Don't fail the connection in SSLv3 if server selects ECDHE
[openssl.git] / ssl / statem / statem_clnt.c
1 /*
2  * Copyright 1995-2016 The OpenSSL Project Authors. All Rights Reserved.
3  *
4  * Licensed under the OpenSSL license (the "License").  You may not use
5  * this file except in compliance with the License.  You can obtain a copy
6  * in the file LICENSE in the source distribution or at
7  * https://www.openssl.org/source/license.html
8  */
9
10 /* ====================================================================
11  * Copyright 2002 Sun Microsystems, Inc. ALL RIGHTS RESERVED.
12  *
13  * Portions of the attached software ("Contribution") are developed by
14  * SUN MICROSYSTEMS, INC., and are contributed to the OpenSSL project.
15  *
16  * The Contribution is licensed pursuant to the OpenSSL open source
17  * license provided above.
18  *
19  * ECC cipher suite support in OpenSSL originally written by
20  * Vipul Gupta and Sumit Gupta of Sun Microsystems Laboratories.
21  *
22  */
23 /* ====================================================================
24  * Copyright 2005 Nokia. All rights reserved.
25  *
26  * The portions of the attached software ("Contribution") is developed by
27  * Nokia Corporation and is licensed pursuant to the OpenSSL open source
28  * license.
29  *
30  * The Contribution, originally written by Mika Kousa and Pasi Eronen of
31  * Nokia Corporation, consists of the "PSK" (Pre-Shared Key) ciphersuites
32  * support (see RFC 4279) to OpenSSL.
33  *
34  * No patent licenses or other rights except those expressly stated in
35  * the OpenSSL open source license shall be deemed granted or received
36  * expressly, by implication, estoppel, or otherwise.
37  *
38  * No assurances are provided by Nokia that the Contribution does not
39  * infringe the patent or other intellectual property rights of any third
40  * party or that the license provides you with all the necessary rights
41  * to make use of the Contribution.
42  *
43  * THE SOFTWARE IS PROVIDED "AS IS" WITHOUT WARRANTY OF ANY KIND. IN
44  * ADDITION TO THE DISCLAIMERS INCLUDED IN THE LICENSE, NOKIA
45  * SPECIFICALLY DISCLAIMS ANY LIABILITY FOR CLAIMS BROUGHT BY YOU OR ANY
46  * OTHER ENTITY BASED ON INFRINGEMENT OF INTELLECTUAL PROPERTY RIGHTS OR
47  * OTHERWISE.
48  */
49
50 #include <stdio.h>
51 #include <time.h>
52 #include "../ssl_locl.h"
53 #include "statem_locl.h"
54 #include <openssl/buffer.h>
55 #include <openssl/rand.h>
56 #include <openssl/objects.h>
57 #include <openssl/evp.h>
58 #include <openssl/md5.h>
59 #include <openssl/dh.h>
60 #include <openssl/bn.h>
61 #include <openssl/engine.h>
62
63 static MSG_PROCESS_RETURN tls_process_hello_retry_request(SSL *s, PACKET *pkt);
64 static MSG_PROCESS_RETURN tls_process_encrypted_extensions(SSL *s, PACKET *pkt);
65
66 static ossl_inline int cert_req_allowed(SSL *s);
67 static int key_exchange_expected(SSL *s);
68 static int ssl_cipher_list_to_bytes(SSL *s, STACK_OF(SSL_CIPHER) *sk,
69                                     WPACKET *pkt);
70
71 /*
72  * Is a CertificateRequest message allowed at the moment or not?
73  *
74  *  Return values are:
75  *  1: Yes
76  *  0: No
77  */
78 static ossl_inline int cert_req_allowed(SSL *s)
79 {
80     /* TLS does not like anon-DH with client cert */
81     if ((s->version > SSL3_VERSION
82          && (s->s3->tmp.new_cipher->algorithm_auth & SSL_aNULL))
83         || (s->s3->tmp.new_cipher->algorithm_auth & (SSL_aSRP | SSL_aPSK)))
84         return 0;
85
86     return 1;
87 }
88
89 /*
90  * Should we expect the ServerKeyExchange message or not?
91  *
92  *  Return values are:
93  *  1: Yes
94  *  0: No
95  */
96 static int key_exchange_expected(SSL *s)
97 {
98     long alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
99
100     /*
101      * Can't skip server key exchange if this is an ephemeral
102      * ciphersuite or for SRP
103      */
104     if (alg_k & (SSL_kDHE | SSL_kECDHE | SSL_kDHEPSK | SSL_kECDHEPSK
105                  | SSL_kSRP)) {
106         return 1;
107     }
108
109     return 0;
110 }
111
112 /*
113  * ossl_statem_client_read_transition() encapsulates the logic for the allowed
114  * handshake state transitions when a TLS1.3 client is reading messages from the
115  * server. The message type that the server has sent is provided in |mt|. The
116  * current state is in |s->statem.hand_state|.
117  *
118  * Return values are 1 for success (transition allowed) and  0 on error
119  * (transition not allowed)
120  */
121 static int ossl_statem_client13_read_transition(SSL *s, int mt)
122 {
123     OSSL_STATEM *st = &s->statem;
124
125     /*
126      * Note: There is no case for TLS_ST_CW_CLNT_HELLO, because we haven't
127      * yet negotiated TLSv1.3 at that point so that is handled by
128      * ossl_statem_client_read_transition()
129      */
130
131     switch (st->hand_state) {
132     default:
133         break;
134
135     case TLS_ST_CW_CLNT_HELLO:
136         /*
137          * This must a ClientHello following a HelloRetryRequest, so the only
138          * thing we can get now is a ServerHello.
139          */
140         if (mt == SSL3_MT_SERVER_HELLO) {
141             st->hand_state = TLS_ST_CR_SRVR_HELLO;
142             return 1;
143         }
144         break;
145
146     case TLS_ST_CR_SRVR_HELLO:
147         if (mt == SSL3_MT_ENCRYPTED_EXTENSIONS) {
148             st->hand_state = TLS_ST_CR_ENCRYPTED_EXTENSIONS;
149             return 1;
150         }
151         break;
152
153     case TLS_ST_CR_ENCRYPTED_EXTENSIONS:
154         if (s->hit) {
155             if (mt == SSL3_MT_FINISHED) {
156                 st->hand_state = TLS_ST_CR_FINISHED;
157                 return 1;
158             }
159         } else {
160             if (mt == SSL3_MT_CERTIFICATE_REQUEST) {
161                 st->hand_state = TLS_ST_CR_CERT_REQ;
162                 return 1;
163             }
164             if (mt == SSL3_MT_CERTIFICATE) {
165                 st->hand_state = TLS_ST_CR_CERT;
166                 return 1;
167             }
168         }
169         break;
170
171     case TLS_ST_CR_CERT_REQ:
172         if (mt == SSL3_MT_CERTIFICATE) {
173             st->hand_state = TLS_ST_CR_CERT;
174             return 1;
175         }
176         break;
177
178     case TLS_ST_CR_CERT:
179         if (mt == SSL3_MT_CERTIFICATE_VERIFY) {
180             st->hand_state = TLS_ST_CR_CERT_VRFY;
181             return 1;
182         }
183         break;
184
185     case TLS_ST_CR_CERT_VRFY:
186         if (mt == SSL3_MT_FINISHED) {
187             st->hand_state = TLS_ST_CR_FINISHED;
188             return 1;
189         }
190         break;
191
192     case TLS_ST_OK:
193         if (mt == SSL3_MT_NEWSESSION_TICKET) {
194             st->hand_state = TLS_ST_CR_SESSION_TICKET;
195             return 1;
196         }
197         if (mt == SSL3_MT_KEY_UPDATE) {
198             st->hand_state = TLS_ST_CR_KEY_UPDATE;
199             return 1;
200         }
201         break;
202     }
203
204     /* No valid transition found */
205     return 0;
206 }
207
208 /*
209  * ossl_statem_client_read_transition() encapsulates the logic for the allowed
210  * handshake state transitions when the client is reading messages from the
211  * server. The message type that the server has sent is provided in |mt|. The
212  * current state is in |s->statem.hand_state|.
213  *
214  * Return values are 1 for success (transition allowed) and  0 on error
215  * (transition not allowed)
216  */
217 int ossl_statem_client_read_transition(SSL *s, int mt)
218 {
219     OSSL_STATEM *st = &s->statem;
220     int ske_expected;
221
222     /*
223      * Note that after writing the first ClientHello we don't know what version
224      * we are going to negotiate yet, so we don't take this branch until later.
225      */
226     if (SSL_IS_TLS13(s)) {
227         if (!ossl_statem_client13_read_transition(s, mt))
228             goto err;
229         return 1;
230     }
231
232     switch (st->hand_state) {
233     default:
234         break;
235
236     case TLS_ST_CW_CLNT_HELLO:
237         if (mt == SSL3_MT_SERVER_HELLO) {
238             st->hand_state = TLS_ST_CR_SRVR_HELLO;
239             return 1;
240         }
241
242         if (SSL_IS_DTLS(s)) {
243             if (mt == DTLS1_MT_HELLO_VERIFY_REQUEST) {
244                 st->hand_state = DTLS_ST_CR_HELLO_VERIFY_REQUEST;
245                 return 1;
246             }
247         } else {
248             if (mt == SSL3_MT_HELLO_RETRY_REQUEST) {
249                 st->hand_state = TLS_ST_CR_HELLO_RETRY_REQUEST;
250                 return 1;
251             }
252         }
253         break;
254
255     case TLS_ST_EARLY_DATA:
256         /*
257          * We've not actually selected TLSv1.3 yet, but we have sent early
258          * data. The only thing allowed now is a ServerHello or a
259          * HelloRetryRequest.
260          */
261         if (mt == SSL3_MT_SERVER_HELLO) {
262             st->hand_state = TLS_ST_CR_SRVR_HELLO;
263             return 1;
264         }
265         if (mt == SSL3_MT_HELLO_RETRY_REQUEST) {
266             st->hand_state = TLS_ST_CR_HELLO_RETRY_REQUEST;
267             return 1;
268         }
269         break;
270
271     case TLS_ST_CR_SRVR_HELLO:
272         if (s->hit) {
273             if (s->ext.ticket_expected) {
274                 if (mt == SSL3_MT_NEWSESSION_TICKET) {
275                     st->hand_state = TLS_ST_CR_SESSION_TICKET;
276                     return 1;
277                 }
278             } else if (mt == SSL3_MT_CHANGE_CIPHER_SPEC) {
279                 st->hand_state = TLS_ST_CR_CHANGE;
280                 return 1;
281             }
282         } else {
283             if (SSL_IS_DTLS(s) && mt == DTLS1_MT_HELLO_VERIFY_REQUEST) {
284                 st->hand_state = DTLS_ST_CR_HELLO_VERIFY_REQUEST;
285                 return 1;
286             } else if (s->version >= TLS1_VERSION
287                        && s->ext.session_secret_cb != NULL
288                        && s->session->ext.tick != NULL
289                        && mt == SSL3_MT_CHANGE_CIPHER_SPEC) {
290                 /*
291                  * Normally, we can tell if the server is resuming the session
292                  * from the session ID. EAP-FAST (RFC 4851), however, relies on
293                  * the next server message after the ServerHello to determine if
294                  * the server is resuming.
295                  */
296                 s->hit = 1;
297                 st->hand_state = TLS_ST_CR_CHANGE;
298                 return 1;
299             } else if (!(s->s3->tmp.new_cipher->algorithm_auth
300                          & (SSL_aNULL | SSL_aSRP | SSL_aPSK))) {
301                 if (mt == SSL3_MT_CERTIFICATE) {
302                     st->hand_state = TLS_ST_CR_CERT;
303                     return 1;
304                 }
305             } else {
306                 ske_expected = key_exchange_expected(s);
307                 /* SKE is optional for some PSK ciphersuites */
308                 if (ske_expected
309                     || ((s->s3->tmp.new_cipher->algorithm_mkey & SSL_PSK)
310                         && mt == SSL3_MT_SERVER_KEY_EXCHANGE)) {
311                     if (mt == SSL3_MT_SERVER_KEY_EXCHANGE) {
312                         st->hand_state = TLS_ST_CR_KEY_EXCH;
313                         return 1;
314                     }
315                 } else if (mt == SSL3_MT_CERTIFICATE_REQUEST
316                            && cert_req_allowed(s)) {
317                     st->hand_state = TLS_ST_CR_CERT_REQ;
318                     return 1;
319                 } else if (mt == SSL3_MT_SERVER_DONE) {
320                     st->hand_state = TLS_ST_CR_SRVR_DONE;
321                     return 1;
322                 }
323             }
324         }
325         break;
326
327     case TLS_ST_CR_CERT:
328         /*
329          * The CertificateStatus message is optional even if
330          * |ext.status_expected| is set
331          */
332         if (s->ext.status_expected && mt == SSL3_MT_CERTIFICATE_STATUS) {
333             st->hand_state = TLS_ST_CR_CERT_STATUS;
334             return 1;
335         }
336         /* Fall through */
337
338     case TLS_ST_CR_CERT_STATUS:
339         ske_expected = key_exchange_expected(s);
340         /* SKE is optional for some PSK ciphersuites */
341         if (ske_expected || ((s->s3->tmp.new_cipher->algorithm_mkey & SSL_PSK)
342                              && mt == SSL3_MT_SERVER_KEY_EXCHANGE)) {
343             if (mt == SSL3_MT_SERVER_KEY_EXCHANGE) {
344                 st->hand_state = TLS_ST_CR_KEY_EXCH;
345                 return 1;
346             }
347             goto err;
348         }
349         /* Fall through */
350
351     case TLS_ST_CR_KEY_EXCH:
352         if (mt == SSL3_MT_CERTIFICATE_REQUEST) {
353             if (cert_req_allowed(s)) {
354                 st->hand_state = TLS_ST_CR_CERT_REQ;
355                 return 1;
356             }
357             goto err;
358         }
359         /* Fall through */
360
361     case TLS_ST_CR_CERT_REQ:
362         if (mt == SSL3_MT_SERVER_DONE) {
363             st->hand_state = TLS_ST_CR_SRVR_DONE;
364             return 1;
365         }
366         break;
367
368     case TLS_ST_CW_FINISHED:
369         if (s->ext.ticket_expected) {
370             if (mt == SSL3_MT_NEWSESSION_TICKET) {
371                 st->hand_state = TLS_ST_CR_SESSION_TICKET;
372                 return 1;
373             }
374         } else if (mt == SSL3_MT_CHANGE_CIPHER_SPEC) {
375             st->hand_state = TLS_ST_CR_CHANGE;
376             return 1;
377         }
378         break;
379
380     case TLS_ST_CR_SESSION_TICKET:
381         if (mt == SSL3_MT_CHANGE_CIPHER_SPEC) {
382             st->hand_state = TLS_ST_CR_CHANGE;
383             return 1;
384         }
385         break;
386
387     case TLS_ST_CR_CHANGE:
388         if (mt == SSL3_MT_FINISHED) {
389             st->hand_state = TLS_ST_CR_FINISHED;
390             return 1;
391         }
392         break;
393
394     case TLS_ST_OK:
395         if (mt == SSL3_MT_HELLO_REQUEST) {
396             st->hand_state = TLS_ST_CR_HELLO_REQ;
397             return 1;
398         }
399         break;
400     }
401
402  err:
403     /* No valid transition found */
404     ssl3_send_alert(s, SSL3_AL_FATAL, SSL3_AD_UNEXPECTED_MESSAGE);
405     SSLerr(SSL_F_OSSL_STATEM_CLIENT_READ_TRANSITION, SSL_R_UNEXPECTED_MESSAGE);
406     return 0;
407 }
408
409 /*
410  * ossl_statem_client13_write_transition() works out what handshake state to
411  * move to next when the TLSv1.3 client is writing messages to be sent to the
412  * server.
413  */
414 static WRITE_TRAN ossl_statem_client13_write_transition(SSL *s)
415 {
416     OSSL_STATEM *st = &s->statem;
417
418     /*
419      * Note: There are no cases for TLS_ST_BEFORE because we haven't negotiated
420      * TLSv1.3 yet at that point. They are handled by
421      * ossl_statem_client_write_transition().
422      */
423     switch (st->hand_state) {
424     default:
425         /* Shouldn't happen */
426         return WRITE_TRAN_ERROR;
427
428     case TLS_ST_CW_CLNT_HELLO:
429         /* We only hit this in the case of HelloRetryRequest */
430         return WRITE_TRAN_FINISHED;
431
432     case TLS_ST_CR_HELLO_RETRY_REQUEST:
433         st->hand_state = TLS_ST_CW_CLNT_HELLO;
434         return WRITE_TRAN_CONTINUE;
435
436     case TLS_ST_CR_FINISHED:
437         if (s->early_data_state == SSL_EARLY_DATA_WRITE_RETRY
438                 || s->early_data_state == SSL_EARLY_DATA_FINISHED_WRITING)
439             st->hand_state = TLS_ST_PENDING_EARLY_DATA_END;
440         else
441             st->hand_state = (s->s3->tmp.cert_req != 0) ? TLS_ST_CW_CERT
442                                                         : TLS_ST_CW_FINISHED;
443         return WRITE_TRAN_CONTINUE;
444
445     case TLS_ST_PENDING_EARLY_DATA_END:
446         if (s->ext.early_data == SSL_EARLY_DATA_ACCEPTED) {
447             st->hand_state = TLS_ST_CW_END_OF_EARLY_DATA;
448             return WRITE_TRAN_CONTINUE;
449         }
450         /* Fall through */
451
452     case TLS_ST_CW_END_OF_EARLY_DATA:
453         st->hand_state = (s->s3->tmp.cert_req != 0) ? TLS_ST_CW_CERT
454                                                     : TLS_ST_CW_FINISHED;
455         return WRITE_TRAN_CONTINUE;
456
457     case TLS_ST_CW_CERT:
458         /* If a non-empty Certificate we also send CertificateVerify */
459         st->hand_state = (s->s3->tmp.cert_req == 1) ? TLS_ST_CW_CERT_VRFY
460                                                     : TLS_ST_CW_FINISHED;
461         return WRITE_TRAN_CONTINUE;
462
463     case TLS_ST_CW_CERT_VRFY:
464         st->hand_state = TLS_ST_CW_FINISHED;
465         return WRITE_TRAN_CONTINUE;
466
467     case TLS_ST_CR_KEY_UPDATE:
468         if (s->key_update != SSL_KEY_UPDATE_NONE) {
469             st->hand_state = TLS_ST_CW_KEY_UPDATE;
470             return WRITE_TRAN_CONTINUE;
471         }
472         /* Fall through */
473
474     case TLS_ST_CW_KEY_UPDATE:
475     case TLS_ST_CR_SESSION_TICKET:
476     case TLS_ST_CW_FINISHED:
477         st->hand_state = TLS_ST_OK;
478         return WRITE_TRAN_CONTINUE;
479
480     case TLS_ST_OK:
481         if (s->key_update != SSL_KEY_UPDATE_NONE) {
482             st->hand_state = TLS_ST_CW_KEY_UPDATE;
483             return WRITE_TRAN_CONTINUE;
484         }
485
486         /* Try to read from the server instead */
487         return WRITE_TRAN_FINISHED;
488     }
489 }
490
491 /*
492  * ossl_statem_client_write_transition() works out what handshake state to
493  * move to next when the client is writing messages to be sent to the server.
494  */
495 WRITE_TRAN ossl_statem_client_write_transition(SSL *s)
496 {
497     OSSL_STATEM *st = &s->statem;
498
499     /*
500      * Note that immediately before/after a ClientHello we don't know what
501      * version we are going to negotiate yet, so we don't take this branch until
502      * later
503      */
504     if (SSL_IS_TLS13(s))
505         return ossl_statem_client13_write_transition(s);
506
507     switch (st->hand_state) {
508     default:
509         /* Shouldn't happen */
510         return WRITE_TRAN_ERROR;
511
512     case TLS_ST_OK:
513         if (!s->renegotiate) {
514             /*
515              * We haven't requested a renegotiation ourselves so we must have
516              * received a message from the server. Better read it.
517              */
518             return WRITE_TRAN_FINISHED;
519         }
520         /* Renegotiation - fall through */
521     case TLS_ST_BEFORE:
522         st->hand_state = TLS_ST_CW_CLNT_HELLO;
523         return WRITE_TRAN_CONTINUE;
524
525     case TLS_ST_CW_CLNT_HELLO:
526         if (s->early_data_state == SSL_EARLY_DATA_CONNECTING) {
527             /*
528              * We are assuming this is a TLSv1.3 connection, although we haven't
529              * actually selected a version yet.
530              */
531             st->hand_state = TLS_ST_EARLY_DATA;
532             return WRITE_TRAN_CONTINUE;
533         }
534         /*
535          * No transition at the end of writing because we don't know what
536          * we will be sent
537          */
538         return WRITE_TRAN_FINISHED;
539
540     case TLS_ST_EARLY_DATA:
541         return WRITE_TRAN_FINISHED;
542
543     case DTLS_ST_CR_HELLO_VERIFY_REQUEST:
544         st->hand_state = TLS_ST_CW_CLNT_HELLO;
545         return WRITE_TRAN_CONTINUE;
546
547     case TLS_ST_CR_SRVR_DONE:
548         if (s->s3->tmp.cert_req)
549             st->hand_state = TLS_ST_CW_CERT;
550         else
551             st->hand_state = TLS_ST_CW_KEY_EXCH;
552         return WRITE_TRAN_CONTINUE;
553
554     case TLS_ST_CW_CERT:
555         st->hand_state = TLS_ST_CW_KEY_EXCH;
556         return WRITE_TRAN_CONTINUE;
557
558     case TLS_ST_CW_KEY_EXCH:
559         /*
560          * For TLS, cert_req is set to 2, so a cert chain of nothing is
561          * sent, but no verify packet is sent
562          */
563         /*
564          * XXX: For now, we do not support client authentication in ECDH
565          * cipher suites with ECDH (rather than ECDSA) certificates. We
566          * need to skip the certificate verify message when client's
567          * ECDH public key is sent inside the client certificate.
568          */
569         if (s->s3->tmp.cert_req == 1) {
570             st->hand_state = TLS_ST_CW_CERT_VRFY;
571         } else {
572             st->hand_state = TLS_ST_CW_CHANGE;
573         }
574         if (s->s3->flags & TLS1_FLAGS_SKIP_CERT_VERIFY) {
575             st->hand_state = TLS_ST_CW_CHANGE;
576         }
577         return WRITE_TRAN_CONTINUE;
578
579     case TLS_ST_CW_CERT_VRFY:
580         st->hand_state = TLS_ST_CW_CHANGE;
581         return WRITE_TRAN_CONTINUE;
582
583     case TLS_ST_CW_CHANGE:
584 #if defined(OPENSSL_NO_NEXTPROTONEG)
585         st->
586         hand_state = TLS_ST_CW_FINISHED;
587 #else
588         if (!SSL_IS_DTLS(s) && s->s3->npn_seen)
589             st->hand_state = TLS_ST_CW_NEXT_PROTO;
590         else
591             st->hand_state = TLS_ST_CW_FINISHED;
592 #endif
593         return WRITE_TRAN_CONTINUE;
594
595 #if !defined(OPENSSL_NO_NEXTPROTONEG)
596     case TLS_ST_CW_NEXT_PROTO:
597         st->hand_state = TLS_ST_CW_FINISHED;
598         return WRITE_TRAN_CONTINUE;
599 #endif
600
601     case TLS_ST_CW_FINISHED:
602         if (s->hit) {
603             st->hand_state = TLS_ST_OK;
604             return WRITE_TRAN_CONTINUE;
605         } else {
606             return WRITE_TRAN_FINISHED;
607         }
608
609     case TLS_ST_CR_FINISHED:
610         if (s->hit) {
611             st->hand_state = TLS_ST_CW_CHANGE;
612             return WRITE_TRAN_CONTINUE;
613         } else {
614             st->hand_state = TLS_ST_OK;
615             return WRITE_TRAN_CONTINUE;
616         }
617
618     case TLS_ST_CR_HELLO_REQ:
619         /*
620          * If we can renegotiate now then do so, otherwise wait for a more
621          * convenient time.
622          */
623         if (ssl3_renegotiate_check(s, 1)) {
624             if (!tls_setup_handshake(s)) {
625                 ossl_statem_set_error(s);
626                 return WRITE_TRAN_ERROR;
627             }
628             st->hand_state = TLS_ST_CW_CLNT_HELLO;
629             return WRITE_TRAN_CONTINUE;
630         }
631         st->hand_state = TLS_ST_OK;
632         return WRITE_TRAN_CONTINUE;
633     }
634 }
635
636 /*
637  * Perform any pre work that needs to be done prior to sending a message from
638  * the client to the server.
639  */
640 WORK_STATE ossl_statem_client_pre_work(SSL *s, WORK_STATE wst)
641 {
642     OSSL_STATEM *st = &s->statem;
643
644     switch (st->hand_state) {
645     default:
646         /* No pre work to be done */
647         break;
648
649     case TLS_ST_CW_CLNT_HELLO:
650         s->shutdown = 0;
651         if (SSL_IS_DTLS(s)) {
652             /* every DTLS ClientHello resets Finished MAC */
653             if (!ssl3_init_finished_mac(s)) {
654                 ossl_statem_set_error(s);
655                 return WORK_ERROR;
656             }
657         }
658         break;
659
660     case TLS_ST_CW_CHANGE:
661         if (SSL_IS_DTLS(s)) {
662             if (s->hit) {
663                 /*
664                  * We're into the last flight so we don't retransmit these
665                  * messages unless we need to.
666                  */
667                 st->use_timer = 0;
668             }
669 #ifndef OPENSSL_NO_SCTP
670             if (BIO_dgram_is_sctp(SSL_get_wbio(s)))
671                 return dtls_wait_for_dry(s);
672 #endif
673         }
674         break;
675
676     case TLS_ST_PENDING_EARLY_DATA_END:
677         /*
678          * If we've been called by SSL_do_handshake()/SSL_write(), or we did not
679          * attempt to write early data before calling SSL_read() then we press
680          * on with the handshake. Otherwise we pause here.
681          */
682         if (s->early_data_state == SSL_EARLY_DATA_FINISHED_WRITING
683                 || s->early_data_state == SSL_EARLY_DATA_NONE)
684             return WORK_FINISHED_CONTINUE;
685         /* Fall through */
686
687     case TLS_ST_EARLY_DATA:
688     case TLS_ST_OK:
689         return tls_finish_handshake(s, wst, 1);
690     }
691
692     return WORK_FINISHED_CONTINUE;
693 }
694
695 /*
696  * Perform any work that needs to be done after sending a message from the
697  * client to the server.
698  */
699 WORK_STATE ossl_statem_client_post_work(SSL *s, WORK_STATE wst)
700 {
701     OSSL_STATEM *st = &s->statem;
702
703     s->init_num = 0;
704
705     switch (st->hand_state) {
706     default:
707         /* No post work to be done */
708         break;
709
710     case TLS_ST_CW_CLNT_HELLO:
711         if (wst == WORK_MORE_A && statem_flush(s) != 1)
712             return WORK_MORE_A;
713
714         if (SSL_IS_DTLS(s)) {
715             /* Treat the next message as the first packet */
716             s->first_packet = 1;
717         }
718
719         if (s->early_data_state == SSL_EARLY_DATA_CONNECTING
720                 && s->max_early_data > 0) {
721             /*
722              * We haven't selected TLSv1.3 yet so we don't call the change
723              * cipher state function associated with the SSL_METHOD. Instead
724              * we call tls13_change_cipher_state() directly.
725              */
726             if (!tls13_change_cipher_state(s,
727                         SSL3_CC_EARLY | SSL3_CHANGE_CIPHER_CLIENT_WRITE))
728                 return WORK_ERROR;
729         }
730         break;
731
732     case TLS_ST_CW_END_OF_EARLY_DATA:
733         /*
734          * We set the enc_write_ctx back to NULL because we may end up writing
735          * in cleartext again if we get a HelloRetryRequest from the server.
736          */
737         EVP_CIPHER_CTX_free(s->enc_write_ctx);
738         s->enc_write_ctx = NULL;
739         break;
740
741     case TLS_ST_CW_KEY_EXCH:
742         if (tls_client_key_exchange_post_work(s) == 0)
743             return WORK_ERROR;
744         break;
745
746     case TLS_ST_CW_CHANGE:
747         s->session->cipher = s->s3->tmp.new_cipher;
748 #ifdef OPENSSL_NO_COMP
749         s->session->compress_meth = 0;
750 #else
751         if (s->s3->tmp.new_compression == NULL)
752             s->session->compress_meth = 0;
753         else
754             s->session->compress_meth = s->s3->tmp.new_compression->id;
755 #endif
756         if (!s->method->ssl3_enc->setup_key_block(s))
757             return WORK_ERROR;
758
759         if (!s->method->ssl3_enc->change_cipher_state(s,
760                                                       SSL3_CHANGE_CIPHER_CLIENT_WRITE))
761             return WORK_ERROR;
762
763         if (SSL_IS_DTLS(s)) {
764 #ifndef OPENSSL_NO_SCTP
765             if (s->hit) {
766                 /*
767                  * Change to new shared key of SCTP-Auth, will be ignored if
768                  * no SCTP used.
769                  */
770                 BIO_ctrl(SSL_get_wbio(s), BIO_CTRL_DGRAM_SCTP_NEXT_AUTH_KEY,
771                          0, NULL);
772             }
773 #endif
774
775             dtls1_reset_seq_numbers(s, SSL3_CC_WRITE);
776         }
777         break;
778
779     case TLS_ST_CW_FINISHED:
780 #ifndef OPENSSL_NO_SCTP
781         if (wst == WORK_MORE_A && SSL_IS_DTLS(s) && s->hit == 0) {
782             /*
783              * Change to new shared key of SCTP-Auth, will be ignored if
784              * no SCTP used.
785              */
786             BIO_ctrl(SSL_get_wbio(s), BIO_CTRL_DGRAM_SCTP_NEXT_AUTH_KEY,
787                      0, NULL);
788         }
789 #endif
790         if (statem_flush(s) != 1)
791             return WORK_MORE_B;
792
793         if (SSL_IS_TLS13(s)) {
794             if (!s->method->ssl3_enc->change_cipher_state(s,
795                         SSL3_CC_APPLICATION | SSL3_CHANGE_CIPHER_CLIENT_WRITE))
796             return WORK_ERROR;
797         }
798         break;
799
800     case TLS_ST_CW_KEY_UPDATE:
801         if (statem_flush(s) != 1)
802             return WORK_MORE_A;
803         if (!tls13_update_key(s, 1))
804             return WORK_ERROR;
805         break;
806     }
807
808     return WORK_FINISHED_CONTINUE;
809 }
810
811 /*
812  * Get the message construction function and message type for sending from the
813  * client
814  *
815  * Valid return values are:
816  *   1: Success
817  *   0: Error
818  */
819 int ossl_statem_client_construct_message(SSL *s, WPACKET *pkt,
820                                          confunc_f *confunc, int *mt)
821 {
822     OSSL_STATEM *st = &s->statem;
823
824     switch (st->hand_state) {
825     default:
826         /* Shouldn't happen */
827         return 0;
828
829     case TLS_ST_CW_CHANGE:
830         if (SSL_IS_DTLS(s))
831             *confunc = dtls_construct_change_cipher_spec;
832         else
833             *confunc = tls_construct_change_cipher_spec;
834         *mt = SSL3_MT_CHANGE_CIPHER_SPEC;
835         break;
836
837     case TLS_ST_CW_CLNT_HELLO:
838         *confunc = tls_construct_client_hello;
839         *mt = SSL3_MT_CLIENT_HELLO;
840         break;
841
842     case TLS_ST_CW_END_OF_EARLY_DATA:
843         *confunc = tls_construct_end_of_early_data;
844         *mt = SSL3_MT_END_OF_EARLY_DATA;
845         break;
846
847     case TLS_ST_PENDING_EARLY_DATA_END:
848         *confunc = NULL;
849         *mt = SSL3_MT_DUMMY;
850         break;
851
852     case TLS_ST_CW_CERT:
853         *confunc = tls_construct_client_certificate;
854         *mt = SSL3_MT_CERTIFICATE;
855         break;
856
857     case TLS_ST_CW_KEY_EXCH:
858         *confunc = tls_construct_client_key_exchange;
859         *mt = SSL3_MT_CLIENT_KEY_EXCHANGE;
860         break;
861
862     case TLS_ST_CW_CERT_VRFY:
863         *confunc = tls_construct_cert_verify;
864         *mt = SSL3_MT_CERTIFICATE_VERIFY;
865         break;
866
867 #if !defined(OPENSSL_NO_NEXTPROTONEG)
868     case TLS_ST_CW_NEXT_PROTO:
869         *confunc = tls_construct_next_proto;
870         *mt = SSL3_MT_NEXT_PROTO;
871         break;
872 #endif
873     case TLS_ST_CW_FINISHED:
874         *confunc = tls_construct_finished;
875         *mt = SSL3_MT_FINISHED;
876         break;
877
878     case TLS_ST_CW_KEY_UPDATE:
879         *confunc = tls_construct_key_update;
880         *mt = SSL3_MT_KEY_UPDATE;
881         break;
882     }
883
884     return 1;
885 }
886
887 /*
888  * Returns the maximum allowed length for the current message that we are
889  * reading. Excludes the message header.
890  */
891 size_t ossl_statem_client_max_message_size(SSL *s)
892 {
893     OSSL_STATEM *st = &s->statem;
894
895     switch (st->hand_state) {
896     default:
897         /* Shouldn't happen */
898         return 0;
899
900     case TLS_ST_CR_SRVR_HELLO:
901         return SERVER_HELLO_MAX_LENGTH;
902
903     case DTLS_ST_CR_HELLO_VERIFY_REQUEST:
904         return HELLO_VERIFY_REQUEST_MAX_LENGTH;
905
906     case TLS_ST_CR_HELLO_RETRY_REQUEST:
907         return HELLO_RETRY_REQUEST_MAX_LENGTH;
908
909     case TLS_ST_CR_CERT:
910         return s->max_cert_list;
911
912     case TLS_ST_CR_CERT_VRFY:
913         return SSL3_RT_MAX_PLAIN_LENGTH;
914
915     case TLS_ST_CR_CERT_STATUS:
916         return SSL3_RT_MAX_PLAIN_LENGTH;
917
918     case TLS_ST_CR_KEY_EXCH:
919         return SERVER_KEY_EXCH_MAX_LENGTH;
920
921     case TLS_ST_CR_CERT_REQ:
922         /*
923          * Set to s->max_cert_list for compatibility with previous releases. In
924          * practice these messages can get quite long if servers are configured
925          * to provide a long list of acceptable CAs
926          */
927         return s->max_cert_list;
928
929     case TLS_ST_CR_SRVR_DONE:
930         return SERVER_HELLO_DONE_MAX_LENGTH;
931
932     case TLS_ST_CR_CHANGE:
933         if (s->version == DTLS1_BAD_VER)
934             return 3;
935         return CCS_MAX_LENGTH;
936
937     case TLS_ST_CR_SESSION_TICKET:
938         return SSL3_RT_MAX_PLAIN_LENGTH;
939
940     case TLS_ST_CR_FINISHED:
941         return FINISHED_MAX_LENGTH;
942
943     case TLS_ST_CR_ENCRYPTED_EXTENSIONS:
944         return ENCRYPTED_EXTENSIONS_MAX_LENGTH;
945
946     case TLS_ST_CR_KEY_UPDATE:
947         return KEY_UPDATE_MAX_LENGTH;
948     }
949 }
950
951 /*
952  * Process a message that the client has been received from the server.
953  */
954 MSG_PROCESS_RETURN ossl_statem_client_process_message(SSL *s, PACKET *pkt)
955 {
956     OSSL_STATEM *st = &s->statem;
957
958     switch (st->hand_state) {
959     default:
960         /* Shouldn't happen */
961         return MSG_PROCESS_ERROR;
962
963     case TLS_ST_CR_SRVR_HELLO:
964         return tls_process_server_hello(s, pkt);
965
966     case DTLS_ST_CR_HELLO_VERIFY_REQUEST:
967         return dtls_process_hello_verify(s, pkt);
968
969     case TLS_ST_CR_HELLO_RETRY_REQUEST:
970         return tls_process_hello_retry_request(s, pkt);
971
972     case TLS_ST_CR_CERT:
973         return tls_process_server_certificate(s, pkt);
974
975     case TLS_ST_CR_CERT_VRFY:
976         return tls_process_cert_verify(s, pkt);
977
978     case TLS_ST_CR_CERT_STATUS:
979         return tls_process_cert_status(s, pkt);
980
981     case TLS_ST_CR_KEY_EXCH:
982         return tls_process_key_exchange(s, pkt);
983
984     case TLS_ST_CR_CERT_REQ:
985         return tls_process_certificate_request(s, pkt);
986
987     case TLS_ST_CR_SRVR_DONE:
988         return tls_process_server_done(s, pkt);
989
990     case TLS_ST_CR_CHANGE:
991         return tls_process_change_cipher_spec(s, pkt);
992
993     case TLS_ST_CR_SESSION_TICKET:
994         return tls_process_new_session_ticket(s, pkt);
995
996     case TLS_ST_CR_FINISHED:
997         return tls_process_finished(s, pkt);
998
999     case TLS_ST_CR_HELLO_REQ:
1000         return tls_process_hello_req(s, pkt);
1001
1002     case TLS_ST_CR_ENCRYPTED_EXTENSIONS:
1003         return tls_process_encrypted_extensions(s, pkt);
1004
1005     case TLS_ST_CR_KEY_UPDATE:
1006         return tls_process_key_update(s, pkt);
1007     }
1008 }
1009
1010 /*
1011  * Perform any further processing required following the receipt of a message
1012  * from the server
1013  */
1014 WORK_STATE ossl_statem_client_post_process_message(SSL *s, WORK_STATE wst)
1015 {
1016     OSSL_STATEM *st = &s->statem;
1017
1018     switch (st->hand_state) {
1019     default:
1020         /* Shouldn't happen */
1021         return WORK_ERROR;
1022
1023     case TLS_ST_CR_CERT_REQ:
1024         return tls_prepare_client_certificate(s, wst);
1025
1026 #ifndef OPENSSL_NO_SCTP
1027     case TLS_ST_CR_SRVR_DONE:
1028         /* We only get here if we are using SCTP and we are renegotiating */
1029         if (BIO_dgram_sctp_msg_waiting(SSL_get_rbio(s))) {
1030             s->s3->in_read_app_data = 2;
1031             s->rwstate = SSL_READING;
1032             BIO_clear_retry_flags(SSL_get_rbio(s));
1033             BIO_set_retry_read(SSL_get_rbio(s));
1034             ossl_statem_set_sctp_read_sock(s, 1);
1035             return WORK_MORE_A;
1036         }
1037         ossl_statem_set_sctp_read_sock(s, 0);
1038         return WORK_FINISHED_STOP;
1039 #endif
1040     }
1041 }
1042
1043 int tls_construct_client_hello(SSL *s, WPACKET *pkt)
1044 {
1045     unsigned char *p;
1046     size_t sess_id_len;
1047     int i, protverr;
1048     int al = SSL_AD_HANDSHAKE_FAILURE;
1049 #ifndef OPENSSL_NO_COMP
1050     SSL_COMP *comp;
1051 #endif
1052     SSL_SESSION *sess = s->session;
1053
1054     if (!WPACKET_set_max_size(pkt, SSL3_RT_MAX_PLAIN_LENGTH)) {
1055         /* Should not happen */
1056         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1057         return 0;
1058     }
1059
1060     /* Work out what SSL/TLS/DTLS version to use */
1061     protverr = ssl_set_client_hello_version(s);
1062     if (protverr != 0) {
1063         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, protverr);
1064         return 0;
1065     }
1066
1067     if ((sess == NULL) || !ssl_version_supported(s, sess->ssl_version) ||
1068         /*
1069          * In the case of EAP-FAST, we can have a pre-shared
1070          * "ticket" without a session ID.
1071          */
1072         (!sess->session_id_length && !sess->ext.tick) ||
1073         (sess->not_resumable)) {
1074         if (!ssl_get_new_session(s, 0))
1075             return 0;
1076     }
1077     /* else use the pre-loaded session */
1078
1079     p = s->s3->client_random;
1080
1081     /*
1082      * for DTLS if client_random is initialized, reuse it, we are
1083      * required to use same upon reply to HelloVerify
1084      */
1085     if (SSL_IS_DTLS(s)) {
1086         size_t idx;
1087         i = 1;
1088         for (idx = 0; idx < sizeof(s->s3->client_random); idx++) {
1089             if (p[idx]) {
1090                 i = 0;
1091                 break;
1092             }
1093         }
1094     } else
1095         i = 1;
1096
1097     if (i && ssl_fill_hello_random(s, 0, p, sizeof(s->s3->client_random),
1098                                    DOWNGRADE_NONE) <= 0)
1099         return 0;
1100
1101     /*-
1102      * version indicates the negotiated version: for example from
1103      * an SSLv2/v3 compatible client hello). The client_version
1104      * field is the maximum version we permit and it is also
1105      * used in RSA encrypted premaster secrets. Some servers can
1106      * choke if we initially report a higher version then
1107      * renegotiate to a lower one in the premaster secret. This
1108      * didn't happen with TLS 1.0 as most servers supported it
1109      * but it can with TLS 1.1 or later if the server only supports
1110      * 1.0.
1111      *
1112      * Possible scenario with previous logic:
1113      *      1. Client hello indicates TLS 1.2
1114      *      2. Server hello says TLS 1.0
1115      *      3. RSA encrypted premaster secret uses 1.2.
1116      *      4. Handshake proceeds using TLS 1.0.
1117      *      5. Server sends hello request to renegotiate.
1118      *      6. Client hello indicates TLS v1.0 as we now
1119      *         know that is maximum server supports.
1120      *      7. Server chokes on RSA encrypted premaster secret
1121      *         containing version 1.0.
1122      *
1123      * For interoperability it should be OK to always use the
1124      * maximum version we support in client hello and then rely
1125      * on the checking of version to ensure the servers isn't
1126      * being inconsistent: for example initially negotiating with
1127      * TLS 1.0 and renegotiating with TLS 1.2. We do this by using
1128      * client_version in client hello and not resetting it to
1129      * the negotiated version.
1130      *
1131      * For TLS 1.3 we always set the ClientHello version to 1.2 and rely on the
1132      * supported_versions extension for the real supported versions.
1133      */
1134     if (!WPACKET_put_bytes_u16(pkt, s->client_version)
1135             || !WPACKET_memcpy(pkt, s->s3->client_random, SSL3_RANDOM_SIZE)) {
1136         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1137         return 0;
1138     }
1139
1140     /* Session ID */
1141     if (s->new_session || s->session->ssl_version == TLS1_3_VERSION)
1142         sess_id_len = 0;
1143     else
1144         sess_id_len = s->session->session_id_length;
1145     if (sess_id_len > sizeof(s->session->session_id)
1146             || !WPACKET_start_sub_packet_u8(pkt)
1147             || (sess_id_len != 0 && !WPACKET_memcpy(pkt, s->session->session_id,
1148                                                     sess_id_len))
1149             || !WPACKET_close(pkt)) {
1150         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1151         return 0;
1152     }
1153
1154     /* cookie stuff for DTLS */
1155     if (SSL_IS_DTLS(s)) {
1156         if (s->d1->cookie_len > sizeof(s->d1->cookie)
1157                 || !WPACKET_sub_memcpy_u8(pkt, s->d1->cookie,
1158                                           s->d1->cookie_len)) {
1159             SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1160             return 0;
1161         }
1162     }
1163
1164     /* Ciphers supported */
1165     if (!WPACKET_start_sub_packet_u16(pkt)) {
1166         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1167         return 0;
1168     }
1169     /* ssl_cipher_list_to_bytes() raises SSLerr if appropriate */
1170     if (!ssl_cipher_list_to_bytes(s, SSL_get_ciphers(s), pkt))
1171         return 0;
1172     if (!WPACKET_close(pkt)) {
1173         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1174         return 0;
1175     }
1176
1177     /* COMPRESSION */
1178     if (!WPACKET_start_sub_packet_u8(pkt)) {
1179         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1180         return 0;
1181     }
1182 #ifndef OPENSSL_NO_COMP
1183     if (ssl_allow_compression(s)
1184             && s->ctx->comp_methods
1185             && (SSL_IS_DTLS(s) || s->s3->tmp.max_ver < TLS1_3_VERSION)) {
1186         int compnum = sk_SSL_COMP_num(s->ctx->comp_methods);
1187         for (i = 0; i < compnum; i++) {
1188             comp = sk_SSL_COMP_value(s->ctx->comp_methods, i);
1189             if (!WPACKET_put_bytes_u8(pkt, comp->id)) {
1190                 SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1191                 return 0;
1192             }
1193         }
1194     }
1195 #endif
1196     /* Add the NULL method */
1197     if (!WPACKET_put_bytes_u8(pkt, 0) || !WPACKET_close(pkt)) {
1198         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1199         return 0;
1200     }
1201
1202     /* TLS extensions */
1203     if (!tls_construct_extensions(s, pkt, SSL_EXT_CLIENT_HELLO, NULL, 0, &al)) {
1204         ssl3_send_alert(s, SSL3_AL_FATAL, al);
1205         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1206         return 0;
1207     }
1208
1209     return 1;
1210 }
1211
1212 MSG_PROCESS_RETURN dtls_process_hello_verify(SSL *s, PACKET *pkt)
1213 {
1214     int al;
1215     size_t cookie_len;
1216     PACKET cookiepkt;
1217
1218     if (!PACKET_forward(pkt, 2)
1219         || !PACKET_get_length_prefixed_1(pkt, &cookiepkt)) {
1220         al = SSL_AD_DECODE_ERROR;
1221         SSLerr(SSL_F_DTLS_PROCESS_HELLO_VERIFY, SSL_R_LENGTH_MISMATCH);
1222         goto f_err;
1223     }
1224
1225     cookie_len = PACKET_remaining(&cookiepkt);
1226     if (cookie_len > sizeof(s->d1->cookie)) {
1227         al = SSL_AD_ILLEGAL_PARAMETER;
1228         SSLerr(SSL_F_DTLS_PROCESS_HELLO_VERIFY, SSL_R_LENGTH_TOO_LONG);
1229         goto f_err;
1230     }
1231
1232     if (!PACKET_copy_bytes(&cookiepkt, s->d1->cookie, cookie_len)) {
1233         al = SSL_AD_DECODE_ERROR;
1234         SSLerr(SSL_F_DTLS_PROCESS_HELLO_VERIFY, SSL_R_LENGTH_MISMATCH);
1235         goto f_err;
1236     }
1237     s->d1->cookie_len = cookie_len;
1238
1239     return MSG_PROCESS_FINISHED_READING;
1240  f_err:
1241     ssl3_send_alert(s, SSL3_AL_FATAL, al);
1242     ossl_statem_set_error(s);
1243     return MSG_PROCESS_ERROR;
1244 }
1245
1246 static int set_client_ciphersuite(SSL *s, const unsigned char *cipherchars)
1247 {
1248     STACK_OF(SSL_CIPHER) *sk;
1249     const SSL_CIPHER *c;
1250     int i;
1251
1252     c = ssl_get_cipher_by_char(s, cipherchars, 0);
1253     if (c == NULL) {
1254         /* unknown cipher */
1255         SSLerr(SSL_F_SET_CLIENT_CIPHERSUITE, SSL_R_UNKNOWN_CIPHER_RETURNED);
1256         return 0;
1257     }
1258     /*
1259      * If it is a disabled cipher we either didn't send it in client hello,
1260      * or it's not allowed for the selected protocol. So we return an error.
1261      */
1262     if (ssl_cipher_disabled(s, c, SSL_SECOP_CIPHER_CHECK, 1)) {
1263         SSLerr(SSL_F_SET_CLIENT_CIPHERSUITE, SSL_R_WRONG_CIPHER_RETURNED);
1264         return 0;
1265     }
1266
1267     sk = ssl_get_ciphers_by_id(s);
1268     i = sk_SSL_CIPHER_find(sk, c);
1269     if (i < 0) {
1270         /* we did not say we would use this cipher */
1271         SSLerr(SSL_F_SET_CLIENT_CIPHERSUITE, SSL_R_WRONG_CIPHER_RETURNED);
1272         return 0;
1273     }
1274
1275     if (SSL_IS_TLS13(s) && s->s3->tmp.new_cipher != NULL
1276             && s->s3->tmp.new_cipher->id != c->id) {
1277         /* ServerHello selected a different ciphersuite to that in the HRR */
1278         SSLerr(SSL_F_SET_CLIENT_CIPHERSUITE, SSL_R_WRONG_CIPHER_RETURNED);
1279         return 0;
1280     }
1281
1282     /*
1283      * Depending on the session caching (internal/external), the cipher
1284      * and/or cipher_id values may not be set. Make sure that cipher_id is
1285      * set and use it for comparison.
1286      */
1287     if (s->session->cipher != NULL)
1288         s->session->cipher_id = s->session->cipher->id;
1289     if (s->hit && (s->session->cipher_id != c->id)) {
1290         SSLerr(SSL_F_SET_CLIENT_CIPHERSUITE,
1291                SSL_R_OLD_SESSION_CIPHER_NOT_RETURNED);
1292         return 0;
1293     }
1294     s->s3->tmp.new_cipher = c;
1295
1296     return 1;
1297 }
1298
1299 MSG_PROCESS_RETURN tls_process_server_hello(SSL *s, PACKET *pkt)
1300 {
1301     PACKET session_id, extpkt;
1302     size_t session_id_len;
1303     const unsigned char *cipherchars;
1304     int al = SSL_AD_INTERNAL_ERROR;
1305     unsigned int compression;
1306     unsigned int sversion;
1307     unsigned int context;
1308     int protverr;
1309     RAW_EXTENSION *extensions = NULL;
1310 #ifndef OPENSSL_NO_COMP
1311     SSL_COMP *comp;
1312 #endif
1313
1314     if (!PACKET_get_net_2(pkt, &sversion)) {
1315         al = SSL_AD_DECODE_ERROR;
1316         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1317         goto f_err;
1318     }
1319
1320     /* load the server random */
1321     if (!PACKET_copy_bytes(pkt, s->s3->server_random, SSL3_RANDOM_SIZE)) {
1322         al = SSL_AD_DECODE_ERROR;
1323         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1324         goto f_err;
1325     }
1326
1327     /*
1328      * We do this immediately so we know what format the ServerHello is in.
1329      * Must be done after reading the random data so we can check for the
1330      * TLSv1.3 downgrade sentinels
1331      */
1332     protverr = ssl_choose_client_version(s, sversion, 1, &al);
1333     if (protverr != 0) {
1334         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, protverr);
1335         goto f_err;
1336     }
1337
1338     /*
1339      * In TLSv1.3 a ServerHello message signals a key change so the end of the
1340      * message must be on a record boundary.
1341      */
1342     if (SSL_IS_TLS13(s) && RECORD_LAYER_processed_read_pending(&s->rlayer)) {
1343         al = SSL_AD_UNEXPECTED_MESSAGE;
1344         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_NOT_ON_RECORD_BOUNDARY);
1345         goto f_err;
1346     }
1347
1348     /* Get the session-id. */
1349     if (!SSL_IS_TLS13(s)) {
1350         if (!PACKET_get_length_prefixed_1(pkt, &session_id)) {
1351             al = SSL_AD_DECODE_ERROR;
1352             SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1353             goto f_err;
1354         }
1355         session_id_len = PACKET_remaining(&session_id);
1356         if (session_id_len > sizeof s->session->session_id
1357             || session_id_len > SSL3_SESSION_ID_SIZE) {
1358             al = SSL_AD_ILLEGAL_PARAMETER;
1359             SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1360                    SSL_R_SSL3_SESSION_ID_TOO_LONG);
1361             goto f_err;
1362         }
1363     } else {
1364         PACKET_null_init(&session_id);
1365         session_id_len = 0;
1366     }
1367
1368     if (!PACKET_get_bytes(pkt, &cipherchars, TLS_CIPHER_LEN)) {
1369         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1370         al = SSL_AD_DECODE_ERROR;
1371         goto f_err;
1372     }
1373
1374     if (!SSL_IS_TLS13(s)) {
1375         if (!PACKET_get_1(pkt, &compression)) {
1376             SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1377             al = SSL_AD_DECODE_ERROR;
1378             goto f_err;
1379         }
1380     } else {
1381         compression = 0;
1382     }
1383
1384     /* TLS extensions */
1385     if (PACKET_remaining(pkt) == 0) {
1386         PACKET_null_init(&extpkt);
1387     } else if (!PACKET_as_length_prefixed_2(pkt, &extpkt)) {
1388         al = SSL_AD_DECODE_ERROR;
1389         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_BAD_LENGTH);
1390         goto f_err;
1391     }
1392
1393     context = SSL_IS_TLS13(s) ? SSL_EXT_TLS1_3_SERVER_HELLO
1394                               : SSL_EXT_TLS1_2_SERVER_HELLO;
1395     if (!tls_collect_extensions(s, &extpkt, context, &extensions, &al, NULL))
1396         goto f_err;
1397
1398     s->hit = 0;
1399
1400     if (SSL_IS_TLS13(s)) {
1401         /* This will set s->hit if we are resuming */
1402         if (!tls_parse_extension(s, TLSEXT_IDX_psk,
1403                                  SSL_EXT_TLS1_3_SERVER_HELLO,
1404                                  extensions, NULL, 0, &al))
1405             goto f_err;
1406     } else {
1407         /*
1408          * Check if we can resume the session based on external pre-shared
1409          * secret. EAP-FAST (RFC 4851) supports two types of session resumption.
1410          * Resumption based on server-side state works with session IDs.
1411          * Resumption based on pre-shared Protected Access Credentials (PACs)
1412          * works by overriding the SessionTicket extension at the application
1413          * layer, and does not send a session ID. (We do not know whether
1414          * EAP-FAST servers would honour the session ID.) Therefore, the session
1415          * ID alone is not a reliable indicator of session resumption, so we
1416          * first check if we can resume, and later peek at the next handshake
1417          * message to see if the server wants to resume.
1418          */
1419         if (s->version >= TLS1_VERSION
1420                 && s->ext.session_secret_cb != NULL && s->session->ext.tick) {
1421             const SSL_CIPHER *pref_cipher = NULL;
1422             /*
1423              * s->session->master_key_length is a size_t, but this is an int for
1424              * backwards compat reasons
1425              */
1426             int master_key_length;
1427             master_key_length = sizeof(s->session->master_key);
1428             if (s->ext.session_secret_cb(s, s->session->master_key,
1429                                          &master_key_length,
1430                                          NULL, &pref_cipher,
1431                                          s->ext.session_secret_cb_arg)
1432                      && master_key_length > 0) {
1433                 s->session->master_key_length = master_key_length;
1434                 s->session->cipher = pref_cipher ?
1435                     pref_cipher : ssl_get_cipher_by_char(s, cipherchars, 0);
1436             } else {
1437                 SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, ERR_R_INTERNAL_ERROR);
1438                 al = SSL_AD_INTERNAL_ERROR;
1439                 goto f_err;
1440             }
1441         }
1442
1443         if (session_id_len != 0
1444                 && session_id_len == s->session->session_id_length
1445                 && memcmp(PACKET_data(&session_id), s->session->session_id,
1446                           session_id_len) == 0)
1447             s->hit = 1;
1448     }
1449
1450     if (s->hit) {
1451         if (s->sid_ctx_length != s->session->sid_ctx_length
1452                 || memcmp(s->session->sid_ctx, s->sid_ctx, s->sid_ctx_length)) {
1453             /* actually a client application bug */
1454             al = SSL_AD_ILLEGAL_PARAMETER;
1455             SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1456                    SSL_R_ATTEMPT_TO_REUSE_SESSION_IN_DIFFERENT_CONTEXT);
1457             goto f_err;
1458         }
1459     } else {
1460         /*
1461          * If we were trying for session-id reuse but the server
1462          * didn't resume, make a new SSL_SESSION.
1463          * In the case of EAP-FAST and PAC, we do not send a session ID,
1464          * so the PAC-based session secret is always preserved. It'll be
1465          * overwritten if the server refuses resumption.
1466          */
1467         if (s->session->session_id_length > 0
1468                 || (SSL_IS_TLS13(s)
1469                     && s->session->ext.tick_identity
1470                        != TLSEXT_PSK_BAD_IDENTITY)) {
1471             s->ctx->stats.sess_miss++;
1472             if (!ssl_get_new_session(s, 0)) {
1473                 goto f_err;
1474             }
1475         }
1476
1477         s->session->ssl_version = s->version;
1478         s->session->session_id_length = session_id_len;
1479         /* session_id_len could be 0 */
1480         if (session_id_len > 0)
1481             memcpy(s->session->session_id, PACKET_data(&session_id),
1482                    session_id_len);
1483     }
1484
1485     /* Session version and negotiated protocol version should match */
1486     if (s->version != s->session->ssl_version) {
1487         al = SSL_AD_PROTOCOL_VERSION;
1488
1489         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1490                SSL_R_SSL_SESSION_VERSION_MISMATCH);
1491         goto f_err;
1492     }
1493     /*
1494      * Now that we know the version, update the check to see if it's an allowed
1495      * version.
1496      */
1497     s->s3->tmp.min_ver = s->version;
1498     s->s3->tmp.max_ver = s->version;
1499
1500     if (!set_client_ciphersuite(s, cipherchars)) {
1501         al = SSL_AD_ILLEGAL_PARAMETER;
1502         goto f_err;
1503     }
1504
1505 #ifdef OPENSSL_NO_COMP
1506     if (compression != 0) {
1507         al = SSL_AD_ILLEGAL_PARAMETER;
1508         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1509                SSL_R_UNSUPPORTED_COMPRESSION_ALGORITHM);
1510         goto f_err;
1511     }
1512     /*
1513      * If compression is disabled we'd better not try to resume a session
1514      * using compression.
1515      */
1516     if (s->session->compress_meth != 0) {
1517         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_INCONSISTENT_COMPRESSION);
1518         goto f_err;
1519     }
1520 #else
1521     if (s->hit && compression != s->session->compress_meth) {
1522         al = SSL_AD_ILLEGAL_PARAMETER;
1523         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1524                SSL_R_OLD_SESSION_COMPRESSION_ALGORITHM_NOT_RETURNED);
1525         goto f_err;
1526     }
1527     if (compression == 0)
1528         comp = NULL;
1529     else if (!ssl_allow_compression(s)) {
1530         al = SSL_AD_ILLEGAL_PARAMETER;
1531         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_COMPRESSION_DISABLED);
1532         goto f_err;
1533     } else {
1534         comp = ssl3_comp_find(s->ctx->comp_methods, compression);
1535     }
1536
1537     if (compression != 0 && comp == NULL) {
1538         al = SSL_AD_ILLEGAL_PARAMETER;
1539         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1540                SSL_R_UNSUPPORTED_COMPRESSION_ALGORITHM);
1541         goto f_err;
1542     } else {
1543         s->s3->tmp.new_compression = comp;
1544     }
1545 #endif
1546
1547     if (!tls_parse_all_extensions(s, context, extensions, NULL, 0, &al))
1548         goto f_err;
1549
1550 #ifndef OPENSSL_NO_SCTP
1551     if (SSL_IS_DTLS(s) && s->hit) {
1552         unsigned char sctpauthkey[64];
1553         char labelbuffer[sizeof(DTLS1_SCTP_AUTH_LABEL)];
1554
1555         /*
1556          * Add new shared key for SCTP-Auth, will be ignored if
1557          * no SCTP used.
1558          */
1559         memcpy(labelbuffer, DTLS1_SCTP_AUTH_LABEL,
1560                sizeof(DTLS1_SCTP_AUTH_LABEL));
1561
1562         if (SSL_export_keying_material(s, sctpauthkey,
1563                                        sizeof(sctpauthkey),
1564                                        labelbuffer,
1565                                        sizeof(labelbuffer), NULL, 0, 0) <= 0)
1566             goto f_err;
1567
1568         BIO_ctrl(SSL_get_wbio(s),
1569                  BIO_CTRL_DGRAM_SCTP_ADD_AUTH_KEY,
1570                  sizeof(sctpauthkey), sctpauthkey);
1571     }
1572 #endif
1573
1574     /*
1575      * In TLSv1.3 we have some post-processing to change cipher state, otherwise
1576      * we're done with this message
1577      */
1578     if (SSL_IS_TLS13(s)
1579             && (!s->method->ssl3_enc->setup_key_block(s)
1580                 || !s->method->ssl3_enc->change_cipher_state(s,
1581                     SSL3_CC_HANDSHAKE | SSL3_CHANGE_CIPHER_CLIENT_READ))) {
1582         al = SSL_AD_INTERNAL_ERROR;
1583         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_CANNOT_CHANGE_CIPHER);
1584         goto f_err;
1585     }
1586
1587     OPENSSL_free(extensions);
1588     return MSG_PROCESS_CONTINUE_READING;
1589  f_err:
1590     ssl3_send_alert(s, SSL3_AL_FATAL, al);
1591     ossl_statem_set_error(s);
1592     OPENSSL_free(extensions);
1593     return MSG_PROCESS_ERROR;
1594 }
1595
1596 static MSG_PROCESS_RETURN tls_process_hello_retry_request(SSL *s, PACKET *pkt)
1597 {
1598     unsigned int sversion;
1599     int errorcode;
1600     const unsigned char *cipherchars;
1601     RAW_EXTENSION *extensions = NULL;
1602     int al;
1603     PACKET extpkt;
1604
1605     if (!PACKET_get_net_2(pkt, &sversion)) {
1606         al = SSL_AD_DECODE_ERROR;
1607         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST, SSL_R_LENGTH_MISMATCH);
1608         goto f_err;
1609     }
1610
1611     s->hello_retry_request = 1;
1612
1613     /* This will fail if it doesn't choose TLSv1.3+ */
1614     errorcode = ssl_choose_client_version(s, sversion, 0, &al);
1615     if (errorcode != 0) {
1616         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST, errorcode);
1617         goto f_err;
1618     }
1619
1620     if (!PACKET_get_bytes(pkt, &cipherchars, TLS_CIPHER_LEN)) {
1621         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST, SSL_R_LENGTH_MISMATCH);
1622         al = SSL_AD_DECODE_ERROR;
1623         goto f_err;
1624     }
1625
1626     if (!set_client_ciphersuite(s, cipherchars)) {
1627         al = SSL_AD_ILLEGAL_PARAMETER;
1628         goto f_err;
1629     }
1630
1631     if (!PACKET_as_length_prefixed_2(pkt, &extpkt)) {
1632         al = SSL_AD_DECODE_ERROR;
1633         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST, SSL_R_BAD_LENGTH);
1634         goto f_err;
1635     }
1636
1637     if (!tls_collect_extensions(s, &extpkt, SSL_EXT_TLS1_3_HELLO_RETRY_REQUEST,
1638                                 &extensions, &al, NULL)
1639             || !tls_parse_all_extensions(s, SSL_EXT_TLS1_3_HELLO_RETRY_REQUEST,
1640                                          extensions, NULL, 0, &al))
1641         goto f_err;
1642
1643     OPENSSL_free(extensions);
1644
1645     /*
1646      * Re-initialise the Transcript Hash. We're going to prepopulate it with
1647      * a synthetic message_hash in place of ClientHello1.
1648      */
1649     if (!create_synthetic_message_hash(s)) {
1650         al = SSL_AD_INTERNAL_ERROR;
1651         goto f_err;
1652     }
1653
1654     /*
1655      * Add this message to the Transcript Hash. Normally this is done
1656      * automatically prior to the message processing stage. However due to the
1657      * need to create the synthetic message hash, we defer that step until now
1658      * for HRR messages.
1659      */
1660     if (!ssl3_finish_mac(s, (unsigned char *)s->init_buf->data,
1661                                 s->init_num + SSL3_HM_HEADER_LENGTH)) {
1662         al = SSL_AD_INTERNAL_ERROR;
1663         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST, ERR_R_INTERNAL_ERROR);
1664         goto f_err;
1665     }
1666
1667     return MSG_PROCESS_FINISHED_READING;
1668  f_err:
1669     ssl3_send_alert(s, SSL3_AL_FATAL, al);
1670     ossl_statem_set_error(s);
1671     OPENSSL_free(extensions);
1672     return MSG_PROCESS_ERROR;
1673 }
1674
1675 MSG_PROCESS_RETURN tls_process_server_certificate(SSL *s, PACKET *pkt)
1676 {
1677     int al, i, ret = MSG_PROCESS_ERROR, exp_idx;
1678     unsigned long cert_list_len, cert_len;
1679     X509 *x = NULL;
1680     const unsigned char *certstart, *certbytes;
1681     STACK_OF(X509) *sk = NULL;
1682     EVP_PKEY *pkey = NULL;
1683     size_t chainidx;
1684     unsigned int context = 0;
1685
1686     if ((sk = sk_X509_new_null()) == NULL) {
1687         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, ERR_R_MALLOC_FAILURE);
1688         goto err;
1689     }
1690
1691     if ((SSL_IS_TLS13(s) && !PACKET_get_1(pkt, &context))
1692             || context != 0
1693             || !PACKET_get_net_3(pkt, &cert_list_len)
1694             || PACKET_remaining(pkt) != cert_list_len) {
1695         al = SSL_AD_DECODE_ERROR;
1696         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, SSL_R_LENGTH_MISMATCH);
1697         goto f_err;
1698     }
1699     for (chainidx = 0; PACKET_remaining(pkt); chainidx++) {
1700         if (!PACKET_get_net_3(pkt, &cert_len)
1701             || !PACKET_get_bytes(pkt, &certbytes, cert_len)) {
1702             al = SSL_AD_DECODE_ERROR;
1703             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1704                    SSL_R_CERT_LENGTH_MISMATCH);
1705             goto f_err;
1706         }
1707
1708         certstart = certbytes;
1709         x = d2i_X509(NULL, (const unsigned char **)&certbytes, cert_len);
1710         if (x == NULL) {
1711             al = SSL_AD_BAD_CERTIFICATE;
1712             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, ERR_R_ASN1_LIB);
1713             goto f_err;
1714         }
1715         if (certbytes != (certstart + cert_len)) {
1716             al = SSL_AD_DECODE_ERROR;
1717             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1718                    SSL_R_CERT_LENGTH_MISMATCH);
1719             goto f_err;
1720         }
1721
1722         if (SSL_IS_TLS13(s)) {
1723             RAW_EXTENSION *rawexts = NULL;
1724             PACKET extensions;
1725
1726             if (!PACKET_get_length_prefixed_2(pkt, &extensions)) {
1727                 al = SSL_AD_DECODE_ERROR;
1728                 SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, SSL_R_BAD_LENGTH);
1729                 goto f_err;
1730             }
1731             if (!tls_collect_extensions(s, &extensions,
1732                                         SSL_EXT_TLS1_3_CERTIFICATE, &rawexts,
1733                                         &al, NULL)
1734                     || !tls_parse_all_extensions(s, SSL_EXT_TLS1_3_CERTIFICATE,
1735                                                  rawexts, x, chainidx, &al)) {
1736                 OPENSSL_free(rawexts);
1737                 goto f_err;
1738             }
1739             OPENSSL_free(rawexts);
1740         }
1741
1742         if (!sk_X509_push(sk, x)) {
1743             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, ERR_R_MALLOC_FAILURE);
1744             goto err;
1745         }
1746         x = NULL;
1747     }
1748
1749     i = ssl_verify_cert_chain(s, sk);
1750     /*
1751      * The documented interface is that SSL_VERIFY_PEER should be set in order
1752      * for client side verification of the server certificate to take place.
1753      * However, historically the code has only checked that *any* flag is set
1754      * to cause server verification to take place. Use of the other flags makes
1755      * no sense in client mode. An attempt to clean up the semantics was
1756      * reverted because at least one application *only* set
1757      * SSL_VERIFY_FAIL_IF_NO_PEER_CERT. Prior to the clean up this still caused
1758      * server verification to take place, after the clean up it silently did
1759      * nothing. SSL_CTX_set_verify()/SSL_set_verify() cannot validate the flags
1760      * sent to them because they are void functions. Therefore, we now use the
1761      * (less clean) historic behaviour of performing validation if any flag is
1762      * set. The *documented* interface remains the same.
1763      */
1764     if (s->verify_mode != SSL_VERIFY_NONE && i <= 0) {
1765         al = ssl_verify_alarm_type(s->verify_result);
1766         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1767                SSL_R_CERTIFICATE_VERIFY_FAILED);
1768         goto f_err;
1769     }
1770     ERR_clear_error();          /* but we keep s->verify_result */
1771     if (i > 1) {
1772         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, i);
1773         al = SSL_AD_HANDSHAKE_FAILURE;
1774         goto f_err;
1775     }
1776
1777     s->session->peer_chain = sk;
1778     /*
1779      * Inconsistency alert: cert_chain does include the peer's certificate,
1780      * which we don't include in statem_srvr.c
1781      */
1782     x = sk_X509_value(sk, 0);
1783     sk = NULL;
1784     /*
1785      * VRS 19990621: possible memory leak; sk=null ==> !sk_pop_free() @end
1786      */
1787
1788     pkey = X509_get0_pubkey(x);
1789
1790     if (pkey == NULL || EVP_PKEY_missing_parameters(pkey)) {
1791         x = NULL;
1792         al = SSL3_AL_FATAL;
1793         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1794                SSL_R_UNABLE_TO_FIND_PUBLIC_KEY_PARAMETERS);
1795         goto f_err;
1796     }
1797
1798     i = ssl_cert_type(x, pkey);
1799     if (i < 0) {
1800         x = NULL;
1801         al = SSL3_AL_FATAL;
1802         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1803                SSL_R_UNKNOWN_CERTIFICATE_TYPE);
1804         goto f_err;
1805     }
1806     /*
1807      * Check certificate type is consistent with ciphersuite. For TLS 1.3
1808      * skip check since TLS 1.3 ciphersuites can be used with any certificate
1809      * type.
1810      */
1811     if (!SSL_IS_TLS13(s)) {
1812         exp_idx = ssl_cipher_get_cert_index(s->s3->tmp.new_cipher);
1813         if (exp_idx >= 0 && i != exp_idx
1814             && (exp_idx != SSL_PKEY_GOST_EC ||
1815                 (i != SSL_PKEY_GOST12_512 && i != SSL_PKEY_GOST12_256
1816                  && i != SSL_PKEY_GOST01))) {
1817             x = NULL;
1818             al = SSL_AD_ILLEGAL_PARAMETER;
1819             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1820                    SSL_R_WRONG_CERTIFICATE_TYPE);
1821             goto f_err;
1822         }
1823     }
1824     s->session->peer_type = i;
1825
1826     X509_free(s->session->peer);
1827     X509_up_ref(x);
1828     s->session->peer = x;
1829     s->session->verify_result = s->verify_result;
1830     x = NULL;
1831
1832     /* Save the current hash state for when we receive the CertificateVerify */
1833     if (SSL_IS_TLS13(s)
1834             && !ssl_handshake_hash(s, s->cert_verify_hash,
1835                                    sizeof(s->cert_verify_hash),
1836                                    &s->cert_verify_hash_len)) {
1837         al = SSL_AD_INTERNAL_ERROR;
1838         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, ERR_R_INTERNAL_ERROR);
1839         goto f_err;
1840     }
1841
1842     ret = MSG_PROCESS_CONTINUE_READING;
1843     goto done;
1844
1845  f_err:
1846     ssl3_send_alert(s, SSL3_AL_FATAL, al);
1847  err:
1848     ossl_statem_set_error(s);
1849  done:
1850     X509_free(x);
1851     sk_X509_pop_free(sk, X509_free);
1852     return ret;
1853 }
1854
1855 static int tls_process_ske_psk_preamble(SSL *s, PACKET *pkt, int *al)
1856 {
1857 #ifndef OPENSSL_NO_PSK
1858     PACKET psk_identity_hint;
1859
1860     /* PSK ciphersuites are preceded by an identity hint */
1861
1862     if (!PACKET_get_length_prefixed_2(pkt, &psk_identity_hint)) {
1863         *al = SSL_AD_DECODE_ERROR;
1864         SSLerr(SSL_F_TLS_PROCESS_SKE_PSK_PREAMBLE, SSL_R_LENGTH_MISMATCH);
1865         return 0;
1866     }
1867
1868     /*
1869      * Store PSK identity hint for later use, hint is used in
1870      * tls_construct_client_key_exchange.  Assume that the maximum length of
1871      * a PSK identity hint can be as long as the maximum length of a PSK
1872      * identity.
1873      */
1874     if (PACKET_remaining(&psk_identity_hint) > PSK_MAX_IDENTITY_LEN) {
1875         *al = SSL_AD_HANDSHAKE_FAILURE;
1876         SSLerr(SSL_F_TLS_PROCESS_SKE_PSK_PREAMBLE, SSL_R_DATA_LENGTH_TOO_LONG);
1877         return 0;
1878     }
1879
1880     if (PACKET_remaining(&psk_identity_hint) == 0) {
1881         OPENSSL_free(s->session->psk_identity_hint);
1882         s->session->psk_identity_hint = NULL;
1883     } else if (!PACKET_strndup(&psk_identity_hint,
1884                                &s->session->psk_identity_hint)) {
1885         *al = SSL_AD_INTERNAL_ERROR;
1886         return 0;
1887     }
1888
1889     return 1;
1890 #else
1891     SSLerr(SSL_F_TLS_PROCESS_SKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
1892     *al = SSL_AD_INTERNAL_ERROR;
1893     return 0;
1894 #endif
1895 }
1896
1897 static int tls_process_ske_srp(SSL *s, PACKET *pkt, EVP_PKEY **pkey, int *al)
1898 {
1899 #ifndef OPENSSL_NO_SRP
1900     PACKET prime, generator, salt, server_pub;
1901
1902     if (!PACKET_get_length_prefixed_2(pkt, &prime)
1903         || !PACKET_get_length_prefixed_2(pkt, &generator)
1904         || !PACKET_get_length_prefixed_1(pkt, &salt)
1905         || !PACKET_get_length_prefixed_2(pkt, &server_pub)) {
1906         *al = SSL_AD_DECODE_ERROR;
1907         SSLerr(SSL_F_TLS_PROCESS_SKE_SRP, SSL_R_LENGTH_MISMATCH);
1908         return 0;
1909     }
1910
1911     /* TODO(size_t): Convert BN_bin2bn() calls */
1912     if ((s->srp_ctx.N =
1913          BN_bin2bn(PACKET_data(&prime),
1914                    (int)PACKET_remaining(&prime), NULL)) == NULL
1915         || (s->srp_ctx.g =
1916             BN_bin2bn(PACKET_data(&generator),
1917                       (int)PACKET_remaining(&generator), NULL)) == NULL
1918         || (s->srp_ctx.s =
1919             BN_bin2bn(PACKET_data(&salt),
1920                       (int)PACKET_remaining(&salt), NULL)) == NULL
1921         || (s->srp_ctx.B =
1922             BN_bin2bn(PACKET_data(&server_pub),
1923                       (int)PACKET_remaining(&server_pub), NULL)) == NULL) {
1924         *al = SSL_AD_INTERNAL_ERROR;
1925         SSLerr(SSL_F_TLS_PROCESS_SKE_SRP, ERR_R_BN_LIB);
1926         return 0;
1927     }
1928
1929     if (!srp_verify_server_param(s, al)) {
1930         *al = SSL_AD_DECODE_ERROR;
1931         SSLerr(SSL_F_TLS_PROCESS_SKE_SRP, SSL_R_BAD_SRP_PARAMETERS);
1932         return 0;
1933     }
1934
1935     /* We must check if there is a certificate */
1936     if (s->s3->tmp.new_cipher->algorithm_auth & (SSL_aRSA | SSL_aDSS))
1937         *pkey = X509_get0_pubkey(s->session->peer);
1938
1939     return 1;
1940 #else
1941     SSLerr(SSL_F_TLS_PROCESS_SKE_SRP, ERR_R_INTERNAL_ERROR);
1942     *al = SSL_AD_INTERNAL_ERROR;
1943     return 0;
1944 #endif
1945 }
1946
1947 static int tls_process_ske_dhe(SSL *s, PACKET *pkt, EVP_PKEY **pkey, int *al)
1948 {
1949 #ifndef OPENSSL_NO_DH
1950     PACKET prime, generator, pub_key;
1951     EVP_PKEY *peer_tmp = NULL;
1952
1953     DH *dh = NULL;
1954     BIGNUM *p = NULL, *g = NULL, *bnpub_key = NULL;
1955
1956     int check_bits = 0;
1957
1958     if (!PACKET_get_length_prefixed_2(pkt, &prime)
1959         || !PACKET_get_length_prefixed_2(pkt, &generator)
1960         || !PACKET_get_length_prefixed_2(pkt, &pub_key)) {
1961         *al = SSL_AD_DECODE_ERROR;
1962         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, SSL_R_LENGTH_MISMATCH);
1963         return 0;
1964     }
1965
1966     peer_tmp = EVP_PKEY_new();
1967     dh = DH_new();
1968
1969     if (peer_tmp == NULL || dh == NULL) {
1970         *al = SSL_AD_INTERNAL_ERROR;
1971         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_MALLOC_FAILURE);
1972         goto err;
1973     }
1974
1975     /* TODO(size_t): Convert these calls */
1976     p = BN_bin2bn(PACKET_data(&prime), (int)PACKET_remaining(&prime), NULL);
1977     g = BN_bin2bn(PACKET_data(&generator), (int)PACKET_remaining(&generator),
1978                   NULL);
1979     bnpub_key = BN_bin2bn(PACKET_data(&pub_key),
1980                           (int)PACKET_remaining(&pub_key), NULL);
1981     if (p == NULL || g == NULL || bnpub_key == NULL) {
1982         *al = SSL_AD_INTERNAL_ERROR;
1983         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_BN_LIB);
1984         goto err;
1985     }
1986
1987     /* test non-zero pubkey */
1988     if (BN_is_zero(bnpub_key)) {
1989         *al = SSL_AD_DECODE_ERROR;
1990         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, SSL_R_BAD_DH_VALUE);
1991         goto err;
1992     }
1993
1994     if (!DH_set0_pqg(dh, p, NULL, g)) {
1995         *al = SSL_AD_INTERNAL_ERROR;
1996         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_BN_LIB);
1997         goto err;
1998     }
1999     p = g = NULL;
2000
2001     if (DH_check_params(dh, &check_bits) == 0 || check_bits != 0) {
2002         *al = SSL_AD_DECODE_ERROR;
2003         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, SSL_R_BAD_DH_VALUE);
2004         goto err;
2005     }
2006
2007     if (!DH_set0_key(dh, bnpub_key, NULL)) {
2008         *al = SSL_AD_INTERNAL_ERROR;
2009         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_BN_LIB);
2010         goto err;
2011     }
2012     bnpub_key = NULL;
2013
2014     if (!ssl_security(s, SSL_SECOP_TMP_DH, DH_security_bits(dh), 0, dh)) {
2015         *al = SSL_AD_HANDSHAKE_FAILURE;
2016         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, SSL_R_DH_KEY_TOO_SMALL);
2017         goto err;
2018     }
2019
2020     if (EVP_PKEY_assign_DH(peer_tmp, dh) == 0) {
2021         *al = SSL_AD_INTERNAL_ERROR;
2022         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_EVP_LIB);
2023         goto err;
2024     }
2025
2026     s->s3->peer_tmp = peer_tmp;
2027
2028     /*
2029      * FIXME: This makes assumptions about which ciphersuites come with
2030      * public keys. We should have a less ad-hoc way of doing this
2031      */
2032     if (s->s3->tmp.new_cipher->algorithm_auth & (SSL_aRSA | SSL_aDSS))
2033         *pkey = X509_get0_pubkey(s->session->peer);
2034     /* else anonymous DH, so no certificate or pkey. */
2035
2036     return 1;
2037
2038  err:
2039     BN_free(p);
2040     BN_free(g);
2041     BN_free(bnpub_key);
2042     DH_free(dh);
2043     EVP_PKEY_free(peer_tmp);
2044
2045     return 0;
2046 #else
2047     SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_INTERNAL_ERROR);
2048     *al = SSL_AD_INTERNAL_ERROR;
2049     return 0;
2050 #endif
2051 }
2052
2053 static int tls_process_ske_ecdhe(SSL *s, PACKET *pkt, EVP_PKEY **pkey, int *al)
2054 {
2055 #ifndef OPENSSL_NO_EC
2056     PACKET encoded_pt;
2057     const unsigned char *ecparams;
2058     int curve_nid;
2059     unsigned int curve_flags;
2060     EVP_PKEY_CTX *pctx = NULL;
2061
2062     /*
2063      * Extract elliptic curve parameters and the server's ephemeral ECDH
2064      * public key. For now we only support named (not generic) curves and
2065      * ECParameters in this case is just three bytes.
2066      */
2067     if (!PACKET_get_bytes(pkt, &ecparams, 3)) {
2068         *al = SSL_AD_DECODE_ERROR;
2069         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, SSL_R_LENGTH_TOO_SHORT);
2070         return 0;
2071     }
2072     /*
2073      * Check curve is one of our preferences, if not server has sent an
2074      * invalid curve. ECParameters is 3 bytes.
2075      */
2076     if (!tls1_check_curve(s, ecparams, 3)) {
2077         *al = SSL_AD_DECODE_ERROR;
2078         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, SSL_R_WRONG_CURVE);
2079         return 0;
2080     }
2081
2082     curve_nid = tls1_ec_curve_id2nid(*(ecparams + 2), &curve_flags);
2083
2084     if (curve_nid == 0) {
2085         *al = SSL_AD_INTERNAL_ERROR;
2086         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE,
2087                SSL_R_UNABLE_TO_FIND_ECDH_PARAMETERS);
2088         return 0;
2089     }
2090
2091     if ((curve_flags & TLS_CURVE_TYPE) == TLS_CURVE_CUSTOM) {
2092         EVP_PKEY *key = EVP_PKEY_new();
2093
2094         if (key == NULL || !EVP_PKEY_set_type(key, curve_nid)) {
2095             *al = SSL_AD_INTERNAL_ERROR;
2096             SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, ERR_R_EVP_LIB);
2097             EVP_PKEY_free(key);
2098             return 0;
2099         }
2100         s->s3->peer_tmp = key;
2101     } else {
2102         /* Set up EVP_PKEY with named curve as parameters */
2103         pctx = EVP_PKEY_CTX_new_id(EVP_PKEY_EC, NULL);
2104         if (pctx == NULL
2105             || EVP_PKEY_paramgen_init(pctx) <= 0
2106             || EVP_PKEY_CTX_set_ec_paramgen_curve_nid(pctx, curve_nid) <= 0
2107             || EVP_PKEY_paramgen(pctx, &s->s3->peer_tmp) <= 0) {
2108             *al = SSL_AD_INTERNAL_ERROR;
2109             SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, ERR_R_EVP_LIB);
2110             EVP_PKEY_CTX_free(pctx);
2111             return 0;
2112         }
2113         EVP_PKEY_CTX_free(pctx);
2114         pctx = NULL;
2115     }
2116
2117     if (!PACKET_get_length_prefixed_1(pkt, &encoded_pt)) {
2118         *al = SSL_AD_DECODE_ERROR;
2119         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, SSL_R_LENGTH_MISMATCH);
2120         return 0;
2121     }
2122
2123     if (!EVP_PKEY_set1_tls_encodedpoint(s->s3->peer_tmp,
2124                                         PACKET_data(&encoded_pt),
2125                                         PACKET_remaining(&encoded_pt))) {
2126         *al = SSL_AD_DECODE_ERROR;
2127         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, SSL_R_BAD_ECPOINT);
2128         return 0;
2129     }
2130
2131     /*
2132      * The ECC/TLS specification does not mention the use of DSA to sign
2133      * ECParameters in the server key exchange message. We do support RSA
2134      * and ECDSA.
2135      */
2136     if (s->s3->tmp.new_cipher->algorithm_auth & SSL_aECDSA)
2137         *pkey = X509_get0_pubkey(s->session->peer);
2138     else if (s->s3->tmp.new_cipher->algorithm_auth & SSL_aRSA)
2139         *pkey = X509_get0_pubkey(s->session->peer);
2140     /* else anonymous ECDH, so no certificate or pkey. */
2141
2142     return 1;
2143 #else
2144     SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, ERR_R_INTERNAL_ERROR);
2145     *al = SSL_AD_INTERNAL_ERROR;
2146     return 0;
2147 #endif
2148 }
2149
2150 MSG_PROCESS_RETURN tls_process_key_exchange(SSL *s, PACKET *pkt)
2151 {
2152     int al = -1;
2153     long alg_k;
2154     EVP_PKEY *pkey = NULL;
2155     EVP_MD_CTX *md_ctx = NULL;
2156     EVP_PKEY_CTX *pctx = NULL;
2157     PACKET save_param_start, signature;
2158
2159     alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
2160
2161     save_param_start = *pkt;
2162
2163 #if !defined(OPENSSL_NO_EC) || !defined(OPENSSL_NO_DH)
2164     EVP_PKEY_free(s->s3->peer_tmp);
2165     s->s3->peer_tmp = NULL;
2166 #endif
2167
2168     if (alg_k & SSL_PSK) {
2169         if (!tls_process_ske_psk_preamble(s, pkt, &al))
2170             goto err;
2171     }
2172
2173     /* Nothing else to do for plain PSK or RSAPSK */
2174     if (alg_k & (SSL_kPSK | SSL_kRSAPSK)) {
2175     } else if (alg_k & SSL_kSRP) {
2176         if (!tls_process_ske_srp(s, pkt, &pkey, &al))
2177             goto err;
2178     } else if (alg_k & (SSL_kDHE | SSL_kDHEPSK)) {
2179         if (!tls_process_ske_dhe(s, pkt, &pkey, &al))
2180             goto err;
2181     } else if (alg_k & (SSL_kECDHE | SSL_kECDHEPSK)) {
2182         if (!tls_process_ske_ecdhe(s, pkt, &pkey, &al))
2183             goto err;
2184     } else if (alg_k) {
2185         al = SSL_AD_UNEXPECTED_MESSAGE;
2186         SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_UNEXPECTED_MESSAGE);
2187         goto err;
2188     }
2189
2190     /* if it was signed, check the signature */
2191     if (pkey != NULL) {
2192         PACKET params;
2193         int maxsig;
2194         const EVP_MD *md = NULL;
2195
2196         /*
2197          * |pkt| now points to the beginning of the signature, so the difference
2198          * equals the length of the parameters.
2199          */
2200         if (!PACKET_get_sub_packet(&save_param_start, &params,
2201                                    PACKET_remaining(&save_param_start) -
2202                                    PACKET_remaining(pkt))) {
2203             al = SSL_AD_INTERNAL_ERROR;
2204             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
2205             goto err;
2206         }
2207
2208         if (SSL_USE_SIGALGS(s)) {
2209             unsigned int sigalg;
2210             int rv;
2211
2212             if (!PACKET_get_net_2(pkt, &sigalg)) {
2213                 al = SSL_AD_DECODE_ERROR;
2214                 SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_LENGTH_TOO_SHORT);
2215                 goto err;
2216             }
2217             rv = tls12_check_peer_sigalg(s, sigalg, pkey);
2218             if (rv == -1) {
2219                 al = SSL_AD_INTERNAL_ERROR;
2220                 goto err;
2221             } else if (rv == 0) {
2222                 al = SSL_AD_DECODE_ERROR;
2223                 goto err;
2224             }
2225 #ifdef SSL_DEBUG
2226             fprintf(stderr, "USING TLSv1.2 HASH %s\n", EVP_MD_name(md));
2227 #endif
2228         } else if (!tls1_set_peer_legacy_sigalg(s, pkey)) {
2229             al = SSL_AD_INTERNAL_ERROR;
2230             goto err;
2231         }
2232
2233         md = ssl_md(s->s3->tmp.peer_sigalg->hash_idx);
2234
2235         if (!PACKET_get_length_prefixed_2(pkt, &signature)
2236             || PACKET_remaining(pkt) != 0) {
2237             al = SSL_AD_DECODE_ERROR;
2238             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_LENGTH_MISMATCH);
2239             goto err;
2240         }
2241         maxsig = EVP_PKEY_size(pkey);
2242         if (maxsig < 0) {
2243             al = SSL_AD_INTERNAL_ERROR;
2244             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
2245             goto err;
2246         }
2247
2248         /*
2249          * Check signature length
2250          */
2251         if (PACKET_remaining(&signature) > (size_t)maxsig) {
2252             /* wrong packet length */
2253             al = SSL_AD_DECODE_ERROR;
2254             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE,
2255                    SSL_R_WRONG_SIGNATURE_LENGTH);
2256             goto err;
2257         }
2258
2259         md_ctx = EVP_MD_CTX_new();
2260         if (md_ctx == NULL) {
2261             al = SSL_AD_INTERNAL_ERROR;
2262             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_MALLOC_FAILURE);
2263             goto err;
2264         }
2265
2266         if (EVP_DigestVerifyInit(md_ctx, &pctx, md, NULL, pkey) <= 0) {
2267             al = SSL_AD_INTERNAL_ERROR;
2268             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_EVP_LIB);
2269             goto err;
2270         }
2271         if (SSL_USE_PSS(s)) {
2272             if (EVP_PKEY_CTX_set_rsa_padding(pctx, RSA_PKCS1_PSS_PADDING) <= 0
2273                 || EVP_PKEY_CTX_set_rsa_pss_saltlen(pctx,
2274                                                 RSA_PSS_SALTLEN_DIGEST) <= 0) {
2275                 al = SSL_AD_INTERNAL_ERROR;
2276                 SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_EVP_LIB);
2277                 goto err;
2278             }
2279         }
2280         if (EVP_DigestVerifyUpdate(md_ctx, &(s->s3->client_random[0]),
2281                                    SSL3_RANDOM_SIZE) <= 0
2282                 || EVP_DigestVerifyUpdate(md_ctx, &(s->s3->server_random[0]),
2283                                           SSL3_RANDOM_SIZE) <= 0
2284                 || EVP_DigestVerifyUpdate(md_ctx, PACKET_data(&params),
2285                                           PACKET_remaining(&params)) <= 0) {
2286             al = SSL_AD_INTERNAL_ERROR;
2287             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_EVP_LIB);
2288             goto err;
2289         }
2290         if (EVP_DigestVerifyFinal(md_ctx, PACKET_data(&signature),
2291                                   PACKET_remaining(&signature)) <= 0) {
2292             /* bad signature */
2293             al = SSL_AD_DECRYPT_ERROR;
2294             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_BAD_SIGNATURE);
2295             goto err;
2296         }
2297         EVP_MD_CTX_free(md_ctx);
2298         md_ctx = NULL;
2299     } else {
2300         /* aNULL, aSRP or PSK do not need public keys */
2301         if (!(s->s3->tmp.new_cipher->algorithm_auth & (SSL_aNULL | SSL_aSRP))
2302             && !(alg_k & SSL_PSK)) {
2303             /* Might be wrong key type, check it */
2304             if (ssl3_check_cert_and_algorithm(s)) {
2305                 /* Otherwise this shouldn't happen */
2306                 al = SSL_AD_INTERNAL_ERROR;
2307                 SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
2308             } else {
2309                 al = SSL_AD_DECODE_ERROR;
2310             }
2311             goto err;
2312         }
2313         /* still data left over */
2314         if (PACKET_remaining(pkt) != 0) {
2315             al = SSL_AD_DECODE_ERROR;
2316             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_EXTRA_DATA_IN_MESSAGE);
2317             goto err;
2318         }
2319     }
2320
2321     return MSG_PROCESS_CONTINUE_READING;
2322  err:
2323     if (al != -1)
2324         ssl3_send_alert(s, SSL3_AL_FATAL, al);
2325     ossl_statem_set_error(s);
2326     EVP_MD_CTX_free(md_ctx);
2327     return MSG_PROCESS_ERROR;
2328 }
2329
2330 MSG_PROCESS_RETURN tls_process_certificate_request(SSL *s, PACKET *pkt)
2331 {
2332     int ret = MSG_PROCESS_ERROR;
2333     int al = SSL_AD_DECODE_ERROR;
2334     size_t i;
2335
2336     /* Clear certificate validity flags */
2337     for (i = 0; i < SSL_PKEY_NUM; i++)
2338         s->s3->tmp.valid_flags[i] = 0;
2339
2340     if (SSL_IS_TLS13(s)) {
2341         PACKET reqctx, extensions;
2342         RAW_EXTENSION *rawexts = NULL;
2343
2344         /* Free and zero certificate types: it is not present in TLS 1.3 */
2345         OPENSSL_free(s->s3->tmp.ctype);
2346         s->s3->tmp.ctype = NULL;
2347         s->s3->tmp.ctype_len = 0;
2348
2349         /* TODO(TLS1.3) need to process request context, for now ignore */
2350         if (!PACKET_get_length_prefixed_1(pkt, &reqctx)) {
2351             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2352                    SSL_R_LENGTH_MISMATCH);
2353             goto err;
2354         }
2355
2356         if (!PACKET_get_length_prefixed_2(pkt, &extensions)) {
2357                 SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, SSL_R_BAD_LENGTH);
2358                 goto err;
2359         }
2360         if (!tls_collect_extensions(s, &extensions,
2361                                     SSL_EXT_TLS1_3_CERTIFICATE_REQUEST,
2362                                     &rawexts, &al, NULL)
2363             || !tls_parse_all_extensions(s, SSL_EXT_TLS1_3_CERTIFICATE_REQUEST,
2364                                          rawexts, NULL, 0, &al)) {
2365             OPENSSL_free(rawexts);
2366             goto err;
2367         }
2368         OPENSSL_free(rawexts);
2369         if (!tls1_process_sigalgs(s)) {
2370             al = SSL_AD_INTERNAL_ERROR;
2371             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, ERR_R_MALLOC_FAILURE);
2372             goto err;
2373         }
2374     } else {
2375         PACKET ctypes;
2376
2377         /* get the certificate types */
2378         if (!PACKET_get_length_prefixed_1(pkt, &ctypes)) {
2379             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2380                    SSL_R_LENGTH_MISMATCH);
2381             goto err;
2382         }
2383
2384         if (!PACKET_memdup(&ctypes, &s->s3->tmp.ctype, &s->s3->tmp.ctype_len)) {
2385             al = SSL_AD_INTERNAL_ERROR;
2386             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, ERR_R_INTERNAL_ERROR);
2387             goto err;
2388         }
2389
2390         if (SSL_USE_SIGALGS(s)) {
2391             PACKET sigalgs;
2392
2393             if (!PACKET_get_length_prefixed_2(pkt, &sigalgs)) {
2394                 SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2395                        SSL_R_LENGTH_MISMATCH);
2396                 goto err;
2397             }
2398
2399             if (!tls1_save_sigalgs(s, &sigalgs)) {
2400                 SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2401                        SSL_R_SIGNATURE_ALGORITHMS_ERROR);
2402                 goto err;
2403             }
2404             if (!tls1_process_sigalgs(s)) {
2405                 al = SSL_AD_INTERNAL_ERROR;
2406                 SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2407                        ERR_R_MALLOC_FAILURE);
2408                 goto err;
2409             }
2410         }
2411
2412         /* get the CA RDNs */
2413         if (!parse_ca_names(s, pkt, &al))
2414             goto err;
2415     }
2416
2417     if (PACKET_remaining(pkt) != 0) {
2418         SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, SSL_R_LENGTH_MISMATCH);
2419         goto err;
2420     }
2421
2422     /* we should setup a certificate to return.... */
2423     s->s3->tmp.cert_req = 1;
2424
2425     ret = MSG_PROCESS_CONTINUE_PROCESSING;
2426     goto done;
2427  err:
2428     ssl3_send_alert(s, SSL3_AL_FATAL, al);
2429     ossl_statem_set_error(s);
2430  done:
2431     return ret;
2432 }
2433
2434 MSG_PROCESS_RETURN tls_process_new_session_ticket(SSL *s, PACKET *pkt)
2435 {
2436     int al = SSL_AD_DECODE_ERROR;
2437     unsigned int ticklen;
2438     unsigned long ticket_lifetime_hint, age_add = 0;
2439     unsigned int sess_len;
2440     RAW_EXTENSION *exts = NULL;
2441
2442     if (!PACKET_get_net_4(pkt, &ticket_lifetime_hint)
2443         || (SSL_IS_TLS13(s) && !PACKET_get_net_4(pkt, &age_add))
2444         || !PACKET_get_net_2(pkt, &ticklen)
2445         || (!SSL_IS_TLS13(s) && PACKET_remaining(pkt) != ticklen)
2446         || (SSL_IS_TLS13(s)
2447             && (ticklen == 0 || PACKET_remaining(pkt) < ticklen))) {
2448         SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, SSL_R_LENGTH_MISMATCH);
2449         goto f_err;
2450     }
2451
2452     /*
2453      * Server is allowed to change its mind (in <=TLSv1.2) and send an empty
2454      * ticket. We already checked this TLSv1.3 case above, so it should never
2455      * be 0 here in that instance
2456      */
2457     if (ticklen == 0)
2458         return MSG_PROCESS_CONTINUE_READING;
2459
2460     /* TODO(TLS1.3): Is this a suitable test for TLS1.3? */
2461     if (s->session->session_id_length > 0) {
2462         int i = s->session_ctx->session_cache_mode;
2463         SSL_SESSION *new_sess;
2464         /*
2465          * We reused an existing session, so we need to replace it with a new
2466          * one
2467          */
2468         if (i & SSL_SESS_CACHE_CLIENT) {
2469             /*
2470              * Remove the old session from the cache. We carry on if this fails
2471              */
2472             SSL_CTX_remove_session(s->session_ctx, s->session);
2473         }
2474
2475         if ((new_sess = ssl_session_dup(s->session, 0)) == 0) {
2476             al = SSL_AD_INTERNAL_ERROR;
2477             SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, ERR_R_MALLOC_FAILURE);
2478             goto f_err;
2479         }
2480
2481         SSL_SESSION_free(s->session);
2482         s->session = new_sess;
2483     }
2484
2485     /*
2486      * Technically the cast to long here is not guaranteed by the C standard -
2487      * but we use it elsewhere, so this should be ok.
2488      */
2489     s->session->time = (long)time(NULL);
2490
2491     OPENSSL_free(s->session->ext.tick);
2492     s->session->ext.tick = NULL;
2493     s->session->ext.ticklen = 0;
2494
2495     s->session->ext.tick = OPENSSL_malloc(ticklen);
2496     if (s->session->ext.tick == NULL) {
2497         SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, ERR_R_MALLOC_FAILURE);
2498         goto err;
2499     }
2500     if (!PACKET_copy_bytes(pkt, s->session->ext.tick, ticklen)) {
2501         al = SSL_AD_DECODE_ERROR;
2502         SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, SSL_R_LENGTH_MISMATCH);
2503         goto f_err;
2504     }
2505
2506     s->session->ext.tick_lifetime_hint = ticket_lifetime_hint;
2507     s->session->ext.tick_age_add = age_add;
2508     s->session->ext.ticklen = ticklen;
2509
2510     if (SSL_IS_TLS13(s)) {
2511         PACKET extpkt;
2512
2513         if (!PACKET_as_length_prefixed_2(pkt, &extpkt)
2514                 || !tls_collect_extensions(s, &extpkt,
2515                                            SSL_EXT_TLS1_3_NEW_SESSION_TICKET,
2516                                            &exts, &al, NULL)
2517                 || !tls_parse_all_extensions(s,
2518                                              SSL_EXT_TLS1_3_NEW_SESSION_TICKET,
2519                                              exts, NULL, 0, &al)) {
2520             SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, SSL_R_BAD_EXTENSION);
2521             goto f_err;
2522         }
2523     }
2524
2525     /*
2526      * There are two ways to detect a resumed ticket session. One is to set
2527      * an appropriate session ID and then the server must return a match in
2528      * ServerHello. This allows the normal client session ID matching to work
2529      * and we know much earlier that the ticket has been accepted. The
2530      * other way is to set zero length session ID when the ticket is
2531      * presented and rely on the handshake to determine session resumption.
2532      * We choose the former approach because this fits in with assumptions
2533      * elsewhere in OpenSSL. The session ID is set to the SHA256 (or SHA1 is
2534      * SHA256 is disabled) hash of the ticket.
2535      */
2536     /*
2537      * TODO(size_t): we use sess_len here because EVP_Digest expects an int
2538      * but s->session->session_id_length is a size_t
2539      */
2540     if (!EVP_Digest(s->session->ext.tick, ticklen,
2541                     s->session->session_id, &sess_len,
2542                     EVP_sha256(), NULL)) {
2543         SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, ERR_R_EVP_LIB);
2544         goto err;
2545     }
2546     s->session->session_id_length = sess_len;
2547
2548     /* This is a standalone message in TLSv1.3, so there is no more to read */
2549     if (SSL_IS_TLS13(s)) {
2550         OPENSSL_free(exts);
2551         ssl_update_cache(s, SSL_SESS_CACHE_CLIENT);
2552         return MSG_PROCESS_FINISHED_READING;
2553     }
2554
2555     return MSG_PROCESS_CONTINUE_READING;
2556  f_err:
2557     ssl3_send_alert(s, SSL3_AL_FATAL, al);
2558  err:
2559     ossl_statem_set_error(s);
2560     OPENSSL_free(exts);
2561     return MSG_PROCESS_ERROR;
2562 }
2563
2564 /*
2565  * In TLSv1.3 this is called from the extensions code, otherwise it is used to
2566  * parse a separate message. Returns 1 on success or 0 on failure. On failure
2567  * |*al| is populated with a suitable alert code.
2568  */
2569 int tls_process_cert_status_body(SSL *s, PACKET *pkt, int *al)
2570 {
2571     size_t resplen;
2572     unsigned int type;
2573
2574     if (!PACKET_get_1(pkt, &type)
2575         || type != TLSEXT_STATUSTYPE_ocsp) {
2576         *al = SSL_AD_DECODE_ERROR;
2577         SSLerr(SSL_F_TLS_PROCESS_CERT_STATUS_BODY,
2578                SSL_R_UNSUPPORTED_STATUS_TYPE);
2579         return 0;
2580     }
2581     if (!PACKET_get_net_3_len(pkt, &resplen)
2582         || PACKET_remaining(pkt) != resplen) {
2583         *al = SSL_AD_DECODE_ERROR;
2584         SSLerr(SSL_F_TLS_PROCESS_CERT_STATUS_BODY, SSL_R_LENGTH_MISMATCH);
2585         return 0;
2586     }
2587     s->ext.ocsp.resp = OPENSSL_malloc(resplen);
2588     if (s->ext.ocsp.resp == NULL) {
2589         *al = SSL_AD_INTERNAL_ERROR;
2590         SSLerr(SSL_F_TLS_PROCESS_CERT_STATUS_BODY, ERR_R_MALLOC_FAILURE);
2591         return 0;
2592     }
2593     if (!PACKET_copy_bytes(pkt, s->ext.ocsp.resp, resplen)) {
2594         *al = SSL_AD_DECODE_ERROR;
2595         SSLerr(SSL_F_TLS_PROCESS_CERT_STATUS_BODY, SSL_R_LENGTH_MISMATCH);
2596         return 0;
2597     }
2598     s->ext.ocsp.resp_len = resplen;
2599
2600     return 1;
2601 }
2602
2603
2604 MSG_PROCESS_RETURN tls_process_cert_status(SSL *s, PACKET *pkt)
2605 {
2606     int al;
2607
2608     if (!tls_process_cert_status_body(s, pkt, &al)) {
2609         ssl3_send_alert(s, SSL3_AL_FATAL, al);
2610         ossl_statem_set_error(s);
2611         return MSG_PROCESS_ERROR;
2612     }
2613
2614     return MSG_PROCESS_CONTINUE_READING;
2615 }
2616
2617 /*
2618  * Perform miscellaneous checks and processing after we have received the
2619  * server's initial flight. In TLS1.3 this is after the Server Finished message.
2620  * In <=TLS1.2 this is after the ServerDone message. Returns 1 on success or 0
2621  * on failure.
2622  */
2623 int tls_process_initial_server_flight(SSL *s, int *al)
2624 {
2625     /*
2626      * at this point we check that we have the required stuff from
2627      * the server
2628      */
2629     if (!ssl3_check_cert_and_algorithm(s)) {
2630         *al = SSL_AD_HANDSHAKE_FAILURE;
2631         return 0;
2632     }
2633
2634     /*
2635      * Call the ocsp status callback if needed. The |ext.ocsp.resp| and
2636      * |ext.ocsp.resp_len| values will be set if we actually received a status
2637      * message, or NULL and -1 otherwise
2638      */
2639     if (s->ext.status_type != TLSEXT_STATUSTYPE_nothing
2640             && s->ctx->ext.status_cb != NULL) {
2641         int ret = s->ctx->ext.status_cb(s, s->ctx->ext.status_arg);
2642
2643         if (ret == 0) {
2644             *al = SSL_AD_BAD_CERTIFICATE_STATUS_RESPONSE;
2645             SSLerr(SSL_F_TLS_PROCESS_INITIAL_SERVER_FLIGHT,
2646                    SSL_R_INVALID_STATUS_RESPONSE);
2647             return 0;
2648         }
2649         if (ret < 0) {
2650             *al = SSL_AD_INTERNAL_ERROR;
2651             SSLerr(SSL_F_TLS_PROCESS_INITIAL_SERVER_FLIGHT,
2652                    ERR_R_MALLOC_FAILURE);
2653             return 0;
2654         }
2655     }
2656 #ifndef OPENSSL_NO_CT
2657     if (s->ct_validation_callback != NULL) {
2658         /* Note we validate the SCTs whether or not we abort on error */
2659         if (!ssl_validate_ct(s) && (s->verify_mode & SSL_VERIFY_PEER)) {
2660             *al = SSL_AD_HANDSHAKE_FAILURE;
2661             return 0;
2662         }
2663     }
2664 #endif
2665
2666     return 1;
2667 }
2668
2669 MSG_PROCESS_RETURN tls_process_server_done(SSL *s, PACKET *pkt)
2670 {
2671     int al = SSL_AD_INTERNAL_ERROR;
2672
2673     if (PACKET_remaining(pkt) > 0) {
2674         /* should contain no data */
2675         al = SSL_AD_DECODE_ERROR;
2676         SSLerr(SSL_F_TLS_PROCESS_SERVER_DONE, SSL_R_LENGTH_MISMATCH);
2677         goto err;
2678     }
2679 #ifndef OPENSSL_NO_SRP
2680     if (s->s3->tmp.new_cipher->algorithm_mkey & SSL_kSRP) {
2681         if (SRP_Calc_A_param(s) <= 0) {
2682             SSLerr(SSL_F_TLS_PROCESS_SERVER_DONE, SSL_R_SRP_A_CALC);
2683             goto err;
2684         }
2685     }
2686 #endif
2687
2688     /*
2689      * Error queue messages are generated directly by this function
2690      */
2691     if (!tls_process_initial_server_flight(s, &al))
2692         goto err;
2693
2694 #ifndef OPENSSL_NO_SCTP
2695     /* Only applies to renegotiation */
2696     if (SSL_IS_DTLS(s) && BIO_dgram_is_sctp(SSL_get_wbio(s))
2697         && s->renegotiate != 0)
2698         return MSG_PROCESS_CONTINUE_PROCESSING;
2699     else
2700 #endif
2701         return MSG_PROCESS_FINISHED_READING;
2702
2703  err:
2704     ssl3_send_alert(s, SSL3_AL_FATAL, al);
2705     ossl_statem_set_error(s);
2706     return MSG_PROCESS_ERROR;
2707 }
2708
2709 static int tls_construct_cke_psk_preamble(SSL *s, WPACKET *pkt, int *al)
2710 {
2711 #ifndef OPENSSL_NO_PSK
2712     int ret = 0;
2713     /*
2714      * The callback needs PSK_MAX_IDENTITY_LEN + 1 bytes to return a
2715      * \0-terminated identity. The last byte is for us for simulating
2716      * strnlen.
2717      */
2718     char identity[PSK_MAX_IDENTITY_LEN + 1];
2719     size_t identitylen = 0;
2720     unsigned char psk[PSK_MAX_PSK_LEN];
2721     unsigned char *tmppsk = NULL;
2722     char *tmpidentity = NULL;
2723     size_t psklen = 0;
2724
2725     if (s->psk_client_callback == NULL) {
2726         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, SSL_R_PSK_NO_CLIENT_CB);
2727         *al = SSL_AD_INTERNAL_ERROR;
2728         goto err;
2729     }
2730
2731     memset(identity, 0, sizeof(identity));
2732
2733     psklen = s->psk_client_callback(s, s->session->psk_identity_hint,
2734                                     identity, sizeof(identity) - 1,
2735                                     psk, sizeof(psk));
2736
2737     if (psklen > PSK_MAX_PSK_LEN) {
2738         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
2739         *al = SSL_AD_HANDSHAKE_FAILURE;
2740         goto err;
2741     } else if (psklen == 0) {
2742         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE,
2743                SSL_R_PSK_IDENTITY_NOT_FOUND);
2744         *al = SSL_AD_HANDSHAKE_FAILURE;
2745         goto err;
2746     }
2747
2748     identitylen = strlen(identity);
2749     if (identitylen > PSK_MAX_IDENTITY_LEN) {
2750         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
2751         *al = SSL_AD_HANDSHAKE_FAILURE;
2752         goto err;
2753     }
2754
2755     tmppsk = OPENSSL_memdup(psk, psklen);
2756     tmpidentity = OPENSSL_strdup(identity);
2757     if (tmppsk == NULL || tmpidentity == NULL) {
2758         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_MALLOC_FAILURE);
2759         *al = SSL_AD_INTERNAL_ERROR;
2760         goto err;
2761     }
2762
2763     OPENSSL_free(s->s3->tmp.psk);
2764     s->s3->tmp.psk = tmppsk;
2765     s->s3->tmp.psklen = psklen;
2766     tmppsk = NULL;
2767     OPENSSL_free(s->session->psk_identity);
2768     s->session->psk_identity = tmpidentity;
2769     tmpidentity = NULL;
2770
2771     if (!WPACKET_sub_memcpy_u16(pkt, identity, identitylen))  {
2772         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
2773         *al = SSL_AD_INTERNAL_ERROR;
2774         goto err;
2775     }
2776
2777     ret = 1;
2778
2779  err:
2780     OPENSSL_cleanse(psk, psklen);
2781     OPENSSL_cleanse(identity, sizeof(identity));
2782     OPENSSL_clear_free(tmppsk, psklen);
2783     OPENSSL_clear_free(tmpidentity, identitylen);
2784
2785     return ret;
2786 #else
2787     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
2788     *al = SSL_AD_INTERNAL_ERROR;
2789     return 0;
2790 #endif
2791 }
2792
2793 static int tls_construct_cke_rsa(SSL *s, WPACKET *pkt, int *al)
2794 {
2795 #ifndef OPENSSL_NO_RSA
2796     unsigned char *encdata = NULL;
2797     EVP_PKEY *pkey = NULL;
2798     EVP_PKEY_CTX *pctx = NULL;
2799     size_t enclen;
2800     unsigned char *pms = NULL;
2801     size_t pmslen = 0;
2802
2803     if (s->session->peer == NULL) {
2804         /*
2805          * We should always have a server certificate with SSL_kRSA.
2806          */
2807         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2808         return 0;
2809     }
2810
2811     pkey = X509_get0_pubkey(s->session->peer);
2812     if (EVP_PKEY_get0_RSA(pkey) == NULL) {
2813         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2814         return 0;
2815     }
2816
2817     pmslen = SSL_MAX_MASTER_KEY_LENGTH;
2818     pms = OPENSSL_malloc(pmslen);
2819     if (pms == NULL) {
2820         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_MALLOC_FAILURE);
2821         *al = SSL_AD_INTERNAL_ERROR;
2822         return 0;
2823     }
2824
2825     pms[0] = s->client_version >> 8;
2826     pms[1] = s->client_version & 0xff;
2827     /* TODO(size_t): Convert this function */
2828     if (RAND_bytes(pms + 2, (int)(pmslen - 2)) <= 0) {
2829         goto err;
2830     }
2831
2832     /* Fix buf for TLS and beyond */
2833     if (s->version > SSL3_VERSION && !WPACKET_start_sub_packet_u16(pkt)) {
2834         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2835         goto err;
2836     }
2837     pctx = EVP_PKEY_CTX_new(pkey, NULL);
2838     if (pctx == NULL || EVP_PKEY_encrypt_init(pctx) <= 0
2839         || EVP_PKEY_encrypt(pctx, NULL, &enclen, pms, pmslen) <= 0) {
2840         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_EVP_LIB);
2841         goto err;
2842     }
2843     if (!WPACKET_allocate_bytes(pkt, enclen, &encdata)
2844             || EVP_PKEY_encrypt(pctx, encdata, &enclen, pms, pmslen) <= 0) {
2845         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, SSL_R_BAD_RSA_ENCRYPT);
2846         goto err;
2847     }
2848     EVP_PKEY_CTX_free(pctx);
2849     pctx = NULL;
2850
2851     /* Fix buf for TLS and beyond */
2852     if (s->version > SSL3_VERSION && !WPACKET_close(pkt)) {
2853         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2854         goto err;
2855     }
2856
2857     /* Log the premaster secret, if logging is enabled. */
2858     if (!ssl_log_rsa_client_key_exchange(s, encdata, enclen, pms, pmslen))
2859         goto err;
2860
2861     s->s3->tmp.pms = pms;
2862     s->s3->tmp.pmslen = pmslen;
2863
2864     return 1;
2865  err:
2866     OPENSSL_clear_free(pms, pmslen);
2867     EVP_PKEY_CTX_free(pctx);
2868
2869     return 0;
2870 #else
2871     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2872     *al = SSL_AD_INTERNAL_ERROR;
2873     return 0;
2874 #endif
2875 }
2876
2877 static int tls_construct_cke_dhe(SSL *s, WPACKET *pkt, int *al)
2878 {
2879 #ifndef OPENSSL_NO_DH
2880     DH *dh_clnt = NULL;
2881     const BIGNUM *pub_key;
2882     EVP_PKEY *ckey = NULL, *skey = NULL;
2883     unsigned char *keybytes = NULL;
2884
2885     skey = s->s3->peer_tmp;
2886     if (skey == NULL)
2887         goto err;
2888
2889     ckey = ssl_generate_pkey(skey);
2890     if (ckey == NULL)
2891         goto err;
2892
2893     dh_clnt = EVP_PKEY_get0_DH(ckey);
2894
2895     if (dh_clnt == NULL || ssl_derive(s, ckey, skey, 0) == 0)
2896         goto err;
2897
2898     /* send off the data */
2899     DH_get0_key(dh_clnt, &pub_key, NULL);
2900     if (!WPACKET_sub_allocate_bytes_u16(pkt, BN_num_bytes(pub_key), &keybytes))
2901         goto err;
2902
2903     BN_bn2bin(pub_key, keybytes);
2904     EVP_PKEY_free(ckey);
2905
2906     return 1;
2907  err:
2908     EVP_PKEY_free(ckey);
2909 #endif
2910     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_DHE, ERR_R_INTERNAL_ERROR);
2911     *al = SSL_AD_INTERNAL_ERROR;
2912     return 0;
2913 }
2914
2915 static int tls_construct_cke_ecdhe(SSL *s, WPACKET *pkt, int *al)
2916 {
2917 #ifndef OPENSSL_NO_EC
2918     unsigned char *encodedPoint = NULL;
2919     size_t encoded_pt_len = 0;
2920     EVP_PKEY *ckey = NULL, *skey = NULL;
2921     int ret = 0;
2922
2923     skey = s->s3->peer_tmp;
2924     if (skey == NULL) {
2925         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_INTERNAL_ERROR);
2926         return 0;
2927     }
2928
2929     ckey = ssl_generate_pkey(skey);
2930     if (ckey == NULL) {
2931         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_MALLOC_FAILURE);
2932         goto err;
2933     }
2934
2935     if (ssl_derive(s, ckey, skey, 0) == 0) {
2936         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_EVP_LIB);
2937         goto err;
2938     }
2939
2940     /* Generate encoding of client key */
2941     encoded_pt_len = EVP_PKEY_get1_tls_encodedpoint(ckey, &encodedPoint);
2942
2943     if (encoded_pt_len == 0) {
2944         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_EC_LIB);
2945         goto err;
2946     }
2947
2948     if (!WPACKET_sub_memcpy_u8(pkt, encodedPoint, encoded_pt_len)) {
2949         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_INTERNAL_ERROR);
2950         goto err;
2951     }
2952
2953     ret = 1;
2954  err:
2955     OPENSSL_free(encodedPoint);
2956     EVP_PKEY_free(ckey);
2957     return ret;
2958 #else
2959     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_INTERNAL_ERROR);
2960     *al = SSL_AD_INTERNAL_ERROR;
2961     return 0;
2962 #endif
2963 }
2964
2965 static int tls_construct_cke_gost(SSL *s, WPACKET *pkt, int *al)
2966 {
2967 #ifndef OPENSSL_NO_GOST
2968     /* GOST key exchange message creation */
2969     EVP_PKEY_CTX *pkey_ctx = NULL;
2970     X509 *peer_cert;
2971     size_t msglen;
2972     unsigned int md_len;
2973     unsigned char shared_ukm[32], tmp[256];
2974     EVP_MD_CTX *ukm_hash = NULL;
2975     int dgst_nid = NID_id_GostR3411_94;
2976     unsigned char *pms = NULL;
2977     size_t pmslen = 0;
2978
2979     if ((s->s3->tmp.new_cipher->algorithm_auth & SSL_aGOST12) != 0)
2980         dgst_nid = NID_id_GostR3411_2012_256;
2981
2982     /*
2983      * Get server certificate PKEY and create ctx from it
2984      */
2985     peer_cert = s->session->peer;
2986     if (!peer_cert) {
2987         *al = SSL_AD_HANDSHAKE_FAILURE;
2988         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST,
2989                SSL_R_NO_GOST_CERTIFICATE_SENT_BY_PEER);
2990         return 0;
2991     }
2992
2993     pkey_ctx = EVP_PKEY_CTX_new(X509_get0_pubkey(peer_cert), NULL);
2994     if (pkey_ctx == NULL) {
2995         *al = SSL_AD_INTERNAL_ERROR;
2996         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_MALLOC_FAILURE);
2997         return 0;
2998     }
2999     /*
3000      * If we have send a certificate, and certificate key
3001      * parameters match those of server certificate, use
3002      * certificate key for key exchange
3003      */
3004
3005     /* Otherwise, generate ephemeral key pair */
3006     pmslen = 32;
3007     pms = OPENSSL_malloc(pmslen);
3008     if (pms == NULL) {
3009         *al = SSL_AD_INTERNAL_ERROR;
3010         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_MALLOC_FAILURE);
3011         goto err;
3012     }
3013
3014     if (EVP_PKEY_encrypt_init(pkey_ctx) <= 0
3015         /* Generate session key
3016          * TODO(size_t): Convert this function
3017          */
3018         || RAND_bytes(pms, (int)pmslen) <= 0) {
3019         *al = SSL_AD_INTERNAL_ERROR;
3020         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_INTERNAL_ERROR);
3021         goto err;
3022     };
3023     /*
3024      * Compute shared IV and store it in algorithm-specific context
3025      * data
3026      */
3027     ukm_hash = EVP_MD_CTX_new();
3028     if (ukm_hash == NULL
3029         || EVP_DigestInit(ukm_hash, EVP_get_digestbynid(dgst_nid)) <= 0
3030         || EVP_DigestUpdate(ukm_hash, s->s3->client_random,
3031                             SSL3_RANDOM_SIZE) <= 0
3032         || EVP_DigestUpdate(ukm_hash, s->s3->server_random,
3033                             SSL3_RANDOM_SIZE) <= 0
3034         || EVP_DigestFinal_ex(ukm_hash, shared_ukm, &md_len) <= 0) {
3035         *al = SSL_AD_INTERNAL_ERROR;
3036         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_INTERNAL_ERROR);
3037         goto err;
3038     }
3039     EVP_MD_CTX_free(ukm_hash);
3040     ukm_hash = NULL;
3041     if (EVP_PKEY_CTX_ctrl(pkey_ctx, -1, EVP_PKEY_OP_ENCRYPT,
3042                           EVP_PKEY_CTRL_SET_IV, 8, shared_ukm) < 0) {
3043         *al = SSL_AD_INTERNAL_ERROR;
3044         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, SSL_R_LIBRARY_BUG);
3045         goto err;
3046     }
3047     /* Make GOST keytransport blob message */
3048     /*
3049      * Encapsulate it into sequence
3050      */
3051     msglen = 255;
3052     if (EVP_PKEY_encrypt(pkey_ctx, tmp, &msglen, pms, pmslen) <= 0) {
3053         *al = SSL_AD_INTERNAL_ERROR;
3054         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, SSL_R_LIBRARY_BUG);
3055         goto err;
3056     }
3057
3058     if (!WPACKET_put_bytes_u8(pkt, V_ASN1_SEQUENCE | V_ASN1_CONSTRUCTED)
3059             || (msglen >= 0x80 && !WPACKET_put_bytes_u8(pkt, 0x81))
3060             || !WPACKET_sub_memcpy_u8(pkt, tmp, msglen)) {
3061         *al = SSL_AD_INTERNAL_ERROR;
3062         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_INTERNAL_ERROR);
3063         goto err;
3064     }
3065
3066     EVP_PKEY_CTX_free(pkey_ctx);
3067     s->s3->tmp.pms = pms;
3068     s->s3->tmp.pmslen = pmslen;
3069
3070     return 1;
3071  err:
3072     EVP_PKEY_CTX_free(pkey_ctx);
3073     OPENSSL_clear_free(pms, pmslen);
3074     EVP_MD_CTX_free(ukm_hash);
3075     return 0;
3076 #else
3077     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_INTERNAL_ERROR);
3078     *al = SSL_AD_INTERNAL_ERROR;
3079     return 0;
3080 #endif
3081 }
3082
3083 static int tls_construct_cke_srp(SSL *s, WPACKET *pkt, int *al)
3084 {
3085 #ifndef OPENSSL_NO_SRP
3086     unsigned char *abytes = NULL;
3087
3088     if (s->srp_ctx.A == NULL
3089             || !WPACKET_sub_allocate_bytes_u16(pkt, BN_num_bytes(s->srp_ctx.A),
3090                                                &abytes)) {
3091         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_SRP, ERR_R_INTERNAL_ERROR);
3092         return 0;
3093     }
3094     BN_bn2bin(s->srp_ctx.A, abytes);
3095
3096     OPENSSL_free(s->session->srp_username);
3097     s->session->srp_username = OPENSSL_strdup(s->srp_ctx.login);
3098     if (s->session->srp_username == NULL) {
3099         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_SRP, ERR_R_MALLOC_FAILURE);
3100         return 0;
3101     }
3102
3103     return 1;
3104 #else
3105     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_SRP, ERR_R_INTERNAL_ERROR);
3106     *al = SSL_AD_INTERNAL_ERROR;
3107     return 0;
3108 #endif
3109 }
3110
3111 int tls_construct_client_key_exchange(SSL *s, WPACKET *pkt)
3112 {
3113     unsigned long alg_k;
3114     int al = -1;
3115
3116     alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
3117
3118     if ((alg_k & SSL_PSK)
3119         && !tls_construct_cke_psk_preamble(s, pkt, &al))
3120         goto err;
3121
3122     if (alg_k & (SSL_kRSA | SSL_kRSAPSK)) {
3123         if (!tls_construct_cke_rsa(s, pkt, &al))
3124             goto err;
3125     } else if (alg_k & (SSL_kDHE | SSL_kDHEPSK)) {
3126         if (!tls_construct_cke_dhe(s, pkt, &al))
3127             goto err;
3128     } else if (alg_k & (SSL_kECDHE | SSL_kECDHEPSK)) {
3129         if (!tls_construct_cke_ecdhe(s, pkt, &al))
3130             goto err;
3131     } else if (alg_k & SSL_kGOST) {
3132         if (!tls_construct_cke_gost(s, pkt, &al))
3133             goto err;
3134     } else if (alg_k & SSL_kSRP) {
3135         if (!tls_construct_cke_srp(s, pkt, &al))
3136             goto err;
3137     } else if (!(alg_k & SSL_kPSK)) {
3138         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_HANDSHAKE_FAILURE);
3139         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
3140         goto err;
3141     }
3142
3143     return 1;
3144  err:
3145     if (al != -1)
3146         ssl3_send_alert(s, SSL3_AL_FATAL, al);
3147     OPENSSL_clear_free(s->s3->tmp.pms, s->s3->tmp.pmslen);
3148     s->s3->tmp.pms = NULL;
3149 #ifndef OPENSSL_NO_PSK
3150     OPENSSL_clear_free(s->s3->tmp.psk, s->s3->tmp.psklen);
3151     s->s3->tmp.psk = NULL;
3152 #endif
3153     return 0;
3154 }
3155
3156 int tls_client_key_exchange_post_work(SSL *s)
3157 {
3158     unsigned char *pms = NULL;
3159     size_t pmslen = 0;
3160
3161     pms = s->s3->tmp.pms;
3162     pmslen = s->s3->tmp.pmslen;
3163
3164 #ifndef OPENSSL_NO_SRP
3165     /* Check for SRP */
3166     if (s->s3->tmp.new_cipher->algorithm_mkey & SSL_kSRP) {
3167         if (!srp_generate_client_master_secret(s)) {
3168             SSLerr(SSL_F_TLS_CLIENT_KEY_EXCHANGE_POST_WORK,
3169                    ERR_R_INTERNAL_ERROR);
3170             goto err;
3171         }
3172         return 1;
3173     }
3174 #endif
3175
3176     if (pms == NULL && !(s->s3->tmp.new_cipher->algorithm_mkey & SSL_kPSK)) {
3177         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3178         SSLerr(SSL_F_TLS_CLIENT_KEY_EXCHANGE_POST_WORK, ERR_R_MALLOC_FAILURE);
3179         goto err;
3180     }
3181     if (!ssl_generate_master_secret(s, pms, pmslen, 1)) {
3182         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3183         SSLerr(SSL_F_TLS_CLIENT_KEY_EXCHANGE_POST_WORK, ERR_R_INTERNAL_ERROR);
3184         /* ssl_generate_master_secret frees the pms even on error */
3185         pms = NULL;
3186         pmslen = 0;
3187         goto err;
3188     }
3189     pms = NULL;
3190     pmslen = 0;
3191
3192 #ifndef OPENSSL_NO_SCTP
3193     if (SSL_IS_DTLS(s)) {
3194         unsigned char sctpauthkey[64];
3195         char labelbuffer[sizeof(DTLS1_SCTP_AUTH_LABEL)];
3196
3197         /*
3198          * Add new shared key for SCTP-Auth, will be ignored if no SCTP
3199          * used.
3200          */
3201         memcpy(labelbuffer, DTLS1_SCTP_AUTH_LABEL,
3202                sizeof(DTLS1_SCTP_AUTH_LABEL));
3203
3204         if (SSL_export_keying_material(s, sctpauthkey,
3205                                        sizeof(sctpauthkey), labelbuffer,
3206                                        sizeof(labelbuffer), NULL, 0, 0) <= 0)
3207             goto err;
3208
3209         BIO_ctrl(SSL_get_wbio(s), BIO_CTRL_DGRAM_SCTP_ADD_AUTH_KEY,
3210                  sizeof(sctpauthkey), sctpauthkey);
3211     }
3212 #endif
3213
3214     return 1;
3215  err:
3216     OPENSSL_clear_free(pms, pmslen);
3217     s->s3->tmp.pms = NULL;
3218     return 0;
3219 }
3220
3221 /*
3222  * Check a certificate can be used for client authentication. Currently check
3223  * cert exists, if we have a suitable digest for TLS 1.2 if static DH client
3224  * certificates can be used and optionally checks suitability for Suite B.
3225  */
3226 static int ssl3_check_client_certificate(SSL *s)
3227 {
3228     /* If no suitable signature algorithm can't use certificate */
3229     if (!tls_choose_sigalg(s, NULL) || s->s3->tmp.sigalg == NULL)
3230         return 0;
3231     /*
3232      * If strict mode check suitability of chain before using it. This also
3233      * adjusts suite B digest if necessary.
3234      */
3235     if (s->cert->cert_flags & SSL_CERT_FLAGS_CHECK_TLS_STRICT &&
3236         !tls1_check_chain(s, NULL, NULL, NULL, -2))
3237         return 0;
3238     return 1;
3239 }
3240
3241 WORK_STATE tls_prepare_client_certificate(SSL *s, WORK_STATE wst)
3242 {
3243     X509 *x509 = NULL;
3244     EVP_PKEY *pkey = NULL;
3245     int i;
3246
3247     if (wst == WORK_MORE_A) {
3248         /* Let cert callback update client certificates if required */
3249         if (s->cert->cert_cb) {
3250             i = s->cert->cert_cb(s, s->cert->cert_cb_arg);
3251             if (i < 0) {
3252                 s->rwstate = SSL_X509_LOOKUP;
3253                 return WORK_MORE_A;
3254             }
3255             if (i == 0) {
3256                 ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3257                 ossl_statem_set_error(s);
3258                 return 0;
3259             }
3260             s->rwstate = SSL_NOTHING;
3261         }
3262         if (ssl3_check_client_certificate(s))
3263             return WORK_FINISHED_CONTINUE;
3264
3265         /* Fall through to WORK_MORE_B */
3266         wst = WORK_MORE_B;
3267     }
3268
3269     /* We need to get a client cert */
3270     if (wst == WORK_MORE_B) {
3271         /*
3272          * If we get an error, we need to ssl->rwstate=SSL_X509_LOOKUP;
3273          * return(-1); We then get retied later
3274          */
3275         i = ssl_do_client_cert_cb(s, &x509, &pkey);
3276         if (i < 0) {
3277             s->rwstate = SSL_X509_LOOKUP;
3278             return WORK_MORE_B;
3279         }
3280         s->rwstate = SSL_NOTHING;
3281         if ((i == 1) && (pkey != NULL) && (x509 != NULL)) {
3282             if (!SSL_use_certificate(s, x509) || !SSL_use_PrivateKey(s, pkey))
3283                 i = 0;
3284         } else if (i == 1) {
3285             i = 0;
3286             SSLerr(SSL_F_TLS_PREPARE_CLIENT_CERTIFICATE,
3287                    SSL_R_BAD_DATA_RETURNED_BY_CALLBACK);
3288         }
3289
3290         X509_free(x509);
3291         EVP_PKEY_free(pkey);
3292         if (i && !ssl3_check_client_certificate(s))
3293             i = 0;
3294         if (i == 0) {
3295             if (s->version == SSL3_VERSION) {
3296                 s->s3->tmp.cert_req = 0;
3297                 ssl3_send_alert(s, SSL3_AL_WARNING, SSL_AD_NO_CERTIFICATE);
3298                 return WORK_FINISHED_CONTINUE;
3299             } else {
3300                 s->s3->tmp.cert_req = 2;
3301                 if (!ssl3_digest_cached_records(s, 0)) {
3302                     ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3303                     ossl_statem_set_error(s);
3304                     return 0;
3305                 }
3306             }
3307         }
3308
3309         return WORK_FINISHED_CONTINUE;
3310     }
3311
3312     /* Shouldn't ever get here */
3313     return WORK_ERROR;
3314 }
3315
3316 int tls_construct_client_certificate(SSL *s, WPACKET *pkt)
3317 {
3318     int al = SSL_AD_INTERNAL_ERROR;
3319
3320     /*
3321      * TODO(TLS1.3): For now we must put an empty context. Needs to be filled in
3322      * later
3323      */
3324     if ((SSL_IS_TLS13(s) && !WPACKET_put_bytes_u8(pkt, 0))
3325             || !ssl3_output_cert_chain(s, pkt,
3326                                (s->s3->tmp.cert_req == 2) ? NULL
3327                                                           : s->cert->key,
3328                                 &al)) {
3329         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_CERTIFICATE, ERR_R_INTERNAL_ERROR);
3330         goto err;
3331     }
3332
3333     if (SSL_IS_TLS13(s)
3334             && SSL_IS_FIRST_HANDSHAKE(s)
3335             && (!s->method->ssl3_enc->change_cipher_state(s,
3336                     SSL3_CC_HANDSHAKE | SSL3_CHANGE_CIPHER_CLIENT_WRITE))) {
3337         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_CERTIFICATE,
3338                SSL_R_CANNOT_CHANGE_CIPHER);
3339         goto err;
3340     }
3341
3342     return 1;
3343  err:
3344     ssl3_send_alert(s, SSL3_AL_FATAL, al);
3345     return 0;
3346 }
3347
3348 #define has_bits(i,m)   (((i)&(m)) == (m))
3349
3350 int ssl3_check_cert_and_algorithm(SSL *s)
3351 {
3352     int i;
3353 #ifndef OPENSSL_NO_EC
3354     int idx;
3355 #endif
3356     long alg_k, alg_a;
3357     EVP_PKEY *pkey = NULL;
3358     int al = SSL_AD_HANDSHAKE_FAILURE;
3359
3360     alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
3361     alg_a = s->s3->tmp.new_cipher->algorithm_auth;
3362
3363     /* we don't have a certificate */
3364     if ((alg_a & SSL_aNULL) || (alg_k & SSL_kPSK))
3365         return (1);
3366
3367     /* This is the passed certificate */
3368
3369 #ifndef OPENSSL_NO_EC
3370     idx = s->session->peer_type;
3371     if (idx == SSL_PKEY_ECC) {
3372         if (ssl_check_srvr_ecc_cert_and_alg(s->session->peer, s) == 0) {
3373             /* check failed */
3374             SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM, SSL_R_BAD_ECC_CERT);
3375             goto f_err;
3376         } else {
3377             return 1;
3378         }
3379     } else if (alg_a & SSL_aECDSA) {
3380         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM,
3381                SSL_R_MISSING_ECDSA_SIGNING_CERT);
3382         goto f_err;
3383     }
3384 #endif
3385     pkey = X509_get0_pubkey(s->session->peer);
3386     i = X509_certificate_type(s->session->peer, pkey);
3387
3388     /* Check that we have a certificate if we require one */
3389     if ((alg_a & SSL_aRSA) && !has_bits(i, EVP_PK_RSA | EVP_PKT_SIGN)) {
3390         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM,
3391                SSL_R_MISSING_RSA_SIGNING_CERT);
3392         goto f_err;
3393     }
3394 #ifndef OPENSSL_NO_DSA
3395     else if ((alg_a & SSL_aDSS) && !has_bits(i, EVP_PK_DSA | EVP_PKT_SIGN)) {
3396         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM,
3397                SSL_R_MISSING_DSA_SIGNING_CERT);
3398         goto f_err;
3399     }
3400 #endif
3401 #ifndef OPENSSL_NO_RSA
3402     if (alg_k & (SSL_kRSA | SSL_kRSAPSK) &&
3403         !has_bits(i, EVP_PK_RSA | EVP_PKT_ENC)) {
3404         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM,
3405                SSL_R_MISSING_RSA_ENCRYPTING_CERT);
3406         goto f_err;
3407     }
3408 #endif
3409 #ifndef OPENSSL_NO_DH
3410     if ((alg_k & SSL_kDHE) && (s->s3->peer_tmp == NULL)) {
3411         al = SSL_AD_INTERNAL_ERROR;
3412         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM, ERR_R_INTERNAL_ERROR);
3413         goto f_err;
3414     }
3415 #endif
3416
3417     return (1);
3418  f_err:
3419     ssl3_send_alert(s, SSL3_AL_FATAL, al);
3420     return (0);
3421 }
3422
3423 #ifndef OPENSSL_NO_NEXTPROTONEG
3424 int tls_construct_next_proto(SSL *s, WPACKET *pkt)
3425 {
3426     size_t len, padding_len;
3427     unsigned char *padding = NULL;
3428
3429     len = s->ext.npn_len;
3430     padding_len = 32 - ((len + 2) % 32);
3431
3432     if (!WPACKET_sub_memcpy_u8(pkt, s->ext.npn, len)
3433             || !WPACKET_sub_allocate_bytes_u8(pkt, padding_len, &padding)) {
3434         SSLerr(SSL_F_TLS_CONSTRUCT_NEXT_PROTO, ERR_R_INTERNAL_ERROR);
3435         goto err;
3436     }
3437
3438     memset(padding, 0, padding_len);
3439
3440     return 1;
3441  err:
3442     ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3443     return 0;
3444 }
3445 #endif
3446
3447 MSG_PROCESS_RETURN tls_process_hello_req(SSL *s, PACKET *pkt)
3448 {
3449     if (PACKET_remaining(pkt) > 0) {
3450         /* should contain no data */
3451         SSLerr(SSL_F_TLS_PROCESS_HELLO_REQ, SSL_R_LENGTH_MISMATCH);
3452         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
3453         ossl_statem_set_error(s);
3454         return MSG_PROCESS_ERROR;
3455     }
3456
3457     /*
3458      * This is a historical discrepancy (not in the RFC) maintained for
3459      * compatibility reasons. If a TLS client receives a HelloRequest it will
3460      * attempt an abbreviated handshake. However if a DTLS client receives a
3461      * HelloRequest it will do a full handshake. Either behaviour is reasonable
3462      * but doing one for TLS and another for DTLS is odd.
3463      */
3464     if (SSL_IS_DTLS(s))
3465         SSL_renegotiate(s);
3466     else
3467         SSL_renegotiate_abbreviated(s);
3468
3469     return MSG_PROCESS_FINISHED_READING;
3470 }
3471
3472 static MSG_PROCESS_RETURN tls_process_encrypted_extensions(SSL *s, PACKET *pkt)
3473 {
3474     int al = SSL_AD_INTERNAL_ERROR;
3475     PACKET extensions;
3476     RAW_EXTENSION *rawexts = NULL;
3477
3478     if (!PACKET_as_length_prefixed_2(pkt, &extensions)) {
3479         al = SSL_AD_DECODE_ERROR;
3480         SSLerr(SSL_F_TLS_PROCESS_ENCRYPTED_EXTENSIONS, SSL_R_LENGTH_MISMATCH);
3481         goto err;
3482     }
3483
3484     if (!tls_collect_extensions(s, &extensions,
3485                                 SSL_EXT_TLS1_3_ENCRYPTED_EXTENSIONS, &rawexts,
3486                                 &al, NULL)
3487             || !tls_parse_all_extensions(s, SSL_EXT_TLS1_3_ENCRYPTED_EXTENSIONS,
3488                                          rawexts, NULL, 0, &al))
3489         goto err;
3490
3491     OPENSSL_free(rawexts);
3492     return MSG_PROCESS_CONTINUE_READING;
3493
3494  err:
3495     ssl3_send_alert(s, SSL3_AL_FATAL, al);
3496     ossl_statem_set_error(s);
3497     OPENSSL_free(rawexts);
3498     return MSG_PROCESS_ERROR;
3499 }
3500
3501 int ssl_do_client_cert_cb(SSL *s, X509 **px509, EVP_PKEY **ppkey)
3502 {
3503     int i = 0;
3504 #ifndef OPENSSL_NO_ENGINE
3505     if (s->ctx->client_cert_engine) {
3506         i = ENGINE_load_ssl_client_cert(s->ctx->client_cert_engine, s,
3507                                         SSL_get_client_CA_list(s),
3508                                         px509, ppkey, NULL, NULL, NULL);
3509         if (i != 0)
3510             return i;
3511     }
3512 #endif
3513     if (s->ctx->client_cert_cb)
3514         i = s->ctx->client_cert_cb(s, px509, ppkey);
3515     return i;
3516 }
3517
3518 int ssl_cipher_list_to_bytes(SSL *s, STACK_OF(SSL_CIPHER) *sk, WPACKET *pkt)
3519 {
3520     int i;
3521     size_t totlen = 0, len, maxlen;
3522     int empty_reneg_info_scsv = !s->renegotiate;
3523     /* Set disabled masks for this session */
3524     ssl_set_client_disabled(s);
3525
3526     if (sk == NULL)
3527         return (0);
3528
3529 #ifdef OPENSSL_MAX_TLS1_2_CIPHER_LENGTH
3530 # if OPENSSL_MAX_TLS1_2_CIPHER_LENGTH < 6
3531 #  error Max cipher length too short
3532 # endif
3533     /*
3534      * Some servers hang if client hello > 256 bytes as hack workaround
3535      * chop number of supported ciphers to keep it well below this if we
3536      * use TLS v1.2
3537      */
3538     if (TLS1_get_version(s) >= TLS1_2_VERSION)
3539         maxlen = OPENSSL_MAX_TLS1_2_CIPHER_LENGTH & ~1;
3540     else
3541 #endif
3542         /* Maximum length that can be stored in 2 bytes. Length must be even */
3543         maxlen = 0xfffe;
3544
3545     if (empty_reneg_info_scsv)
3546         maxlen -= 2;
3547     if (s->mode & SSL_MODE_SEND_FALLBACK_SCSV)
3548         maxlen -= 2;
3549
3550     for (i = 0; i < sk_SSL_CIPHER_num(sk) && totlen < maxlen; i++) {
3551         const SSL_CIPHER *c;
3552
3553         c = sk_SSL_CIPHER_value(sk, i);
3554         /* Skip disabled ciphers */
3555         if (ssl_cipher_disabled(s, c, SSL_SECOP_CIPHER_SUPPORTED, 0))
3556             continue;
3557
3558         if (!s->method->put_cipher_by_char(c, pkt, &len)) {
3559             SSLerr(SSL_F_SSL_CIPHER_LIST_TO_BYTES, ERR_R_INTERNAL_ERROR);
3560             return 0;
3561         }
3562
3563         totlen += len;
3564     }
3565
3566     if (totlen == 0) {
3567         SSLerr(SSL_F_SSL_CIPHER_LIST_TO_BYTES, SSL_R_NO_CIPHERS_AVAILABLE);
3568         return 0;
3569     }
3570
3571     if (totlen != 0) {
3572         if (empty_reneg_info_scsv) {
3573             static SSL_CIPHER scsv = {
3574                 0, NULL, SSL3_CK_SCSV, 0, 0, 0, 0, 0, 0, 0, 0, 0
3575             };
3576             if (!s->method->put_cipher_by_char(&scsv, pkt, &len)) {
3577                 SSLerr(SSL_F_SSL_CIPHER_LIST_TO_BYTES, ERR_R_INTERNAL_ERROR);
3578                 return 0;
3579             }
3580         }
3581         if (s->mode & SSL_MODE_SEND_FALLBACK_SCSV) {
3582             static SSL_CIPHER scsv = {
3583                 0, NULL, SSL3_CK_FALLBACK_SCSV, 0, 0, 0, 0, 0, 0, 0, 0, 0
3584             };
3585             if (!s->method->put_cipher_by_char(&scsv, pkt, &len)) {
3586                 SSLerr(SSL_F_SSL_CIPHER_LIST_TO_BYTES, ERR_R_INTERNAL_ERROR);
3587                 return 0;
3588             }
3589         }
3590     }
3591
3592     return 1;
3593 }
3594
3595 int tls_construct_end_of_early_data(SSL *s, WPACKET *pkt)
3596 {
3597     if (s->early_data_state != SSL_EARLY_DATA_WRITE_RETRY
3598             && s->early_data_state != SSL_EARLY_DATA_FINISHED_WRITING) {
3599         SSLerr(SSL_F_TLS_CONSTRUCT_END_OF_EARLY_DATA,
3600                ERR_R_SHOULD_NOT_HAVE_BEEN_CALLED);
3601         return 0;
3602     }
3603
3604     s->early_data_state = SSL_EARLY_DATA_FINISHED_WRITING;
3605     return 1;
3606 }