

  3035. found:

  3037.     X509_free(cert);
  3038.     return NGX_OK;
  3039. }


  3042. #if (OPENSSL_VERSION_NUMBER < 0x10002002L || defined LIBRESSL_VERSION_NUMBER)

  3044. static ngx_int_t
  3045. ‌ngx_ssl_check_name(ngx_str_t *name, ASN1_STRING *pattern)
  3046. {
  3047.     u_char  *s, *p, *end;
  3048.     size_t   slen, plen;

  3050.     s = name->data;
  3051.     slen = name->len;

  3053.     p = ASN1_STRING_data(pattern);
  3054.     plen = ASN1_STRING_length(pattern);

  3056.     if (slen == plen && ngx_strncasecmp(s, p, plen) == 0) {
  3057.         return NGX_OK;
  3058.     }

  3060.     if (plen > 2 && p[0] == '*' && p[1] == '.') {
  3061.         plen -= 1;
  3062.         p += 1;

  3064.         end = s + slen;
  3065.         s = ngx_strlchr(s, end, '.');

  3067.         if (s == NULL) {
  3068.             return NGX_ERROR;
  3069.         }

  3071.         slen = end - s;

  3073.         if (plen == slen && ngx_strncasecmp(s, p, plen) == 0) {
  3074.             return NGX_OK;
  3075.         }
  3076.     }

  3078.     return NGX_ERROR;
  3079. }

  3081. #endif


  3084. ngx_int_t
  3085. ‌ngx_ssl_get_protocol(ngx_connection_t *c, ngx_pool_t *pool, ngx_str_t *s)
  3086. {
  3087.     s->data = (u_char *) SSL_get_version(c->ssl->connection);
  3088.     return NGX_OK;
  3089. }


  3092. ngx_int_t
  3093. ‌ngx_ssl_get_cipher_name(ngx_connection_t *c, ngx_pool_t *pool, ngx_str_t *s)
  3094. {
  3095.     s->data = (u_char *) SSL_get_cipher_name(c->ssl->connection);
  3096.     return NGX_OK;
  3097. }


  3100. ngx_int_t
  3101. ‌ngx_ssl_get_session_id(ngx_connection_t *c, ngx_pool_t *pool, ngx_str_t *s)
  3102. {
  3103.     u_char        *buf;
  3104.     SSL_SESSION   *sess;
  3105.     unsigned int   len;

  3107.     sess = SSL_get0_session(c->ssl->connection);
  3108.     if (sess == NULL) {
  3109.         s->len = 0;
  3110.         return NGX_OK;
  3111.     }

  3113. #if OPENSSL_VERSION_NUMBER >= 0x0090800fL

  3115.     buf = (u_char *) SSL_SESSION_get_id(sess, &len);

  3117. #else

  3119.     buf = sess->session_id;
  3120.     len = sess->session_id_length;

  3122. #endif

  3124.     s->len = 2 * len;
  3125.     s->data = ngx_pnalloc(pool, 2 * len);
  3126.     if (s->data == NULL) {
  3127.         return NGX_ERROR;
  3128.     }

  3130.     ngx_hex_dump(s->data, buf, len);

  3132.     return NGX_OK;
  3133. }


  3136. ngx_int_t
  3137. ‌ngx_ssl_get_session_reused(ngx_connection_t *c, ngx_pool_t *pool, ngx_str_t *s)
  3138. {
  3139.     if (SSL_session_reused(c->ssl->connection)) {
  3140.         ngx_str_set(s, "r");

  3142.     } else {
  3143.         ngx_str_set(s, ".");
  3144.     }

  3146.     return NGX_OK;
  3147. }


  3150. ngx_int_t
  3151. ‌ngx_ssl_get_server_name(ngx_connection_t *c, ngx_pool_t *pool, ngx_str_t *s)
  3152. {
  3153. #ifdef SSL_CTRL_SET_TLSEXT_HOSTNAME

  3155.     const char  *servername;

  3157.     servername = SSL_get_servername(c->ssl->connection,
  3158.                                     TLSEXT_NAMETYPE_host_name);
  3159.     if (servername) {
  3160.         s->data = (u_char *) servername;
  3161.         s->len = ngx_strlen(servername);
  3162.         return NGX_OK;
  3163.     }

  3165. #endif

  3167.     s->len = 0;
  3168.     return NGX_OK;
  3169. }


  3172. ngx_int_t
  3173. ‌ngx_ssl_get_raw_certificate(ngx_connection_t *c, ngx_pool_t *pool, ngx_str_t *s)
  3174. {
  3175.     size_t   len;
  3176.     BIO     *bio;
  3177.     X509    *cert;

  3179.     s->len = 0;

  3181.     cert = SSL_get_peer_certificate(c->ssl->connection);
  3182.     if (cert == NULL) {
  3183.         return NGX_OK;
  3184.     }

  3186.     bio = BIO_new(BIO_s_mem());
  3187.     if (bio == NULL) {
  3188.         ngx_ssl_error(NGX_LOG_ALERT, c->log, 0, "BIO_new() failed");
  3189.         X509_free(cert);
  3190.         return NGX_ERROR;
  3191.     }

  3193.     if (PEM_write_bio_X509(bio, cert) == 0) {
  3194.         ngx_ssl_error(NGX_LOG_ALERT, c->log, 0, "PEM_write_bio_X509() failed");
  3195.         goto failed;
  3196.     }

  3198.     len = BIO_pending(bio);
  3199.     s->len = len;

  3201.     s->data = ngx_pnalloc(pool, len);
  3202.     if (s->data == NULL) {
  3203.         goto failed;
  3204.     }

  3206.     BIO_read(bio, s->data, len);

  3208.     BIO_free(bio);
  3209.     X509_free(cert);

  3211.     return NGX_OK;

  3213. failed:

  3215.     BIO_free(bio);
  3216.     X509_free(cert);

  3218.     return NGX_ERROR;
  3219. }


  3222. ngx_int_t
  3223. ‌ngx_ssl_get_certificate(ngx_connection_t *c, ngx_pool_t *pool, ngx_str_t *s)
  3224. {
  3225.     u_char      *p;
  3226.     size_t       len;
  3227.     ngx_uint_t   i;
  3228.     ngx_str_t    cert;

  3230.     if (ngx_ssl_get_raw_certificate(c, pool, &cert) != NGX_OK) {
  3231.         return NGX_ERROR;
  3232.     }

  3234.     if (cert.len == 0) {
  3235.         s->len = 0;
  3236.         return NGX_OK;
  3237.     }

  3239.     len = cert.len - 1;

  3241.     for (i = 0; i < cert.len - 1; i++) {
  3242.         if (cert.data[i] == LF) {
  3243.             len++;
  3244.         }
  3245.     }

  3247.     s->len = len;
  3248.     s->data = ngx_pnalloc(pool, len);
  3249.     if (s->data == NULL) {
  3250.         return NGX_ERROR;
  3251.     }

  3253.     p = s->data;

  3255.     for (i = 0; i < cert.len - 1; i++) {
  3256.         *p++ = cert.data[i];
  3257.         if (cert.data[i] == LF) {
  3258.             *p++ = '\t';
  3259.         }
  3260.     }

  3262.     return NGX_OK;
  3263. }


  3266. ngx_int_t
  3267. ‌ngx_ssl_get_subject_dn(ngx_connection_t *c, ngx_pool_t *pool, ngx_str_t *s)
  3268. {
  3269.     char       *p;
  3270.     size_t      len;
  3271.     X509       *cert;
  3272.     X509_NAME  *name;

  3274.     s->len = 0;

  3276.     cert = SSL_get_peer_certificate(c->ssl->connection);
  3277.     if (cert == NULL) {
  3278.         return NGX_OK;
  3279.     }

  3281.     name = X509_get_subject_name(cert);
  3282.     if (name == NULL) {
  3283.         X509_free(cert);
  3284.         return NGX_ERROR;
  3285.     }

  3287.     p = X509_NAME_oneline(name, NULL, 0);

  3289.     for (len = 0; p[len]; len++) { /* void */ }

  3291.     s->len = len;
  3292.     s->data = ngx_pnalloc(pool, len);
  3293.     if (s->data == NULL) {
  3294.         OPENSSL_free(p);
  3295.         X509_free(cert);
  3296.         return NGX_ERROR;
  3297.     }

  3299.     ngx_memcpy(s->data, p, len);

  3301.     OPENSSL_free(p);
  3302.     X509_free(cert);

  3304.     return NGX_OK;
  3305. }


  3308. ngx_int_t
  3309. ‌ngx_ssl_get_issuer_dn(ngx_connection_t *c, ngx_pool_t *pool, ngx_str_t *s)
  3310. {
  3311.     char       *p;
  3312.     size_t      len;
  3313.     X509       *cert;
  3314.     X509_NAME  *name;

  3316.     s->len = 0;

  3318.     cert = SSL_get_peer_certificate(c->ssl->connection);
  3319.     if (cert == NULL) {
  3320.         return NGX_OK;
  3321.     }

  3323.     name = X509_get_issuer_name(cert);
  3324.     if (name == NULL) {
  3325.         X509_free(cert);
  3326.         return NGX_ERROR;
  3327.     }

  3329.     p = X509_NAME_oneline(name, NULL, 0);

  3331.     for (len = 0; p[len]; len++) { /* void */ }

  3333.     s->len = len;
  3334.     s->data = ngx_pnalloc(pool, len);
  3335.     if (s->data == NULL) {
  3336.         OPENSSL_free(p);
  3337.         X509_free(cert);
  3338.         return NGX_ERROR;
  3339.     }

  3341.     ngx_memcpy(s->data, p, len);

  3343.     OPENSSL_free(p);
  3344.     X509_free(cert);

  3346.     return NGX_OK;
  3347. }


  3350. ngx_int_t
  3351. ‌ngx_ssl_get_serial_number(ngx_connection_t *c, ngx_pool_t *pool, ngx_str_t *s)
  3352. {
  3353.     size_t   len;
  3354.     X509    *cert;
  3355.     BIO     *bio;

  3357.     s->len = 0;

  3359.     cert = SSL_get_peer_certificate(c->ssl->connection);
  3360.     if (cert == NULL) {
  3361.         return NGX_OK;
  3362.     }

  3364.     bio = BIO_new(BIO_s_mem());
  3365.     if (bio == NULL) {
  3366.         X509_free(cert);
  3367.         return NGX_ERROR;
  3368.     }

  3370.     i2a_ASN1_INTEGER(bio, X509_get_serialNumber(cert));
  3371.     len = BIO_pending(bio);

  3373.     s->len = len;
  3374.     s->data = ngx_pnalloc(pool, len);
  3375.     if (s->data == NULL) {
  3376.         BIO_free(bio);
  3377.         X509_free(cert);
  3378.         return NGX_ERROR;
  3379.     }

  3381.     BIO_read(bio, s->data, len);
  3382.     BIO_free(bio);
  3383.     X509_free(cert);

  3385.     return NGX_OK;
  3386. }


  3389. ngx_int_t
  3390. ‌ngx_ssl_get_fingerprint(ngx_connection_t *c, ngx_pool_t *pool, ngx_str_t *s)
  3391. {
  3392.     X509          *cert;
  3393.     unsigned int   len;
  3394.     u_char         buf[EVP_MAX_MD_SIZE];

  3396.     s->len = 0;

  3398.     cert = SSL_get_peer_certificate(c->ssl->connection);
  3399.     if (cert == NULL) {
  3400.         return NGX_OK;
  3401.     }

  3403.     if (!X509_digest(cert, EVP_sha1(), buf, &len)) {
  3404.         X509_free(cert);
  3405.         return NGX_ERROR;
  3406.     }

  3408.     s->len = 2 * len;
  3409.     s->data = ngx_pnalloc(pool, 2 * len);
  3410.     if (s->data == NULL) {
  3411.         X509_free(cert);
  3412.         return NGX_ERROR;
  3413.     }

  3415.     ngx_hex_dump(s->data, buf, len);

  3417.     X509_free(cert);

  3419.     return NGX_OK;
  3420. }


  3423. ngx_int_t
  3424. ‌ngx_ssl_get_client_verify(ngx_connection_t *c, ngx_pool_t *pool, ngx_str_t *s)
  3425. {
  3426.     X509  *cert;

  3428.     if (SSL_get_verify_result(c->ssl->connection) != X509_V_OK) {
  3429.         ngx_str_set(s, "FAILED");
  3430.         return NGX_OK;
  3431.     }

  3433.     cert = SSL_get_peer_certificate(c->ssl->connection);

  3435.     if (cert) {
  3436.         ngx_str_set(s, "SUCCESS");

  3438.     } else {
  3439.         ngx_str_set(s, "NONE");
  3440.     }

  3442.     X509_free(cert);

  3444.     return NGX_OK;
  3445. }


  3448. static void *
  3449. ‌ngx_openssl_create_conf(ngx_cycle_t *cycle)
  3450. {
  3451.     ngx_openssl_conf_t  *oscf;

  3453.     oscf = ngx_pcalloc(cycle->pool, sizeof(ngx_openssl_conf_t));
  3454.     if (oscf == NULL) {
  3455.         return NULL;
  3456.     }

  3458.     /*
  3459.      * set by ngx_pcalloc():
  3460.      *
  3461.      *     oscf->engine = 0;
  3462.      */

  3464.     return oscf;
  3465. }


  3468. static char *
  3469. ‌ngx_openssl_engine(ngx_conf_t *cf, ngx_command_t *cmd, void *conf)
  3470. {
  3471. #ifndef OPENSSL_NO_ENGINE

  3473.     ngx_openssl_conf_t *oscf = conf;

  3475.     ENGINE     *engine;
  3476.     ngx_str_t  *value;

  3478.     if (oscf->engine) {
  3479.         return "is duplicate";
  3480.     }

  3482.     oscf->engine = 1;

  3484.     value = cf->args->elts;

  3486.     engine = ENGINE_by_id((const char *) value[1].data);

  3488.     if (engine == NULL) {
  3489.         ngx_ssl_error(NGX_LOG_WARN, cf->log, 0,
  3490.                       "ENGINE_by_id(\"%V\") failed", &value[1]);
  3491.         return NGX_CONF_ERROR;
  3492.     }

  3494.     if (ENGINE_set_default(engine, ENGINE_METHOD_ALL) == 0) {
  3495.         ngx_ssl_error(NGX_LOG_WARN, cf->log, 0,
  3496.                       "ENGINE_set_default(\"%V\", ENGINE_METHOD_ALL) failed",
  3497.                       &value[1]);

  3499.         ENGINE_free(engine);

  3501.         return NGX_CONF_ERROR;
  3502.     }

  3504.     ENGINE_free(engine);

  3506.     return NGX_CONF_OK;

  3508. #else

  3510.     return "is not supported";

  3512. #endif
  3513. }


  3516. static void
  3517. ‌ngx_openssl_exit(ngx_cycle_t *cycle)
  3518. {
  3519.     EVP_cleanup();
  3520. #ifndef OPENSSL_NO_ENGINE
  3521.     ENGINE_cleanup();
  3522. #endif
  3523. }

One Level Up Top Level