安全断开asio SSL套接字的正确方法是什么?

What is the proper way to securely disconnect an asio SSL socket?

本文关键字：方法 是什么 断开 asio SSL 套接字 安全      更新时间：2023-10-16

boost-asio SSL/TLS TCP套接字作为ssl::stream在tcp::socket上实现:

boost::asio::ssl::stream<boost::asio::ip::tcp::socket> ssl_socket;

在TLS协议中，加密安全关闭涉及各方交换close_notify消息。简单地关闭最低层可能使会话容易受到截断攻击。

在boost asio ssl async_shutdown总是以一个错误结束?@Tanner Sansbury用许多场景详细描述了SSL关闭过程，并建议在关闭套接字之前使用async_shutdown和async_write断开SSL流:

ssl_socket.async_shutdown(...);
const char buffer[] = "";
async_write(ssl_socket, buffer, [](...) { ssl_socket.close(); })

在ssl::stream上执行async_shutdown将发送SSL close_notify消息并等待另一端的响应。在async_shutdown之后写入流的目的是在async_shutdown发送close_notify之后得到通知，以便套接字可以在不等待响应的情况下关闭。然而，在当前(1.59)版本的boost中，对async_write的调用失败了…

如何优雅地关闭一个boost asio ssl客户端?@maxschlepzig建议关闭底层TCP套接字的接收器:

ssl_socket.lowest_layer()::shutdown(tcp::socket::shutdown_receive);

这将产生一个short read错误，当在错误处理程序中检测到async_shutdown时将调用它:

// const boost::system::error_code &ec
if (ec.category() == asio::error::get_ssl_category() &&
  ec.value()    == ERR_PACK(ERR_LIB_SSL, 0, SSL_R_SHORT_READ))
{
  // -> not a real error:
  do_ssl_async_shutdown();
}

或者取消对套接字的读/写操作，然后调用SSL异步关闭，即:

boost::system::error_code ec;
ssl_socket.cancel(ec);
ssl_socket.async_shutdown([](...) { ssl_socket.close(); };

我目前使用最后一个方法，因为它适用于当前版本的boost。

安全断开boost-asio SSL套接字的正确/最佳方法是什么?

要安全地断开连接，请执行关闭操作，然后在关闭完成后关闭底层传输。因此，您当前使用的方法将执行安全断开连接:

boost::system::error_code ec;
ssl_socket.cancel(ec);
ssl_socket.async_shutdown([](...) { ssl_socket.close(); };

请注意，当前的async_shutdown操作将被认为完成，当:

  • 远端收到close_notify。
  • 远端对等体关闭套接字。
  • 操作已被取消。

因此，如果资源被绑定到套接字或连接的生命周期，那么这些资源将保持活动状态，等待远程对等端采取行动或直到操作在本地被取消。但是，等待close_notify响应并不是安全关闭所必需的。如果资源被绑定到连接，并且在发送关闭时本地连接被认为是死亡的，那么不等待远程对等端采取行动可能是值得的:

ssl_socket.async_shutdown(...);
const char buffer[] = "";
async_write(ssl_socket, boost::asio::buffer(buffer),
    [](...) { ssl_socket.close(); })

当客户端发送close_notify消息时，客户端保证客户端不会通过安全连接发送额外的数据。本质上，async_write()被用来检测客户端何时发送了close_notify，并在完成处理程序中关闭底层传输，导致async_shutdown()与boost::asio::error::operation_aborted完成。如链接答案中所述，async_write()操作预计会失败。

…当 parta 的SSL流的写端关闭时，async_write()操作将失败，并显示一个SSL错误，表明协议已关闭。

if ((error.category() == boost::asio::error::get_ssl_category())
     && (SSL_R_PROTOCOL_IS_SHUTDOWN == ERR_GET_REASON(error.value())))
{
  ssl_stream.lowest_layer().close();
}

失败的async_write()操作将显式关闭底层传输，导致正在等待乙方的close_notify的async_shutdown()操作被取消。

我回答这个问题可能有点晚了，但我想报告一下我的经历。到目前为止，这个解决方案(使用boost 1.78)没有在客户端和服务器上产生任何可见的错误:

// sock type is boost::asio::ssl::stream<boost::asio::ip::tcp::socket>
sock->shutdown(ec);       
sock->lowest_layer().shutdown(boost::asio::ip::tcp::socket::shutdown_both, ec);
sock->lowest_layer().cancel(ec);
sock->lowest_layer().close();

沙箱服务器:openssl s_server -cert server.crt -key server.key -4 -debug

使用此解决方案，服务器在sock->shutdown(ec)之后获得此值。

read from 0x55e5dff8c960 [0x55e5dff810f8] (19 bytes => 19 (0x13))
0000 - 44 bc 11 5b a9 b4 ee 51-48 e0 18 f7 99 a7 a8 a9   D..[...QH.......
0010 - 21 1a 60                                          !.`
DONE
shutting down SSL
CONNECTION CLOSED

在我使用此代码(用于普通TCP和ssl套接字)之前

sock->lowest_layer().shutdown(boost::asio::ip::tcp::socket::shutdown_both, ec);
sock->lowest_layer().cancel(ec);
sock->lowest_layer().close();

旧代码在使用ssl套接字时，在服务器上产生以下错误:

read from 0x55eb3d40b430 [0x55eb3d423513] (5 bytes => 0 (0x0))
ERROR
shutting down SSL
CONNECTION CLOSED
如前所述，为了避免这种行为，客户端应该使用ssl::stream::async_shutdown或ssl::stream::shutdown 发送close_notify。

如果您想利用async_shutdown()函数而不是同步的shutdown()

，那么async_write()的技巧可能会很有用
相关文章：