Nicht blockierende E/A mit OpenSSL BIO

Question

Ich verwende OpenSSL 1.0.0-fips unter Linux. Das Problem, das ich habe, ist, dass SSL_connect() -1 zurückgibt und SSL_get_error()SSL_ERROR_WANT_READ zurückgibt. Ich legte dann den Dateideskriptor in eine select() mit einer timeval Struktur auf 10 Sekunden und die select() gerade Time out.

Ich feuerte Wireshark und ich sehe den "Client Hallo" ausgehen und ich sehe die ServerHello kommen zurück zum Client, aber es "wacht" nie in der select(). Es läuft einfach ab.

Meine Fragen sind: mit SSL_set_bio()

1. Muß ich ein BIO-Objekt erstellen BIO_new_socket() verwenden und dann das BIO Objekt zu meinem SSL-Objekt zuweisen? Die man-Seite für SSL_set_fd() sagt, es wird automatisch ein BIO-Objekt erstellen, so scheint es zu implizieren, dass SSL_set_bio() ist eine Art von einer nutzlosen Funktion, die Sie nie wirklich anrufen müssen.

2. Angenommen wir verwenden SSL_set_fd() und weisen einen verbundenen TCP-Dateideskriptor zu, der blockiert. Nehmen wir an, dass wir später diesen Dateideskriptor unter Verwendung von fcntl() zu nicht blockierend ändern. Wird das SSL-Objekt (oder das zugrundeliegende BIO-Objekt) dadurch beschädigt?

Answer 1

1) Muß ich ein BIO-Objekt BIO_new_socket() erstellen und dann das BIO Objekt zu meinem SSL-Objekt zuzuweisen SSL_set_bio() verwenden? Der Mann Seite für SSL_set_fd() sagt, es wird automatisch erstellen ein BIO-Objekt , so scheint zu implizieren, dass SSL_set_bio() ist eine Art von einer nutzlosen Funktion, die Sie nie wirklich anrufen müssen.

Wenn das Standard-BIO-Objekt für Ihre Anforderungen ausreicht, müssen Sie Ihr eigenes BIO-Objekt nicht manuell erstellen und installieren. Der SSL_set_bio() - Aufruf ist nur für den Fall, dass Sie ein BIO-Objekt erstellen/verwenden möchten, das sich von dem Standard-Objekt unterscheidet, das SSL_set_bio() in Ihrem Namen erstellt.

2) Lassen Sie uns sagen, dass wir SSL_set_fd() verwenden, und weisen einen angeschlossenen TCP-Datei Beschreiber, die Sperrung wird. Nehmen wir an, wir ändern später den Dateideskriptor mit Hilfe von fcntl() in nicht blockierend. Wird das SSL-Objekt (oder das zugrunde liegende BIO-Objekt) trotzdem beschädigt?

Ja, ich glaube, es wird brechen. Die Anrufmuster für nicht-blockierende OpenSSL unterscheiden sich sehr von denen, die mit der Blockierung von OpenSSL verwendet werden, und ich glaube nicht, dass Sie während des Betriebs einfach von einem Modus zum anderen wechseln können. Das heißt, ich habe es nicht selbst ausprobiert, daher könnte ich mich irren, aber ich denke, um auf der sicheren Seite zu sein (und um konsistent zu sein), sollten Sie im Voraus wählen, ob Sie blockierend oder nicht blockierend verwenden wollen. O und bleibe dabei für die Dauer der Verbindung.

Insbesondere dieses Zitat aus der Manpage:

Die BIO und damit das SSL-Engine das Verhalten von fd erben.

...schlagen Sie vor, dass die SSL-Setup-Aufrufe den Zustand Ihrer fd untersuchen und private Variablen innerhalb der BIO- und der SSL-Objekte basierend auf dem blockierenden/nicht-blockierenden Status der fd festlegen. Wenn Sie dann "hinter OpenSSL zurück gehen" und das Verhalten des fd ändern, werden die Routinen von OpenSSL dies nicht erwarten und sehr wahrscheinlich das Falsche tun und nicht richtig funktionieren.