当服务器验证客户端证书失败时，Tls 1.3客户端不会报告握手失败

Question

我有一个使用OpenSSL的C客户机，在服务器上的SSL_do_handshake（）调用期间，使用服务器端验证失败的证书时，该客户机的测试失败。当应用程序使用TLS 1.2时，服务器上的SSL_do_handshake（）故障将在客户端调用SSL_do_handshake（）作为故障返回值时报告给客户端。

在将我的应用程序升级到OpenSSL 1.1.1和TLS 1.3时，我注意到验证错误仍在服务器上发生，但不再向客户端报告。

我知道握手协议作为TLS 1.3的一部分被完全重写，但是看起来有了所有可用的各种回调，我应该能够在客户端以某种方式确定身份验证失败，而不必尝试向服务器写入数据。

还有其他人遇到过这种情况吗？他们能推荐一条前进的道路吗？

Answer 1

TLSv1中的服务器和客户端。2和TLSv1。3考虑握手完成后，他们都写了一个“完成”的消息，并收到一个来自对等体。这就是TLSv1中握手的样子。2（取自RFC5246）：

      Client                                               Server

      ClientHello                  -------->
                                                      ServerHello
                                                     Certificate*
                                               ServerKeyExchange*
                                              CertificateRequest*
                                   <--------      ServerHelloDone
      Certificate*
      ClientKeyExchange
      CertificateVerify*
      [ChangeCipherSpec]
      Finished                     -------->
                                               [ChangeCipherSpec]
                                   <--------             Finished
      Application Data             <------->     Application Data

因此，在这里您可以看到，客户机在与服务器的第二次通信中发送其证书和完成的消息。然后，它等待从服务器接收ChangeCipherSpec和完成的消息，然后再认为握手“完成”，并开始发送应用程序数据。

这是TLSv1的等效流量。3摘自RFC8446：

       Client                                           Server

Key  ^ ClientHello
Exch | + key_share*
     | + signature_algorithms*
     | + psk_key_exchange_modes*
     v + pre_shared_key*       -------->
                                                  ServerHello  ^ Key
                                                 + key_share*  | Exch
                                            + pre_shared_key*  v
                                        {EncryptedExtensions}  ^  Server
                                        {CertificateRequest*}  v  Params
                                               {Certificate*}  ^
                                         {CertificateVerify*}  | Auth
                                                   {Finished}  v
                               <--------  [Application Data*]
     ^ {Certificate*}
Auth | {CertificateVerify*}
     v {Finished}              -------->
       [Application Data]      <------->  [Application Data]

TLSv1的优点之一。3是它加快了完成握手所需的时间。在TLSv1中。3.客户端从服务器接收“已完成”消息，然后再发送其证书和已完成的消息。当客户端发送其“已完成”消息时，它已经收到“已完成”消息，因此握手已经完成，它可以立即开始发送应用程序数据。

当然，这意味着客户机在下次从服务器读取数据之前不知道服务器是否接受了证书。如果它已被拒绝，那么客户端将读取的下一个内容将是故障警报（否则将是正常的应用程序数据）。

我知道握手协议作为TLS 1.3的一部分被完全重写，但是看起来有了所有可用的各种回调，我应该能够在客户端以某种方式确定身份验证失败，而不必尝试向服务器写入数据。

重要的不是向服务器写入数据，而是读取数据。只有这样，您才能知道服务器是否发送了警报，或者只是发送了正常的应用程序数据。在读取数据之前，OpenSSL中没有任何回调可以告诉您这一点，因为由于底层协议的原因，OpenSSL本身不知道。