OpenSSL – použitie v aplikácii (diskuse)

[Martin]

Díky za článek. Vždy uvítám předžvýkání nějaké zajímavé nebo užitečné problematiky, jsem totiž většinou líný se prohrábávat dokumentací ke knihovnám.

[maertien(not logged in)]

Diky za pekne osvetleni problematiky. Takoveto rychle uvody jsou nejlepsi inspiraci pro dalsi studium. fakt thx

[azurIt]

"Jej súčasťou je utilita pre prikazovu riadku, ktorá ..."

slovo 'riadok' je muzskeho rodu ;)

[Omyl]

;) ale utilita (krásné české/slovenské slovo) je rodu ženského....

[moo]

to nemeni nic na fakte, ze ono sklonovanie skutocne nie je spravne

[Robert Krátký]

Ve slovenštině se, podobně jako v češtině, nedá používat 'riadok' i 'riadka'?

[azurIt]

nie neda, 'riadok' je vzdy muz. ta chyba vyzera velmi smiesne, odporucam opravit.

[snehuliak]

nominativ: riadok, genitiv: riadka cize "prikazovy riadok", nie "prikazova riadka" http://www.slex.sk/index.asp

[Grunt]

Ještě mohlo být napsáno něco k jeho cross-kompilaci. To je fakt lahůdka. Určitě doporučuju si pochuťiť.

[Jardík]

SHA1_Init(&c);
SHA1_Update(&c,password,(unsigned long)strlen(password));
SHA1_Final(sha1,&c);

Už ani nemá cenu číst dál, protože v článku je jasně naznačen špatný způsob programování.

strlen totiž vrací size_t a né unsigned long a nelze spoléhat na to, že size_t je stejně velký jako unsigned long. Pokud SHA1_Update opravdu chce unsigned long jako argument znamenající velikost bufferu, pak je to špatně navržená funkce.

[Andrej Herceg]

Deklarácia tej funkcie je

int SHA1_Update(SHA_CTX *c, const void *data, size_t len);

(teda aspoň v sha.h, v nápovede je stále unsigned long)

[Jardík]

Tak by si to mohl autor článku opravit. A pokud to tedy je v nápovědě tak pomrveno, tak mu budiž odpuštěno

[rastos]

Autor už nie To musí Robert. Skutočne v man stránke je unsigned long a v headri je size_t. To pretypovanie by tam nemalo byť.

[Zdenek Kotala]

Ono s rozhranim Openssl je problem. Bylo navrzeno dost nestastne a neni konzistentni. Nektere funkce napriklad nevraci chybu a podobne. Lepsi je pouzivat modernejsi EVP interface. Kazdopadne pokud nekdo zacina psat neco od nuly, je vhodne se poohlednout jinde. Napriklad PKCS11 je velice dobre definovany standard.

[Michal Vyskočil]

Při psaní nové aplikace bych zvážil používat spíše Mozilla NSS. Například lidé z Fedory docela dlouho pracují na tom, aby to byla jediná crypto knihovna v jejich distribuci. Jednak toho zvládá nejvíc a

[Zdenek Kotala]

Souhlasim s tim, ze je treba se poohlednout jinde. Kazdopadne, ale pri vyberu je treba brat ohled na portabilitu. NSS obsahuje podporu spousty standardu. Takze spis jde o to vybrat ten standard, ktery je podporovan na nejvice platformach. Napriklad Solaris ma velice promakanou podporu na PKCS11 a to vcetne vazby na crypto HW a pro PKCS11 je podpora i v Jave. Obecne PKCS11 je hodne podporovany a existuje k nemu poradna dokumentace narozdil od OpenSSL.

[[exa]]

Asi ti neco uniklo. PKCS#11 je standard a OpenSSL stejne jako NSS je knihovna ktera presne tenhle standard implementuje, spolecne s kupou jinych standartu; protoze samotne PKCS#11 jen diktuje jak se starat o klice a certifikaty, a bez ostatnich standartu by nam bylo celkem k nicemu, ze ano.

[Zdenek Kotala]

PKCS11 diktuje mnohem vice nez jak se starat o klice. Ma i sifrovaci funkce, digesty a podobne. Takze muze a take funguje naprosto samostatne. Viz specifikace. A je jen otazkou toho co se podstrci linkeru, ale API bude stejne.

[kuly]

Zkratka neni duvod nepouzit OpenSSL, proc tolik reci?

[Filip Jirsák]

A?

[Michal Vyskočil]

... a pro někoho může být zajímavá podpora FIPS 140-2.

Nějak mi to vypadlo, naštěstí je to v odkazovaném dokumentu.

[Andrej Herceg]

Pracuje sa aj na tom, aby tá knižnica bola rýchlejšia? Napr. nedávno prerábal Linus sha1 funkciu v git a uverejnil aj porovnanie rýchlostí a tá funkcia je v knižnici OpenSSL oveľa rýchlejšia.

[wake]

promenna sha je pole 32 znaku. ne vsude je znak bajtovy.

[Filip Jirsák]

Výstup SHA jsou bajty, ne znaky.

[kuly]

Ale ta promena je definovana jako 32 charu a pak popsana jako 32 bajtu. A na tento nesoulad wake upozornil. Fildo, Fildo, ...

[Jiří Svoboda]

Ale to je správně, to je Céčko.

[Filip Jirsák]

Jak se v C jmenuje datový typ "8bitové číslo"?

[[exa]]

Trochu me mrzi ze se tak casto zapomina na GnuTLS a libgcrypt, prijdou mi na pouziti asi stokrat jednodussi nez OpenSSL. Nic proti, proste mi gnu nastroj sednul mnohem lip, navic me netizi licencni bordel a hrozna dokumentace, a spatlanina nesouvisejicich funkci (sifrovaci rutiny + BlockIO + TLS/SSL protokol ) v jedny knihovne :)

jinak teda abych byl konstruktivni a jen neremcal, podobny priklad na SHA1 using "GNU Way":

#include "gcrypt.h"  //...etc..

gcry_md_hd_t digest=0;
int num;
char buffer[4096];
FILE*instream=fopen("foo","rb");

gcry_md_open(&digest,GCRY_MD_SHA1,0);
while ((num = fread(buffer, 1, 4096, instream)) != 0)
    gcry_md_write (digest, buffer, num);

char * result = gcry_md_read (digest,0);

for(num=0; gcry_md_get_algo_dlen (GCRY_MD_SHA1) > num ; ++num)
    printf ("%02x",result[num]);
printf ("\n");
gcry_md_close (digest);

a nekamenujte me jestli vam to nepude skompilit napoprvy, psal sem to skoro zpameti.

[kuly]

a spatlanina nesouvisejicich funkci Ale ony spolu dost uzce souvisi.