2

我想在我当前的项目中使用 srp。但是我对如何用openssl实现它有点茫然。我让客户端运行，但我不知道如何编写服务器端。我也找不到任何文档或使用的示例实现。我想要的是将登录信息存储在数据库中，然后在需要时检索该数据。我在大部分网络部分都使用 poco，因此编写客户端相当容易，并且我成功地针对其他服务器对其进行了测试。因此，我将不胜感激有关如何实现服务器端的提示。

4

1 回答 1

2

ssl/ssltest.c在 OpenSSL 存档中的文件中有一个如何执行此操作的示例。

在较高级别上，您注册身份验证回调。此回调在 ) 期间根据需要自动调用SSL_Accept(以验证您的用户。

从ssltest.c示例回调看起来如下所示：

static int MS_CALLBACK ssl_srp_server_param_cb(SSL *s, int *ad, void *arg)
    {
    SRP_SERVER_ARG * p = (SRP_SERVER_ARG *) arg;

    if (strcmp(p->expected_user, SSL_get_srp_username(s)) != 0)
        {
        fprintf(stderr, "User %s doesn't exist\n", SSL_get_srp_username(s));
        return SSL3_AL_FATAL;
        }
    if (SSL_set_srp_server_param_pw(s,p->expected_user,p->pass,NULL)<0)
        {
        *ad = SSL_AD_INTERNAL_ERROR;
        return SSL3_AL_FATAL;
        }
    return SSL_ERROR_NONE;
    }

要注册，请致电

SSL_CTX_set_srp_username_callback(s_ctx, ssl_srp_server_param_cb);

回调函数的arg参数是传递给您的回调的 void 指针，以便您可以从回调中引用应用程序中任何必要的应用程序上下文。

设置 arg 参数调用SSL_CTX_set_srp_cb_arg(s_ctx, mypointer)；

这真的很容易。确保 SRP 密码包含在您的密码列表中。

有一种方法可以获取有关认证失败的反馈，可用于实施针对高速率在线词典攻击的对策。

做这个调用SSL_CTX_set_info_callback(s_ctx,mynotifycallback)来注册你的回调。成功使用以下条件过滤不相关的通知。

void mynotifycallback(const SSL *s, int reason, int ret)
{
if (reason & SSL_CB_ALERT && ret & SSL3_AD_BAD_RECORD_MAC && SSL_get_srp_username((SSL *)s))
// authentication failure
}
于 2013-05-24T03:43:07.627 回答