实验: 如何完成一次证书冒充攻击

---

一.思路

这个demo用于示范一个没有加入服务端证书验证的客户端是多么容易遭到一个持有无关证书的恶意攻击者攻击。在openssl中需要我们进行手动添加证书验证，实验中我们将看到，如果没有进行这一步骤，那么任何一个服务器都可以取代原先的服务器进行连接。
服务器采用的证书是经过CA认证的，而敌手持有的证书只是一个自签名证书，之后我们可以看到使用安全API和不安全API对于这两个连接的反应是不一样的。

二.准备工作

首先我们建立一个CA，用于生成实验中要用到的各种证书。将openssl中的CA.sh复制到实验目录下，并执行sh ./CA.sh -newca建立一个新的CA，这里我新建了一个3072bitRSA密钥作为CA的签名密钥，默认的CA.sh是建立1024位的RSA公钥，但是这个位数可以openssl安装目录下的openssl.cnf中修改。之后为私钥选定一个用于签发证书的口令以及自签名证书的各项名称即可。
接下来要做的是生成密钥作为服务器端私钥，可以采用DH密钥，我选择的是1024bitDSA私钥，在终端下执行命令：openssl dsaparam -genkey 1024 -out dh_1024.pem，生成一个名为dh_1024.pem的1024bitDSA私钥。之后生成证书请求文件，使用命令:openssl req -new -key dh_1024.pem -out dh_1024_csr.pem，这个证书请求中的各项名称除了DN之外和CA证书中的都相同，然后使用demoCA中的证书对其进行签名：openssl ca -in dh_1024_csr.pem -out dh_1024_crt.pem,得到名为dh_1024_crt.pem的证书。
我们之后还要创建一个未经认证的证书，因为是攻击者的证书，所以他是得不到CA的认证的，也就是说这个得不到CA认证的证书只能是一个自签名证书。敌手持有的私钥也是一个1024bit的DSA私钥，采用另外一种生成DSA私钥的途径：openssl dsaparam -out dh_1024_a.pem 1024,生成一个1024位的DSA参数，接下来利用这个DSA参数生成一个自签名证书：openssl req -x509 -newkey dsa:dh_1024_a.pem -keyout dh_1024_a.pem -out dh_1024_crt_a.pem，这个证书和配套的私钥是给敌手用的。
由于上面生成的证书中都是DSA签名密钥，不能被用于密钥交换，所以我们还需要生成一个用于密钥交换的临时公钥参数，使用命令openssl dhparam -out dh_2048.pem 2048创建一个2048bit的DH参数文件，这个参数代表了我们一会实际的密钥交换中将要使用的参数。

三.一个openssl的demo与关键代码

openssl的demo在网络上随处可见，我们可以编写一个架设在本机上的客户端-服务器结构，之后添加验证的代码。
服务器端使用私钥和证书的代码：

SSL_CTX_use_PrivateKey_file(ssl_ctx,valid_key,SSL_FILETYPE_PEM);
SSL_CTX_use_certificate_file(ssl_ctx,valid_cert,SSL_FILETYPE_PEM);
if(SSL_CTX_check_private_key(ssl_ctx)<0)
   throw runtime_error("private key and certificate error");

客户端加载CA以及设置验证位的代码：

SSL_CTX_set_verify(ssl_ctx,SSL_VERIFY_PEER,NULL);
if(!SSL_CTX_load_verify_locations(ssl_ctx,ca_cert,NULL))
    throw runtime_error("CA certificate load error");

其中的证书及私钥路径需要根据自己的配置调整。
这个时候，如果使用之前生成的正常证书的话是可以正常进行TLS通信的，但是如果换成之前生成的恶意证书，则会发现TLS握手过程失败。这个时候我们注释掉SSL_CTX_set_verify这条语句，就会发现即使使用了非法的证书，TLS握手过程仍然可以成功。这也就说明了当在编写openssl应用的时候应该显示的设置证书的验证，不然很容易受到敌手采用非法身份建立连接的威胁。