ssl/statem/statem_clnt.c

   1 /*
   2  * Copyright 1995-2016 The OpenSSL Project Authors. All Rights Reserved.
   3  *
   4  * Licensed under the OpenSSL license (the "License").  You may not use
   5  * this file except in compliance with the License.  You can obtain a copy
   6  * in the file LICENSE in the source distribution or at
   7  * https://www.openssl.org/source/license.html
   8  */
   9
  10 /* ====================================================================
  11  * Copyright 2002 Sun Microsystems, Inc. ALL RIGHTS RESERVED.
  12  *
  13  * Portions of the attached software ("Contribution") are developed by
  14  * SUN MICROSYSTEMS, INC., and are contributed to the OpenSSL project.
  15  *
  16  * The Contribution is licensed pursuant to the OpenSSL open source
  17  * license provided above.
  18  *
  19  * ECC cipher suite support in OpenSSL originally written by
  20  * Vipul Gupta and Sumit Gupta of Sun Microsystems Laboratories.
  21  *
  22  */
  23 /* ====================================================================
  24  * Copyright 2005 Nokia. All rights reserved.
  25  *
  26  * The portions of the attached software ("Contribution") is developed by
  27  * Nokia Corporation and is licensed pursuant to the OpenSSL open source
  28  * license.
  29  *
  30  * The Contribution, originally written by Mika Kousa and Pasi Eronen of
  31  * Nokia Corporation, consists of the "PSK" (Pre-Shared Key) ciphersuites
  32  * support (see RFC 4279) to OpenSSL.
  33  *
  34  * No patent licenses or other rights except those expressly stated in
  35  * the OpenSSL open source license shall be deemed granted or received
  36  * expressly, by implication, estoppel, or otherwise.
  37  *
  38  * No assurances are provided by Nokia that the Contribution does not
  39  * infringe the patent or other intellectual property rights of any third
  40  * party or that the license provides you with all the necessary rights
  41  * to make use of the Contribution.
  42  *
  43  * THE SOFTWARE IS PROVIDED "AS IS" WITHOUT WARRANTY OF ANY KIND. IN
  44  * ADDITION TO THE DISCLAIMERS INCLUDED IN THE LICENSE, NOKIA
  45  * SPECIFICALLY DISCLAIMS ANY LIABILITY FOR CLAIMS BROUGHT BY YOU OR ANY
  46  * OTHER ENTITY BASED ON INFRINGEMENT OF INTELLECTUAL PROPERTY RIGHTS OR
  47  * OTHERWISE.
  48  */
  49
  50 #include <stdio.h>
  51 #include <time.h>
  52 #include "../ssl_locl.h"
  53 #include "statem_locl.h"
  54 #include <openssl/buffer.h>
  55 #include <openssl/rand.h>
  56 #include <openssl/objects.h>
  57 #include <openssl/evp.h>
  58 #include <openssl/md5.h>
  59 #include <openssl/dh.h>
  60 #include <openssl/bn.h>
  61 #include <openssl/engine.h>
  62
  63 static MSG_PROCESS_RETURN tls_process_hello_retry_request(SSL *s, PACKET *pkt);
  64 static MSG_PROCESS_RETURN tls_process_encrypted_extensions(SSL *s, PACKET *pkt);
  65
  66 static ossl_inline int cert_req_allowed(SSL *s);
  67 static int key_exchange_expected(SSL *s);
  68 static int ca_dn_cmp(const X509_NAME *const *a, const X509_NAME *const *b);
  69 static int ssl_cipher_list_to_bytes(SSL *s, STACK_OF(SSL_CIPHER) *sk,
  70                                     WPACKET *pkt);
  71
  72 /*
  73  * Is a CertificateRequest message allowed at the moment or not?
  74  *
  75  *  Return values are:
  76  *  1: Yes
  77  *  0: No
  78  */
  79 static ossl_inline int cert_req_allowed(SSL *s)
  80 {
  81     /* TLS does not like anon-DH with client cert */
  82     if ((s->version > SSL3_VERSION
  83          && (s->s3->tmp.new_cipher->algorithm_auth & SSL_aNULL))
  84         || (s->s3->tmp.new_cipher->algorithm_auth & (SSL_aSRP | SSL_aPSK)))
  85         return 0;
  86
  87     return 1;
  88 }
  89
  90 /*
  91  * Should we expect the ServerKeyExchange message or not?
  92  *
  93  *  Return values are:
  94  *  1: Yes
  95  *  0: No
  96  */
  97 static int key_exchange_expected(SSL *s)
  98 {
  99     long alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
 100
 101     /*
 102      * Can't skip server key exchange if this is an ephemeral
 103      * ciphersuite or for SRP
 104      */
 105     if (alg_k & (SSL_kDHE | SSL_kECDHE | SSL_kDHEPSK | SSL_kECDHEPSK
 106                  | SSL_kSRP)) {
 107         return 1;
 108     }
 109
 110     return 0;
 111 }
 112
 113 /*
 114  * ossl_statem_client_read_transition() encapsulates the logic for the allowed
 115  * handshake state transitions when a TLS1.3 client is reading messages from the
 116  * server. The message type that the server has sent is provided in |mt|. The
 117  * current state is in |s->statem.hand_state|.
 118  *
 119  * Return values are 1 for success (transition allowed) and  0 on error
 120  * (transition not allowed)
 121  */
 122 static int ossl_statem_client13_read_transition(SSL *s, int mt)
 123 {
 124     OSSL_STATEM *st = &s->statem;
 125
 126     /*
 127      * Note: There is no case for TLS_ST_CW_CLNT_HELLO, because we haven't
 128      * yet negotiated TLSv1.3 at that point so that is handled by
 129      * ossl_statem_client_read_transition()
 130      */
 131
 132     switch (st->hand_state) {
 133     default:
 134         break;
 135
 136     case TLS_ST_CW_CLNT_HELLO:
 137         /*
 138          * This must a ClientHello following a HelloRetryRequest, so the only
 139          * thing we can get now is a ServerHello.
 140          */
 141         if (mt == SSL3_MT_SERVER_HELLO) {
 142             st->hand_state = TLS_ST_CR_SRVR_HELLO;
 143             return 1;
 144         }
 145         break;
 146
 147     case TLS_ST_CR_SRVR_HELLO:
 148         if (mt == SSL3_MT_ENCRYPTED_EXTENSIONS) {
 149             st->hand_state = TLS_ST_CR_ENCRYPTED_EXTENSIONS;
 150             return 1;
 151         }
 152         break;
 153
 154     case TLS_ST_CR_ENCRYPTED_EXTENSIONS:
 155         if (s->hit) {
 156             if (mt == SSL3_MT_FINISHED) {
 157                 st->hand_state = TLS_ST_CR_FINISHED;
 158                 return 1;
 159             }
 160         } else {
 161             if (mt == SSL3_MT_CERTIFICATE_REQUEST) {
 162                 st->hand_state = TLS_ST_CR_CERT_REQ;
 163                 return 1;
 164             }
 165             if (mt == SSL3_MT_CERTIFICATE) {
 166                 st->hand_state = TLS_ST_CR_CERT;
 167                 return 1;
 168             }
 169         }
 170         break;
 171
 172     case TLS_ST_CR_CERT_REQ:
 173         if (mt == SSL3_MT_CERTIFICATE) {
 174             st->hand_state = TLS_ST_CR_CERT;
 175             return 1;
 176         }
 177         break;
 178
 179     case TLS_ST_CR_CERT:
 180         if (mt == SSL3_MT_CERTIFICATE_VERIFY) {
 181             st->hand_state = TLS_ST_CR_CERT_VRFY;
 182             return 1;
 183         }
 184         break;
 185
 186     case TLS_ST_CR_CERT_VRFY:
 187         if (mt == SSL3_MT_FINISHED) {
 188             st->hand_state = TLS_ST_CR_FINISHED;
 189             return 1;
 190         }
 191         break;
 192
 193     case TLS_ST_OK:
 194         if (mt == SSL3_MT_NEWSESSION_TICKET) {
 195             st->hand_state = TLS_ST_CR_SESSION_TICKET;
 196             return 1;
 197         }
 198         if (mt == SSL3_MT_KEY_UPDATE) {
 199             st->hand_state = TLS_ST_CR_KEY_UPDATE;
 200             return 1;
 201         }
 202         break;
 203     }
 204
 205     /* No valid transition found */
 206     return 0;
 207 }
 208
 209 /*
 210  * ossl_statem_client_read_transition() encapsulates the logic for the allowed
 211  * handshake state transitions when the client is reading messages from the
 212  * server. The message type that the server has sent is provided in |mt|. The
 213  * current state is in |s->statem.hand_state|.
 214  *
 215  * Return values are 1 for success (transition allowed) and  0 on error
 216  * (transition not allowed)
 217  */
 218 int ossl_statem_client_read_transition(SSL *s, int mt)
 219 {
 220     OSSL_STATEM *st = &s->statem;
 221     int ske_expected;
 222
 223     /*
 224      * Note that after writing the first ClientHello we don't know what version
 225      * we are going to negotiate yet, so we don't take this branch until later.
 226      */
 227     if (SSL_IS_TLS13(s)) {
 228         if (!ossl_statem_client13_read_transition(s, mt))
 229             goto err;
 230         return 1;
 231     }
 232
 233     switch (st->hand_state) {
 234     default:
 235         break;
 236
 237     case TLS_ST_CW_CLNT_HELLO:
 238         if (mt == SSL3_MT_SERVER_HELLO) {
 239             st->hand_state = TLS_ST_CR_SRVR_HELLO;
 240             return 1;
 241         }
 242
 243         if (SSL_IS_DTLS(s)) {
 244             if (mt == DTLS1_MT_HELLO_VERIFY_REQUEST) {
 245                 st->hand_state = DTLS_ST_CR_HELLO_VERIFY_REQUEST;
 246                 return 1;
 247             }
 248         } else {
 249             if (mt == SSL3_MT_HELLO_RETRY_REQUEST) {
 250                 st->hand_state = TLS_ST_CR_HELLO_RETRY_REQUEST;
 251                 return 1;
 252             }
 253         }
 254         break;
 255
 256     case TLS_ST_EARLY_DATA:
 257         /*
 258          * We've not actually selected TLSv1.3 yet, but we have sent early
 259          * data. The only thing allowed now is a ServerHello or a
 260          * HelloRetryRequest.
 261          */
 262         if (mt == SSL3_MT_SERVER_HELLO) {
 263             st->hand_state = TLS_ST_CR_SRVR_HELLO;
 264             return 1;
 265         }
 266         if (mt == SSL3_MT_HELLO_RETRY_REQUEST) {
 267             st->hand_state = TLS_ST_CR_HELLO_RETRY_REQUEST;
 268             return 1;
 269         }
 270         break;
 271
 272     case TLS_ST_CR_SRVR_HELLO:
 273         if (s->hit) {
 274             if (s->ext.ticket_expected) {
 275                 if (mt == SSL3_MT_NEWSESSION_TICKET) {
 276                     st->hand_state = TLS_ST_CR_SESSION_TICKET;
 277                     return 1;
 278                 }
 279             } else if (mt == SSL3_MT_CHANGE_CIPHER_SPEC) {
 280                 st->hand_state = TLS_ST_CR_CHANGE;
 281                 return 1;
 282             }
 283         } else {
 284             if (SSL_IS_DTLS(s) && mt == DTLS1_MT_HELLO_VERIFY_REQUEST) {
 285                 st->hand_state = DTLS_ST_CR_HELLO_VERIFY_REQUEST;
 286                 return 1;
 287             } else if (s->version >= TLS1_VERSION
 288                        && s->ext.session_secret_cb != NULL
 289                        && s->session->ext.tick != NULL
 290                        && mt == SSL3_MT_CHANGE_CIPHER_SPEC) {
 291                 /*
 292                  * Normally, we can tell if the server is resuming the session
 293                  * from the session ID. EAP-FAST (RFC 4851), however, relies on
 294                  * the next server message after the ServerHello to determine if
 295                  * the server is resuming.
 296                  */
 297                 s->hit = 1;
 298                 st->hand_state = TLS_ST_CR_CHANGE;
 299                 return 1;
 300             } else if (!(s->s3->tmp.new_cipher->algorithm_auth
 301                          & (SSL_aNULL | SSL_aSRP | SSL_aPSK))) {
 302                 if (mt == SSL3_MT_CERTIFICATE) {
 303                     st->hand_state = TLS_ST_CR_CERT;
 304                     return 1;
 305                 }
 306             } else {
 307                 ske_expected = key_exchange_expected(s);
 308                 /* SKE is optional for some PSK ciphersuites */
 309                 if (ske_expected
 310                     || ((s->s3->tmp.new_cipher->algorithm_mkey & SSL_PSK)
 311                         && mt == SSL3_MT_SERVER_KEY_EXCHANGE)) {
 312                     if (mt == SSL3_MT_SERVER_KEY_EXCHANGE) {
 313                         st->hand_state = TLS_ST_CR_KEY_EXCH;
 314                         return 1;
 315                     }
 316                 } else if (mt == SSL3_MT_CERTIFICATE_REQUEST
 317                            && cert_req_allowed(s)) {
 318                     st->hand_state = TLS_ST_CR_CERT_REQ;
 319                     return 1;
 320                 } else if (mt == SSL3_MT_SERVER_DONE) {
 321                     st->hand_state = TLS_ST_CR_SRVR_DONE;
 322                     return 1;
 323                 }
 324             }
 325         }
 326         break;
 327
 328     case TLS_ST_CR_CERT:
 329         /*
 330          * The CertificateStatus message is optional even if
 331          * |ext.status_expected| is set
 332          */
 333         if (s->ext.status_expected && mt == SSL3_MT_CERTIFICATE_STATUS) {
 334             st->hand_state = TLS_ST_CR_CERT_STATUS;
 335             return 1;
 336         }
 337         /* Fall through */
 338
 339     case TLS_ST_CR_CERT_STATUS:
 340         ske_expected = key_exchange_expected(s);
 341         /* SKE is optional for some PSK ciphersuites */
 342         if (ske_expected || ((s->s3->tmp.new_cipher->algorithm_mkey & SSL_PSK)
 343                              && mt == SSL3_MT_SERVER_KEY_EXCHANGE)) {
 344             if (mt == SSL3_MT_SERVER_KEY_EXCHANGE) {
 345                 st->hand_state = TLS_ST_CR_KEY_EXCH;
 346                 return 1;
 347             }
 348             goto err;
 349         }
 350         /* Fall through */
 351
 352     case TLS_ST_CR_KEY_EXCH:
 353         if (mt == SSL3_MT_CERTIFICATE_REQUEST) {
 354             if (cert_req_allowed(s)) {
 355                 st->hand_state = TLS_ST_CR_CERT_REQ;
 356                 return 1;
 357             }
 358             goto err;
 359         }
 360         /* Fall through */
 361
 362     case TLS_ST_CR_CERT_REQ:
 363         if (mt == SSL3_MT_SERVER_DONE) {
 364             st->hand_state = TLS_ST_CR_SRVR_DONE;
 365             return 1;
 366         }
 367         break;
 368
 369     case TLS_ST_CW_FINISHED:
 370         if (s->ext.ticket_expected) {
 371             if (mt == SSL3_MT_NEWSESSION_TICKET) {
 372                 st->hand_state = TLS_ST_CR_SESSION_TICKET;
 373                 return 1;
 374             }
 375         } else if (mt == SSL3_MT_CHANGE_CIPHER_SPEC) {
 376             st->hand_state = TLS_ST_CR_CHANGE;
 377             return 1;
 378         }
 379         break;
 380
 381     case TLS_ST_CR_SESSION_TICKET:
 382         if (mt == SSL3_MT_CHANGE_CIPHER_SPEC) {
 383             st->hand_state = TLS_ST_CR_CHANGE;
 384             return 1;
 385         }
 386         break;
 387
 388     case TLS_ST_CR_CHANGE:
 389         if (mt == SSL3_MT_FINISHED) {
 390             st->hand_state = TLS_ST_CR_FINISHED;
 391             return 1;
 392         }
 393         break;
 394
 395     case TLS_ST_OK:
 396         if (mt == SSL3_MT_HELLO_REQUEST) {
 397             st->hand_state = TLS_ST_CR_HELLO_REQ;
 398             return 1;
 399         }
 400         break;
 401     }
 402
 403  err:
 404     /* No valid transition found */
 405     ssl3_send_alert(s, SSL3_AL_FATAL, SSL3_AD_UNEXPECTED_MESSAGE);
 406     SSLerr(SSL_F_OSSL_STATEM_CLIENT_READ_TRANSITION, SSL_R_UNEXPECTED_MESSAGE);
 407     return 0;
 408 }
 409
 410 /*
 411  * ossl_statem_client13_write_transition() works out what handshake state to
 412  * move to next when the TLSv1.3 client is writing messages to be sent to the
 413  * server.
 414  */
 415 static WRITE_TRAN ossl_statem_client13_write_transition(SSL *s)
 416 {
 417     OSSL_STATEM *st = &s->statem;
 418
 419     /*
 420      * Note: There are no cases for TLS_ST_BEFORE because we haven't negotiated
 421      * TLSv1.3 yet at that point. They are handled by
 422      * ossl_statem_client_write_transition().
 423      */
 424     switch (st->hand_state) {
 425     default:
 426         /* Shouldn't happen */
 427         return WRITE_TRAN_ERROR;
 428
 429     case TLS_ST_CW_CLNT_HELLO:
 430         /* We only hit this in the case of HelloRetryRequest */
 431         return WRITE_TRAN_FINISHED;
 432
 433     case TLS_ST_CR_HELLO_RETRY_REQUEST:
 434         st->hand_state = TLS_ST_CW_CLNT_HELLO;
 435         return WRITE_TRAN_CONTINUE;
 436
 437     case TLS_ST_CR_FINISHED:
 438         if (s->early_data_state == SSL_EARLY_DATA_WRITE_RETRY)
 439             st->hand_state = TLS_ST_PENDING_EARLY_DATA_END;
 440         else
 441             st->hand_state = (s->s3->tmp.cert_req != 0) ? TLS_ST_CW_CERT
 442                                                         : TLS_ST_CW_FINISHED;
 443         return WRITE_TRAN_CONTINUE;
 444
 445     case TLS_ST_PENDING_EARLY_DATA_END:
 446         st->hand_state = (s->s3->tmp.cert_req != 0) ? TLS_ST_CW_CERT
 447                                                     : TLS_ST_CW_FINISHED;
 448         return WRITE_TRAN_CONTINUE;
 449
 450     case TLS_ST_CW_CERT:
 451         /* If a non-empty Certificate we also send CertificateVerify */
 452         st->hand_state = (s->s3->tmp.cert_req == 1) ? TLS_ST_CW_CERT_VRFY
 453                                                     : TLS_ST_CW_FINISHED;
 454         return WRITE_TRAN_CONTINUE;
 455
 456     case TLS_ST_CW_CERT_VRFY:
 457         st->hand_state = TLS_ST_CW_FINISHED;
 458         return WRITE_TRAN_CONTINUE;
 459
 460     case TLS_ST_CR_KEY_UPDATE:
 461         if (s->key_update != SSL_KEY_UPDATE_NONE) {
 462             st->hand_state = TLS_ST_CW_KEY_UPDATE;
 463             return WRITE_TRAN_CONTINUE;
 464         }
 465         /* Fall through */
 466
 467     case TLS_ST_CW_KEY_UPDATE:
 468     case TLS_ST_CR_SESSION_TICKET:
 469     case TLS_ST_CW_FINISHED:
 470         st->hand_state = TLS_ST_OK;
 471         return WRITE_TRAN_CONTINUE;
 472
 473     case TLS_ST_OK:
 474         if (s->key_update != SSL_KEY_UPDATE_NONE) {
 475             st->hand_state = TLS_ST_CW_KEY_UPDATE;
 476             return WRITE_TRAN_CONTINUE;
 477         }
 478
 479         /* Try to read from the server instead */
 480         return WRITE_TRAN_FINISHED;
 481     }
 482 }
 483
 484 /*
 485  * ossl_statem_client_write_transition() works out what handshake state to
 486  * move to next when the client is writing messages to be sent to the server.
 487  */
 488 WRITE_TRAN ossl_statem_client_write_transition(SSL *s)
 489 {
 490     OSSL_STATEM *st = &s->statem;
 491
 492     /*
 493      * Note that immediately before/after a ClientHello we don't know what
 494      * version we are going to negotiate yet, so we don't take this branch until
 495      * later
 496      */
 497     if (SSL_IS_TLS13(s))
 498         return ossl_statem_client13_write_transition(s);
 499
 500     switch (st->hand_state) {
 501     default:
 502         /* Shouldn't happen */
 503         return WRITE_TRAN_ERROR;
 504
 505     case TLS_ST_OK:
 506         if (!s->renegotiate) {
 507             /*
 508              * We haven't requested a renegotiation ourselves so we must have
 509              * received a message from the server. Better read it.
 510              */
 511             return WRITE_TRAN_FINISHED;
 512         }
 513         /* Renegotiation - fall through */
 514     case TLS_ST_BEFORE:
 515         st->hand_state = TLS_ST_CW_CLNT_HELLO;
 516         return WRITE_TRAN_CONTINUE;
 517
 518     case TLS_ST_CW_CLNT_HELLO:
 519         if (s->early_data_state == SSL_EARLY_DATA_CONNECTING) {
 520             /*
 521              * We are assuming this is a TLSv1.3 connection, although we haven't
 522              * actually selected a version yet.
 523              */
 524             st->hand_state = TLS_ST_EARLY_DATA;
 525             return WRITE_TRAN_CONTINUE;
 526         }
 527         /*
 528          * No transition at the end of writing because we don't know what
 529          * we will be sent
 530          */
 531         return WRITE_TRAN_FINISHED;
 532
 533     case TLS_ST_EARLY_DATA:
 534         return WRITE_TRAN_FINISHED;
 535
 536     case DTLS_ST_CR_HELLO_VERIFY_REQUEST:
 537         st->hand_state = TLS_ST_CW_CLNT_HELLO;
 538         return WRITE_TRAN_CONTINUE;
 539
 540     case TLS_ST_CR_SRVR_DONE:
 541         if (s->s3->tmp.cert_req)
 542             st->hand_state = TLS_ST_CW_CERT;
 543         else
 544             st->hand_state = TLS_ST_CW_KEY_EXCH;
 545         return WRITE_TRAN_CONTINUE;
 546
 547     case TLS_ST_CW_CERT:
 548         st->hand_state = TLS_ST_CW_KEY_EXCH;
 549         return WRITE_TRAN_CONTINUE;
 550
 551     case TLS_ST_CW_KEY_EXCH:
 552         /*
 553          * For TLS, cert_req is set to 2, so a cert chain of nothing is
 554          * sent, but no verify packet is sent
 555          */
 556         /*
 557          * XXX: For now, we do not support client authentication in ECDH
 558          * cipher suites with ECDH (rather than ECDSA) certificates. We
 559          * need to skip the certificate verify message when client's
 560          * ECDH public key is sent inside the client certificate.
 561          */
 562         if (s->s3->tmp.cert_req == 1) {
 563             st->hand_state = TLS_ST_CW_CERT_VRFY;
 564         } else {
 565             st->hand_state = TLS_ST_CW_CHANGE;
 566         }
 567         if (s->s3->flags & TLS1_FLAGS_SKIP_CERT_VERIFY) {
 568             st->hand_state = TLS_ST_CW_CHANGE;
 569         }
 570         return WRITE_TRAN_CONTINUE;
 571
 572     case TLS_ST_CW_CERT_VRFY:
 573         st->hand_state = TLS_ST_CW_CHANGE;
 574         return WRITE_TRAN_CONTINUE;
 575
 576     case TLS_ST_CW_CHANGE:
 577 #if defined(OPENSSL_NO_NEXTPROTONEG)
 578         st->
 579         hand_state = TLS_ST_CW_FINISHED;
 580 #else
 581         if (!SSL_IS_DTLS(s) && s->s3->npn_seen)
 582             st->hand_state = TLS_ST_CW_NEXT_PROTO;
 583         else
 584             st->hand_state = TLS_ST_CW_FINISHED;
 585 #endif
 586         return WRITE_TRAN_CONTINUE;
 587
 588 #if !defined(OPENSSL_NO_NEXTPROTONEG)
 589     case TLS_ST_CW_NEXT_PROTO:
 590         st->hand_state = TLS_ST_CW_FINISHED;
 591         return WRITE_TRAN_CONTINUE;
 592 #endif
 593
 594     case TLS_ST_CW_FINISHED:
 595         if (s->hit) {
 596             st->hand_state = TLS_ST_OK;
 597             return WRITE_TRAN_CONTINUE;
 598         } else {
 599             return WRITE_TRAN_FINISHED;
 600         }
 601
 602     case TLS_ST_CR_FINISHED:
 603         if (s->hit) {
 604             st->hand_state = TLS_ST_CW_CHANGE;
 605             return WRITE_TRAN_CONTINUE;
 606         } else {
 607             st->hand_state = TLS_ST_OK;
 608             return WRITE_TRAN_CONTINUE;
 609         }
 610
 611     case TLS_ST_CR_HELLO_REQ:
 612         /*
 613          * If we can renegotiate now then do so, otherwise wait for a more
 614          * convenient time.
 615          */
 616         if (ssl3_renegotiate_check(s, 1)) {
 617             if (!tls_setup_handshake(s)) {
 618                 ossl_statem_set_error(s);
 619                 return WRITE_TRAN_ERROR;
 620             }
 621             st->hand_state = TLS_ST_CW_CLNT_HELLO;
 622             return WRITE_TRAN_CONTINUE;
 623         }
 624         st->hand_state = TLS_ST_OK;
 625         return WRITE_TRAN_CONTINUE;
 626     }
 627 }
 628
 629 /*
 630  * Perform any pre work that needs to be done prior to sending a message from
 631  * the client to the server.
 632  */
 633 WORK_STATE ossl_statem_client_pre_work(SSL *s, WORK_STATE wst)
 634 {
 635     OSSL_STATEM *st = &s->statem;
 636
 637     switch (st->hand_state) {
 638     default:
 639         /* No pre work to be done */
 640         break;
 641
 642     case TLS_ST_CW_CLNT_HELLO:
 643         s->shutdown = 0;
 644         if (SSL_IS_DTLS(s)) {
 645             /* every DTLS ClientHello resets Finished MAC */
 646             if (!ssl3_init_finished_mac(s)) {
 647                 ossl_statem_set_error(s);
 648                 return WORK_ERROR;
 649             }
 650         }
 651         break;
 652
 653     case TLS_ST_CW_CHANGE:
 654         if (SSL_IS_DTLS(s)) {
 655             if (s->hit) {
 656                 /*
 657                  * We're into the last flight so we don't retransmit these
 658                  * messages unless we need to.
 659                  */
 660                 st->use_timer = 0;
 661             }
 662 #ifndef OPENSSL_NO_SCTP
 663             if (BIO_dgram_is_sctp(SSL_get_wbio(s)))
 664                 return dtls_wait_for_dry(s);
 665 #endif
 666         }
 667         break;
 668
 669     case TLS_ST_EARLY_DATA:
 670     case TLS_ST_PENDING_EARLY_DATA_END:
 671     case TLS_ST_OK:
 672         return tls_finish_handshake(s, wst, 1);
 673     }
 674
 675     return WORK_FINISHED_CONTINUE;
 676 }
 677
 678 /*
 679  * Perform any work that needs to be done after sending a message from the
 680  * client to the server.
 681  */
 682 WORK_STATE ossl_statem_client_post_work(SSL *s, WORK_STATE wst)
 683 {
 684     OSSL_STATEM *st = &s->statem;
 685
 686     s->init_num = 0;
 687
 688     switch (st->hand_state) {
 689     default:
 690         /* No post work to be done */
 691         break;
 692
 693     case TLS_ST_CW_CLNT_HELLO:
 694         if (wst == WORK_MORE_A && statem_flush(s) != 1)
 695             return WORK_MORE_A;
 696
 697         if (SSL_IS_DTLS(s)) {
 698             /* Treat the next message as the first packet */
 699             s->first_packet = 1;
 700         }
 701
 702         if (s->early_data_state == SSL_EARLY_DATA_CONNECTING
 703                 && s->max_early_data > 0) {
 704             /*
 705              * We haven't selected TLSv1.3 yet so we don't call the change
 706              * cipher state function associated with the SSL_METHOD. Instead
 707              * we call tls13_change_cipher_state() directly.
 708              */
 709             if (!tls13_change_cipher_state(s,
 710                         SSL3_CC_EARLY | SSL3_CHANGE_CIPHER_CLIENT_WRITE))
 711                 return WORK_ERROR;
 712         }
 713         break;
 714
 715     case TLS_ST_CW_KEY_EXCH:
 716         if (tls_client_key_exchange_post_work(s) == 0)
 717             return WORK_ERROR;
 718         break;
 719
 720     case TLS_ST_CW_CHANGE:
 721         s->session->cipher = s->s3->tmp.new_cipher;
 722 #ifdef OPENSSL_NO_COMP
 723         s->session->compress_meth = 0;
 724 #else
 725         if (s->s3->tmp.new_compression == NULL)
 726             s->session->compress_meth = 0;
 727         else
 728             s->session->compress_meth = s->s3->tmp.new_compression->id;
 729 #endif
 730         if (!s->method->ssl3_enc->setup_key_block(s))
 731             return WORK_ERROR;
 732
 733         if (!s->method->ssl3_enc->change_cipher_state(s,
 734                                                       SSL3_CHANGE_CIPHER_CLIENT_WRITE))
 735             return WORK_ERROR;
 736
 737         if (SSL_IS_DTLS(s)) {
 738 #ifndef OPENSSL_NO_SCTP
 739             if (s->hit) {
 740                 /*
 741                  * Change to new shared key of SCTP-Auth, will be ignored if
 742                  * no SCTP used.
 743                  */
 744                 BIO_ctrl(SSL_get_wbio(s), BIO_CTRL_DGRAM_SCTP_NEXT_AUTH_KEY,
 745                          0, NULL);
 746             }
 747 #endif
 748
 749             dtls1_reset_seq_numbers(s, SSL3_CC_WRITE);
 750         }
 751         break;
 752
 753     case TLS_ST_CW_FINISHED:
 754 #ifndef OPENSSL_NO_SCTP
 755         if (wst == WORK_MORE_A && SSL_IS_DTLS(s) && s->hit == 0) {
 756             /*
 757              * Change to new shared key of SCTP-Auth, will be ignored if
 758              * no SCTP used.
 759              */
 760             BIO_ctrl(SSL_get_wbio(s), BIO_CTRL_DGRAM_SCTP_NEXT_AUTH_KEY,
 761                      0, NULL);
 762         }
 763 #endif
 764         if (statem_flush(s) != 1)
 765             return WORK_MORE_B;
 766
 767         if (SSL_IS_TLS13(s)) {
 768             if (!s->method->ssl3_enc->change_cipher_state(s,
 769                         SSL3_CC_APPLICATION | SSL3_CHANGE_CIPHER_CLIENT_WRITE))
 770             return WORK_ERROR;
 771         }
 772         break;
 773
 774     case TLS_ST_CW_KEY_UPDATE:
 775         if (statem_flush(s) != 1)
 776             return WORK_MORE_A;
 777         if (!tls13_update_key(s, 1))
 778             return WORK_ERROR;
 779         break;
 780     }
 781
 782     return WORK_FINISHED_CONTINUE;
 783 }
 784
 785 /*
 786  * Get the message construction function and message type for sending from the
 787  * client
 788  *
 789  * Valid return values are:
 790  *   1: Success
 791  *   0: Error
 792  */
 793 int ossl_statem_client_construct_message(SSL *s, WPACKET *pkt,
 794                                          confunc_f *confunc, int *mt)
 795 {
 796     OSSL_STATEM *st = &s->statem;
 797
 798     switch (st->hand_state) {
 799     default:
 800         /* Shouldn't happen */
 801         return 0;
 802
 803     case TLS_ST_CW_CHANGE:
 804         if (SSL_IS_DTLS(s))
 805             *confunc = dtls_construct_change_cipher_spec;
 806         else
 807             *confunc = tls_construct_change_cipher_spec;
 808         *mt = SSL3_MT_CHANGE_CIPHER_SPEC;
 809         break;
 810
 811     case TLS_ST_CW_CLNT_HELLO:
 812         *confunc = tls_construct_client_hello;
 813         *mt = SSL3_MT_CLIENT_HELLO;
 814         break;
 815
 816     case TLS_ST_CW_CERT:
 817         *confunc = tls_construct_client_certificate;
 818         *mt = SSL3_MT_CERTIFICATE;
 819         break;
 820
 821     case TLS_ST_CW_KEY_EXCH:
 822         *confunc = tls_construct_client_key_exchange;
 823         *mt = SSL3_MT_CLIENT_KEY_EXCHANGE;
 824         break;
 825
 826     case TLS_ST_CW_CERT_VRFY:
 827         *confunc = tls_construct_cert_verify;
 828         *mt = SSL3_MT_CERTIFICATE_VERIFY;
 829         break;
 830
 831 #if !defined(OPENSSL_NO_NEXTPROTONEG)
 832     case TLS_ST_CW_NEXT_PROTO:
 833         *confunc = tls_construct_next_proto;
 834         *mt = SSL3_MT_NEXT_PROTO;
 835         break;
 836 #endif
 837     case TLS_ST_CW_FINISHED:
 838         *confunc = tls_construct_finished;
 839         *mt = SSL3_MT_FINISHED;
 840         break;
 841
 842     case TLS_ST_CW_KEY_UPDATE:
 843         *confunc = tls_construct_key_update;
 844         *mt = SSL3_MT_KEY_UPDATE;
 845         break;
 846     }
 847
 848     return 1;
 849 }
 850
 851 /*
 852  * Returns the maximum allowed length for the current message that we are
 853  * reading. Excludes the message header.
 854  */
 855 size_t ossl_statem_client_max_message_size(SSL *s)
 856 {
 857     OSSL_STATEM *st = &s->statem;
 858
 859     switch (st->hand_state) {
 860     default:
 861         /* Shouldn't happen */
 862         return 0;
 863
 864     case TLS_ST_CR_SRVR_HELLO:
 865         return SERVER_HELLO_MAX_LENGTH;
 866
 867     case DTLS_ST_CR_HELLO_VERIFY_REQUEST:
 868         return HELLO_VERIFY_REQUEST_MAX_LENGTH;
 869
 870     case TLS_ST_CR_HELLO_RETRY_REQUEST:
 871         return HELLO_RETRY_REQUEST_MAX_LENGTH;
 872
 873     case TLS_ST_CR_CERT:
 874         return s->max_cert_list;
 875
 876     case TLS_ST_CR_CERT_VRFY:
 877         return SSL3_RT_MAX_PLAIN_LENGTH;
 878
 879     case TLS_ST_CR_CERT_STATUS:
 880         return SSL3_RT_MAX_PLAIN_LENGTH;
 881
 882     case TLS_ST_CR_KEY_EXCH:
 883         return SERVER_KEY_EXCH_MAX_LENGTH;
 884
 885     case TLS_ST_CR_CERT_REQ:
 886         /*
 887          * Set to s->max_cert_list for compatibility with previous releases. In
 888          * practice these messages can get quite long if servers are configured
 889          * to provide a long list of acceptable CAs
 890          */
 891         return s->max_cert_list;
 892
 893     case TLS_ST_CR_SRVR_DONE:
 894         return SERVER_HELLO_DONE_MAX_LENGTH;
 895
 896     case TLS_ST_CR_CHANGE:
 897         if (s->version == DTLS1_BAD_VER)
 898             return 3;
 899         return CCS_MAX_LENGTH;
 900
 901     case TLS_ST_CR_SESSION_TICKET:
 902         return SSL3_RT_MAX_PLAIN_LENGTH;
 903
 904     case TLS_ST_CR_FINISHED:
 905         return FINISHED_MAX_LENGTH;
 906
 907     case TLS_ST_CR_ENCRYPTED_EXTENSIONS:
 908         return ENCRYPTED_EXTENSIONS_MAX_LENGTH;
 909
 910     case TLS_ST_CR_KEY_UPDATE:
 911         return KEY_UPDATE_MAX_LENGTH;
 912     }
 913 }
 914
 915 /*
 916  * Process a message that the client has been received from the server.
 917  */
 918 MSG_PROCESS_RETURN ossl_statem_client_process_message(SSL *s, PACKET *pkt)
 919 {
 920     OSSL_STATEM *st = &s->statem;
 921
 922     switch (st->hand_state) {
 923     default:
 924         /* Shouldn't happen */
 925         return MSG_PROCESS_ERROR;
 926
 927     case TLS_ST_CR_SRVR_HELLO:
 928         return tls_process_server_hello(s, pkt);
 929
 930     case DTLS_ST_CR_HELLO_VERIFY_REQUEST:
 931         return dtls_process_hello_verify(s, pkt);
 932
 933     case TLS_ST_CR_HELLO_RETRY_REQUEST:
 934         return tls_process_hello_retry_request(s, pkt);
 935
 936     case TLS_ST_CR_CERT:
 937         return tls_process_server_certificate(s, pkt);
 938
 939     case TLS_ST_CR_CERT_VRFY:
 940         return tls_process_cert_verify(s, pkt);
 941
 942     case TLS_ST_CR_CERT_STATUS:
 943         return tls_process_cert_status(s, pkt);
 944
 945     case TLS_ST_CR_KEY_EXCH:
 946         return tls_process_key_exchange(s, pkt);
 947
 948     case TLS_ST_CR_CERT_REQ:
 949         return tls_process_certificate_request(s, pkt);
 950
 951     case TLS_ST_CR_SRVR_DONE:
 952         return tls_process_server_done(s, pkt);
 953
 954     case TLS_ST_CR_CHANGE:
 955         return tls_process_change_cipher_spec(s, pkt);
 956
 957     case TLS_ST_CR_SESSION_TICKET:
 958         return tls_process_new_session_ticket(s, pkt);
 959
 960     case TLS_ST_CR_FINISHED:
 961         return tls_process_finished(s, pkt);
 962
 963     case TLS_ST_CR_HELLO_REQ:
 964         return tls_process_hello_req(s, pkt);
 965
 966     case TLS_ST_CR_ENCRYPTED_EXTENSIONS:
 967         return tls_process_encrypted_extensions(s, pkt);
 968
 969     case TLS_ST_CR_KEY_UPDATE:
 970         return tls_process_key_update(s, pkt);
 971     }
 972 }
 973
 974 /*
 975  * Perform any further processing required following the receipt of a message
 976  * from the server
 977  */
 978 WORK_STATE ossl_statem_client_post_process_message(SSL *s, WORK_STATE wst)
 979 {
 980     OSSL_STATEM *st = &s->statem;
 981
 982     switch (st->hand_state) {
 983     default:
 984         /* Shouldn't happen */
 985         return WORK_ERROR;
 986
 987     case TLS_ST_CR_CERT_REQ:
 988         return tls_prepare_client_certificate(s, wst);
 989
 990 #ifndef OPENSSL_NO_SCTP
 991     case TLS_ST_CR_SRVR_DONE:
 992         /* We only get here if we are using SCTP and we are renegotiating */
 993         if (BIO_dgram_sctp_msg_waiting(SSL_get_rbio(s))) {
 994             s->s3->in_read_app_data = 2;
 995             s->rwstate = SSL_READING;
 996             BIO_clear_retry_flags(SSL_get_rbio(s));
 997             BIO_set_retry_read(SSL_get_rbio(s));
 998             ossl_statem_set_sctp_read_sock(s, 1);
 999             return WORK_MORE_A;
1000         }
1001         ossl_statem_set_sctp_read_sock(s, 0);
1002         return WORK_FINISHED_STOP;
1003 #endif
1004     }
1005 }
1006
1007 int tls_construct_client_hello(SSL *s, WPACKET *pkt)
1008 {
1009     unsigned char *p;
1010     size_t sess_id_len;
1011     int i, protverr;
1012     int al = SSL_AD_HANDSHAKE_FAILURE;
1013 #ifndef OPENSSL_NO_COMP
1014     SSL_COMP *comp;
1015 #endif
1016     SSL_SESSION *sess = s->session;
1017
1018     if (!WPACKET_set_max_size(pkt, SSL3_RT_MAX_PLAIN_LENGTH)) {
1019         /* Should not happen */
1020         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1021         return 0;
1022     }
1023
1024     /* Work out what SSL/TLS/DTLS version to use */
1025     protverr = ssl_set_client_hello_version(s);
1026     if (protverr != 0) {
1027         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, protverr);
1028         return 0;
1029     }
1030
1031     if ((sess == NULL) || !ssl_version_supported(s, sess->ssl_version) ||
1032         /*
1033          * In the case of EAP-FAST, we can have a pre-shared
1034          * "ticket" without a session ID.
1035          */
1036         (!sess->session_id_length && !sess->ext.tick) ||
1037         (sess->not_resumable)) {
1038         if (!ssl_get_new_session(s, 0))
1039             return 0;
1040     }
1041     /* else use the pre-loaded session */
1042
1043     p = s->s3->client_random;
1044
1045     /*
1046      * for DTLS if client_random is initialized, reuse it, we are
1047      * required to use same upon reply to HelloVerify
1048      */
1049     if (SSL_IS_DTLS(s)) {
1050         size_t idx;
1051         i = 1;
1052         for (idx = 0; idx < sizeof(s->s3->client_random); idx++) {
1053             if (p[idx]) {
1054                 i = 0;
1055                 break;
1056             }
1057         }
1058     } else
1059         i = 1;
1060
1061     if (i && ssl_fill_hello_random(s, 0, p, sizeof(s->s3->client_random)) <= 0)
1062         return 0;
1063
1064     /*-
1065      * version indicates the negotiated version: for example from
1066      * an SSLv2/v3 compatible client hello). The client_version
1067      * field is the maximum version we permit and it is also
1068      * used in RSA encrypted premaster secrets. Some servers can
1069      * choke if we initially report a higher version then
1070      * renegotiate to a lower one in the premaster secret. This
1071      * didn't happen with TLS 1.0 as most servers supported it
1072      * but it can with TLS 1.1 or later if the server only supports
1073      * 1.0.
1074      *
1075      * Possible scenario with previous logic:
1076      *      1. Client hello indicates TLS 1.2
1077      *      2. Server hello says TLS 1.0
1078      *      3. RSA encrypted premaster secret uses 1.2.
1079      *      4. Handshake proceeds using TLS 1.0.
1080      *      5. Server sends hello request to renegotiate.
1081      *      6. Client hello indicates TLS v1.0 as we now
1082      *         know that is maximum server supports.
1083      *      7. Server chokes on RSA encrypted premaster secret
1084      *         containing version 1.0.
1085      *
1086      * For interoperability it should be OK to always use the
1087      * maximum version we support in client hello and then rely
1088      * on the checking of version to ensure the servers isn't
1089      * being inconsistent: for example initially negotiating with
1090      * TLS 1.0 and renegotiating with TLS 1.2. We do this by using
1091      * client_version in client hello and not resetting it to
1092      * the negotiated version.
1093      *
1094      * For TLS 1.3 we always set the ClientHello version to 1.2 and rely on the
1095      * supported_versions extension for the real supported versions.
1096      */
1097     if (!WPACKET_put_bytes_u16(pkt, s->client_version)
1098             || !WPACKET_memcpy(pkt, s->s3->client_random, SSL3_RANDOM_SIZE)) {
1099         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1100         return 0;
1101     }
1102
1103     /* Session ID */
1104     if (s->new_session || s->session->ssl_version == TLS1_3_VERSION)
1105         sess_id_len = 0;
1106     else
1107         sess_id_len = s->session->session_id_length;
1108     if (sess_id_len > sizeof(s->session->session_id)
1109             || !WPACKET_start_sub_packet_u8(pkt)
1110             || (sess_id_len != 0 && !WPACKET_memcpy(pkt, s->session->session_id,
1111                                                     sess_id_len))
1112             || !WPACKET_close(pkt)) {
1113         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1114         return 0;
1115     }
1116
1117     /* cookie stuff for DTLS */
1118     if (SSL_IS_DTLS(s)) {
1119         if (s->d1->cookie_len > sizeof(s->d1->cookie)
1120                 || !WPACKET_sub_memcpy_u8(pkt, s->d1->cookie,
1121                                           s->d1->cookie_len)) {
1122             SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1123             return 0;
1124         }
1125     }
1126
1127     /* Ciphers supported */
1128     if (!WPACKET_start_sub_packet_u16(pkt)) {
1129         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1130         return 0;
1131     }
1132     /* ssl_cipher_list_to_bytes() raises SSLerr if appropriate */
1133     if (!ssl_cipher_list_to_bytes(s, SSL_get_ciphers(s), pkt))
1134         return 0;
1135     if (!WPACKET_close(pkt)) {
1136         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1137         return 0;
1138     }
1139
1140     /* COMPRESSION */
1141     if (!WPACKET_start_sub_packet_u8(pkt)) {
1142         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1143         return 0;
1144     }
1145 #ifndef OPENSSL_NO_COMP
1146     if (ssl_allow_compression(s)
1147             && s->ctx->comp_methods
1148             && (SSL_IS_DTLS(s) || s->s3->tmp.max_ver < TLS1_3_VERSION)) {
1149         int compnum = sk_SSL_COMP_num(s->ctx->comp_methods);
1150         for (i = 0; i < compnum; i++) {
1151             comp = sk_SSL_COMP_value(s->ctx->comp_methods, i);
1152             if (!WPACKET_put_bytes_u8(pkt, comp->id)) {
1153                 SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1154                 return 0;
1155             }
1156         }
1157     }
1158 #endif
1159     /* Add the NULL method */
1160     if (!WPACKET_put_bytes_u8(pkt, 0) || !WPACKET_close(pkt)) {
1161         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1162         return 0;
1163     }
1164
1165     /* TLS extensions */
1166     if (!tls_construct_extensions(s, pkt, EXT_CLIENT_HELLO, NULL, 0, &al)) {
1167         ssl3_send_alert(s, SSL3_AL_FATAL, al);
1168         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1169         return 0;
1170     }
1171
1172     return 1;
1173 }
1174
1175 MSG_PROCESS_RETURN dtls_process_hello_verify(SSL *s, PACKET *pkt)
1176 {
1177     int al;
1178     size_t cookie_len;
1179     PACKET cookiepkt;
1180
1181     if (!PACKET_forward(pkt, 2)
1182         || !PACKET_get_length_prefixed_1(pkt, &cookiepkt)) {
1183         al = SSL_AD_DECODE_ERROR;
1184         SSLerr(SSL_F_DTLS_PROCESS_HELLO_VERIFY, SSL_R_LENGTH_MISMATCH);
1185         goto f_err;
1186     }
1187
1188     cookie_len = PACKET_remaining(&cookiepkt);
1189     if (cookie_len > sizeof(s->d1->cookie)) {
1190         al = SSL_AD_ILLEGAL_PARAMETER;
1191         SSLerr(SSL_F_DTLS_PROCESS_HELLO_VERIFY, SSL_R_LENGTH_TOO_LONG);
1192         goto f_err;
1193     }
1194
1195     if (!PACKET_copy_bytes(&cookiepkt, s->d1->cookie, cookie_len)) {
1196         al = SSL_AD_DECODE_ERROR;
1197         SSLerr(SSL_F_DTLS_PROCESS_HELLO_VERIFY, SSL_R_LENGTH_MISMATCH);
1198         goto f_err;
1199     }
1200     s->d1->cookie_len = cookie_len;
1201
1202     return MSG_PROCESS_FINISHED_READING;
1203  f_err:
1204     ssl3_send_alert(s, SSL3_AL_FATAL, al);
1205     ossl_statem_set_error(s);
1206     return MSG_PROCESS_ERROR;
1207 }
1208
1209 MSG_PROCESS_RETURN tls_process_server_hello(SSL *s, PACKET *pkt)
1210 {
1211     STACK_OF(SSL_CIPHER) *sk;
1212     const SSL_CIPHER *c;
1213     PACKET session_id, extpkt;
1214     size_t session_id_len;
1215     const unsigned char *cipherchars;
1216     int i, al = SSL_AD_INTERNAL_ERROR;
1217     unsigned int compression;
1218     unsigned int sversion;
1219     unsigned int context;
1220     int protverr;
1221     RAW_EXTENSION *extensions = NULL;
1222 #ifndef OPENSSL_NO_COMP
1223     SSL_COMP *comp;
1224 #endif
1225
1226     if (!PACKET_get_net_2(pkt, &sversion)) {
1227         al = SSL_AD_DECODE_ERROR;
1228         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1229         goto f_err;
1230     }
1231
1232     /* We do this immediately so we know what format the ServerHello is in */
1233     protverr = ssl_choose_client_version(s, sversion);
1234     if (protverr != 0) {
1235         al = SSL_AD_PROTOCOL_VERSION;
1236         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, protverr);
1237         goto f_err;
1238     }
1239
1240     /*
1241      * In TLSv1.3 a ServerHello message signals a key change so the end of the
1242      * message must be on a record boundary.
1243      */
1244     if (SSL_IS_TLS13(s) && RECORD_LAYER_processed_read_pending(&s->rlayer)) {
1245         al = SSL_AD_UNEXPECTED_MESSAGE;
1246         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_NOT_ON_RECORD_BOUNDARY);
1247         goto f_err;
1248     }
1249
1250     /* load the server hello data */
1251     /* load the server random */
1252     if (!PACKET_copy_bytes(pkt, s->s3->server_random, SSL3_RANDOM_SIZE)) {
1253         al = SSL_AD_DECODE_ERROR;
1254         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1255         goto f_err;
1256     }
1257
1258     /* Get the session-id. */
1259     if (!SSL_IS_TLS13(s)) {
1260         if (!PACKET_get_length_prefixed_1(pkt, &session_id)) {
1261             al = SSL_AD_DECODE_ERROR;
1262             SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1263             goto f_err;
1264         }
1265         session_id_len = PACKET_remaining(&session_id);
1266         if (session_id_len > sizeof s->session->session_id
1267             || session_id_len > SSL3_SESSION_ID_SIZE) {
1268             al = SSL_AD_ILLEGAL_PARAMETER;
1269             SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1270                    SSL_R_SSL3_SESSION_ID_TOO_LONG);
1271             goto f_err;
1272         }
1273     } else {
1274         PACKET_null_init(&session_id);
1275         session_id_len = 0;
1276     }
1277
1278     if (!PACKET_get_bytes(pkt, &cipherchars, TLS_CIPHER_LEN)) {
1279         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1280         al = SSL_AD_DECODE_ERROR;
1281         goto f_err;
1282     }
1283
1284     if (!SSL_IS_TLS13(s)) {
1285         if (!PACKET_get_1(pkt, &compression)) {
1286             SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1287             al = SSL_AD_DECODE_ERROR;
1288             goto f_err;
1289         }
1290     } else {
1291         compression = 0;
1292     }
1293
1294     /* TLS extensions */
1295     if (PACKET_remaining(pkt) == 0) {
1296         PACKET_null_init(&extpkt);
1297     } else if (!PACKET_as_length_prefixed_2(pkt, &extpkt)) {
1298         al = SSL_AD_DECODE_ERROR;
1299         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_BAD_LENGTH);
1300         goto f_err;
1301     }
1302
1303     context = SSL_IS_TLS13(s) ? EXT_TLS1_3_SERVER_HELLO
1304                               : EXT_TLS1_2_SERVER_HELLO;
1305     if (!tls_collect_extensions(s, &extpkt, context, &extensions, &al, NULL))
1306         goto f_err;
1307
1308     s->hit = 0;
1309
1310     if (SSL_IS_TLS13(s)) {
1311         /* This will set s->hit if we are resuming */
1312         if (!tls_parse_extension(s, TLSEXT_IDX_psk,
1313                                  EXT_TLS1_3_SERVER_HELLO,
1314                                  extensions, NULL, 0, &al))
1315             goto f_err;
1316     } else {
1317         /*
1318          * Check if we can resume the session based on external pre-shared
1319          * secret. EAP-FAST (RFC 4851) supports two types of session resumption.
1320          * Resumption based on server-side state works with session IDs.
1321          * Resumption based on pre-shared Protected Access Credentials (PACs)
1322          * works by overriding the SessionTicket extension at the application
1323          * layer, and does not send a session ID. (We do not know whether
1324          * EAP-FAST servers would honour the session ID.) Therefore, the session
1325          * ID alone is not a reliable indicator of session resumption, so we
1326          * first check if we can resume, and later peek at the next handshake
1327          * message to see if the server wants to resume.
1328          */
1329         if (s->version >= TLS1_VERSION
1330                 && s->ext.session_secret_cb != NULL && s->session->ext.tick) {
1331             const SSL_CIPHER *pref_cipher = NULL;
1332             /*
1333              * s->session->master_key_length is a size_t, but this is an int for
1334              * backwards compat reasons
1335              */
1336             int master_key_length;
1337             master_key_length = sizeof(s->session->master_key);
1338             if (s->ext.session_secret_cb(s, s->session->master_key,
1339                                          &master_key_length,
1340                                          NULL, &pref_cipher,
1341                                          s->ext.session_secret_cb_arg)
1342                      && master_key_length > 0) {
1343                 s->session->master_key_length = master_key_length;
1344                 s->session->cipher = pref_cipher ?
1345                     pref_cipher : ssl_get_cipher_by_char(s, cipherchars, 0);
1346             } else {
1347                 SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, ERR_R_INTERNAL_ERROR);
1348                 al = SSL_AD_INTERNAL_ERROR;
1349                 goto f_err;
1350             }
1351         }
1352
1353         if (session_id_len != 0
1354                 && session_id_len == s->session->session_id_length
1355                 && memcmp(PACKET_data(&session_id), s->session->session_id,
1356                           session_id_len) == 0)
1357             s->hit = 1;
1358     }
1359
1360     if (s->hit) {
1361         if (s->sid_ctx_length != s->session->sid_ctx_length
1362                 || memcmp(s->session->sid_ctx, s->sid_ctx, s->sid_ctx_length)) {
1363             /* actually a client application bug */
1364             al = SSL_AD_ILLEGAL_PARAMETER;
1365             SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1366                    SSL_R_ATTEMPT_TO_REUSE_SESSION_IN_DIFFERENT_CONTEXT);
1367             goto f_err;
1368         }
1369     } else {
1370         /*
1371          * If we were trying for session-id reuse but the server
1372          * didn't resume, make a new SSL_SESSION.
1373          * In the case of EAP-FAST and PAC, we do not send a session ID,
1374          * so the PAC-based session secret is always preserved. It'll be
1375          * overwritten if the server refuses resumption.
1376          */
1377         if (s->session->session_id_length > 0
1378                 || (SSL_IS_TLS13(s)
1379                     && s->session->ext.tick_identity
1380                        != TLSEXT_PSK_BAD_IDENTITY)) {
1381             s->ctx->stats.sess_miss++;
1382             if (!ssl_get_new_session(s, 0)) {
1383                 goto f_err;
1384             }
1385         }
1386
1387         s->session->ssl_version = s->version;
1388         s->session->session_id_length = session_id_len;
1389         /* session_id_len could be 0 */
1390         if (session_id_len > 0)
1391             memcpy(s->session->session_id, PACKET_data(&session_id),
1392                    session_id_len);
1393     }
1394
1395     /* Session version and negotiated protocol version should match */
1396     if (s->version != s->session->ssl_version) {
1397         al = SSL_AD_PROTOCOL_VERSION;
1398
1399         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1400                SSL_R_SSL_SESSION_VERSION_MISMATCH);
1401         goto f_err;
1402     }
1403
1404     c = ssl_get_cipher_by_char(s, cipherchars, 0);
1405     if (c == NULL) {
1406         /* unknown cipher */
1407         al = SSL_AD_ILLEGAL_PARAMETER;
1408         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_UNKNOWN_CIPHER_RETURNED);
1409         goto f_err;
1410     }
1411     /*
1412      * Now that we know the version, update the check to see if it's an allowed
1413      * version.
1414      */
1415     s->s3->tmp.min_ver = s->version;
1416     s->s3->tmp.max_ver = s->version;
1417     /*
1418      * If it is a disabled cipher we either didn't send it in client hello,
1419      * or it's not allowed for the selected protocol. So we return an error.
1420      */
1421     if (ssl_cipher_disabled(s, c, SSL_SECOP_CIPHER_CHECK)) {
1422         al = SSL_AD_ILLEGAL_PARAMETER;
1423         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_WRONG_CIPHER_RETURNED);
1424         goto f_err;
1425     }
1426
1427     sk = ssl_get_ciphers_by_id(s);
1428     i = sk_SSL_CIPHER_find(sk, c);
1429     if (i < 0) {
1430         /* we did not say we would use this cipher */
1431         al = SSL_AD_ILLEGAL_PARAMETER;
1432         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_WRONG_CIPHER_RETURNED);
1433         goto f_err;
1434     }
1435
1436     /*
1437      * Depending on the session caching (internal/external), the cipher
1438      * and/or cipher_id values may not be set. Make sure that cipher_id is
1439      * set and use it for comparison.
1440      */
1441     if (s->session->cipher)
1442         s->session->cipher_id = s->session->cipher->id;
1443     if (s->hit && (s->session->cipher_id != c->id)) {
1444         al = SSL_AD_ILLEGAL_PARAMETER;
1445         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1446                SSL_R_OLD_SESSION_CIPHER_NOT_RETURNED);
1447         goto f_err;
1448     }
1449     s->s3->tmp.new_cipher = c;
1450
1451 #ifdef OPENSSL_NO_COMP
1452     if (compression != 0) {
1453         al = SSL_AD_ILLEGAL_PARAMETER;
1454         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1455                SSL_R_UNSUPPORTED_COMPRESSION_ALGORITHM);
1456         goto f_err;
1457     }
1458     /*
1459      * If compression is disabled we'd better not try to resume a session
1460      * using compression.
1461      */
1462     if (s->session->compress_meth != 0) {
1463         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_INCONSISTENT_COMPRESSION);
1464         goto f_err;
1465     }
1466 #else
1467     if (s->hit && compression != s->session->compress_meth) {
1468         al = SSL_AD_ILLEGAL_PARAMETER;
1469         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1470                SSL_R_OLD_SESSION_COMPRESSION_ALGORITHM_NOT_RETURNED);
1471         goto f_err;
1472     }
1473     if (compression == 0)
1474         comp = NULL;
1475     else if (!ssl_allow_compression(s)) {
1476         al = SSL_AD_ILLEGAL_PARAMETER;
1477         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_COMPRESSION_DISABLED);
1478         goto f_err;
1479     } else {
1480         comp = ssl3_comp_find(s->ctx->comp_methods, compression);
1481     }
1482
1483     if (compression != 0 && comp == NULL) {
1484         al = SSL_AD_ILLEGAL_PARAMETER;
1485         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1486                SSL_R_UNSUPPORTED_COMPRESSION_ALGORITHM);
1487         goto f_err;
1488     } else {
1489         s->s3->tmp.new_compression = comp;
1490     }
1491 #endif
1492
1493     if (!tls_parse_all_extensions(s, context, extensions, NULL, 0, &al))
1494         goto f_err;
1495
1496 #ifndef OPENSSL_NO_SCTP
1497     if (SSL_IS_DTLS(s) && s->hit) {
1498         unsigned char sctpauthkey[64];
1499         char labelbuffer[sizeof(DTLS1_SCTP_AUTH_LABEL)];
1500
1501         /*
1502          * Add new shared key for SCTP-Auth, will be ignored if
1503          * no SCTP used.
1504          */
1505         memcpy(labelbuffer, DTLS1_SCTP_AUTH_LABEL,
1506                sizeof(DTLS1_SCTP_AUTH_LABEL));
1507
1508         if (SSL_export_keying_material(s, sctpauthkey,
1509                                        sizeof(sctpauthkey),
1510                                        labelbuffer,
1511                                        sizeof(labelbuffer), NULL, 0, 0) <= 0)
1512             goto f_err;
1513
1514         BIO_ctrl(SSL_get_wbio(s),
1515                  BIO_CTRL_DGRAM_SCTP_ADD_AUTH_KEY,
1516                  sizeof(sctpauthkey), sctpauthkey);
1517     }
1518 #endif
1519
1520     /*
1521      * In TLSv1.3 we have some post-processing to change cipher state, otherwise
1522      * we're done with this message
1523      */
1524     if (SSL_IS_TLS13(s)
1525             && (!s->method->ssl3_enc->setup_key_block(s)
1526                 || !s->method->ssl3_enc->change_cipher_state(s,
1527                     SSL3_CC_HANDSHAKE | SSL3_CHANGE_CIPHER_CLIENT_READ))) {
1528         al = SSL_AD_INTERNAL_ERROR;
1529         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_CANNOT_CHANGE_CIPHER);
1530         goto f_err;
1531     }
1532
1533     OPENSSL_free(extensions);
1534     return MSG_PROCESS_CONTINUE_READING;
1535  f_err:
1536     ssl3_send_alert(s, SSL3_AL_FATAL, al);
1537     ossl_statem_set_error(s);
1538     OPENSSL_free(extensions);
1539     return MSG_PROCESS_ERROR;
1540 }
1541
1542 static MSG_PROCESS_RETURN tls_process_hello_retry_request(SSL *s, PACKET *pkt)
1543 {
1544     unsigned int sversion;
1545     int errorcode;
1546     RAW_EXTENSION *extensions = NULL;
1547     int al;
1548     PACKET extpkt;
1549
1550     if (!PACKET_get_net_2(pkt, &sversion)) {
1551         al = SSL_AD_DECODE_ERROR;
1552         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST, SSL_R_LENGTH_MISMATCH);
1553         goto f_err;
1554     }
1555
1556     s->hello_retry_request = 1;
1557
1558     /* This will fail if it doesn't choose TLSv1.3+ */
1559     errorcode = ssl_choose_client_version(s, sversion);
1560     if (errorcode != 0) {
1561         al = SSL_AD_PROTOCOL_VERSION;
1562         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST, errorcode);
1563         goto f_err;
1564     }
1565
1566     if (!PACKET_as_length_prefixed_2(pkt, &extpkt)) {
1567         al = SSL_AD_DECODE_ERROR;
1568         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST, SSL_R_BAD_LENGTH);
1569         goto f_err;
1570     }
1571
1572     if (!tls_collect_extensions(s, &extpkt, EXT_TLS1_3_HELLO_RETRY_REQUEST,
1573                                 &extensions, &al, NULL)
1574             || !tls_parse_all_extensions(s, EXT_TLS1_3_HELLO_RETRY_REQUEST,
1575                                          extensions, NULL, 0, &al))
1576         goto f_err;
1577
1578     OPENSSL_free(extensions);
1579
1580     return MSG_PROCESS_FINISHED_READING;
1581  f_err:
1582     ssl3_send_alert(s, SSL3_AL_FATAL, al);
1583     ossl_statem_set_error(s);
1584     OPENSSL_free(extensions);
1585     return MSG_PROCESS_ERROR;
1586 }
1587
1588 MSG_PROCESS_RETURN tls_process_server_certificate(SSL *s, PACKET *pkt)
1589 {
1590     int al, i, ret = MSG_PROCESS_ERROR, exp_idx;
1591     unsigned long cert_list_len, cert_len;
1592     X509 *x = NULL;
1593     const unsigned char *certstart, *certbytes;
1594     STACK_OF(X509) *sk = NULL;
1595     EVP_PKEY *pkey = NULL;
1596     size_t chainidx;
1597     unsigned int context = 0;
1598
1599     if ((sk = sk_X509_new_null()) == NULL) {
1600         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, ERR_R_MALLOC_FAILURE);
1601         goto err;
1602     }
1603
1604     if ((SSL_IS_TLS13(s) && !PACKET_get_1(pkt, &context))
1605             || context != 0
1606             || !PACKET_get_net_3(pkt, &cert_list_len)
1607             || PACKET_remaining(pkt) != cert_list_len) {
1608         al = SSL_AD_DECODE_ERROR;
1609         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, SSL_R_LENGTH_MISMATCH);
1610         goto f_err;
1611     }
1612     for (chainidx = 0; PACKET_remaining(pkt); chainidx++) {
1613         if (!PACKET_get_net_3(pkt, &cert_len)
1614             || !PACKET_get_bytes(pkt, &certbytes, cert_len)) {
1615             al = SSL_AD_DECODE_ERROR;
1616             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1617                    SSL_R_CERT_LENGTH_MISMATCH);
1618             goto f_err;
1619         }
1620
1621         certstart = certbytes;
1622         x = d2i_X509(NULL, (const unsigned char **)&certbytes, cert_len);
1623         if (x == NULL) {
1624             al = SSL_AD_BAD_CERTIFICATE;
1625             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, ERR_R_ASN1_LIB);
1626             goto f_err;
1627         }
1628         if (certbytes != (certstart + cert_len)) {
1629             al = SSL_AD_DECODE_ERROR;
1630             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1631                    SSL_R_CERT_LENGTH_MISMATCH);
1632             goto f_err;
1633         }
1634
1635         if (SSL_IS_TLS13(s)) {
1636             RAW_EXTENSION *rawexts = NULL;
1637             PACKET extensions;
1638
1639             if (!PACKET_get_length_prefixed_2(pkt, &extensions)) {
1640                 al = SSL_AD_DECODE_ERROR;
1641                 SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, SSL_R_BAD_LENGTH);
1642                 goto f_err;
1643             }
1644             if (!tls_collect_extensions(s, &extensions, EXT_TLS1_3_CERTIFICATE,
1645                                         &rawexts, &al, NULL)
1646                     || !tls_parse_all_extensions(s, EXT_TLS1_3_CERTIFICATE,
1647                                                  rawexts, x, chainidx, &al)) {
1648                 OPENSSL_free(rawexts);
1649                 goto f_err;
1650             }
1651             OPENSSL_free(rawexts);
1652         }
1653
1654         if (!sk_X509_push(sk, x)) {
1655             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, ERR_R_MALLOC_FAILURE);
1656             goto err;
1657         }
1658         x = NULL;
1659     }
1660
1661     i = ssl_verify_cert_chain(s, sk);
1662     /*
1663      * The documented interface is that SSL_VERIFY_PEER should be set in order
1664      * for client side verification of the server certificate to take place.
1665      * However, historically the code has only checked that *any* flag is set
1666      * to cause server verification to take place. Use of the other flags makes
1667      * no sense in client mode. An attempt to clean up the semantics was
1668      * reverted because at least one application *only* set
1669      * SSL_VERIFY_FAIL_IF_NO_PEER_CERT. Prior to the clean up this still caused
1670      * server verification to take place, after the clean up it silently did
1671      * nothing. SSL_CTX_set_verify()/SSL_set_verify() cannot validate the flags
1672      * sent to them because they are void functions. Therefore, we now use the
1673      * (less clean) historic behaviour of performing validation if any flag is
1674      * set. The *documented* interface remains the same.
1675      */
1676     if (s->verify_mode != SSL_VERIFY_NONE && i <= 0) {
1677         al = ssl_verify_alarm_type(s->verify_result);
1678         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1679                SSL_R_CERTIFICATE_VERIFY_FAILED);
1680         goto f_err;
1681     }
1682     ERR_clear_error();          /* but we keep s->verify_result */
1683     if (i > 1) {
1684         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, i);
1685         al = SSL_AD_HANDSHAKE_FAILURE;
1686         goto f_err;
1687     }
1688
1689     s->session->peer_chain = sk;
1690     /*
1691      * Inconsistency alert: cert_chain does include the peer's certificate,
1692      * which we don't include in statem_srvr.c
1693      */
1694     x = sk_X509_value(sk, 0);
1695     sk = NULL;
1696     /*
1697      * VRS 19990621: possible memory leak; sk=null ==> !sk_pop_free() @end
1698      */
1699
1700     pkey = X509_get0_pubkey(x);
1701
1702     if (pkey == NULL || EVP_PKEY_missing_parameters(pkey)) {
1703         x = NULL;
1704         al = SSL3_AL_FATAL;
1705         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1706                SSL_R_UNABLE_TO_FIND_PUBLIC_KEY_PARAMETERS);
1707         goto f_err;
1708     }
1709
1710     i = ssl_cert_type(x, pkey);
1711     if (i < 0) {
1712         x = NULL;
1713         al = SSL3_AL_FATAL;
1714         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1715                SSL_R_UNKNOWN_CERTIFICATE_TYPE);
1716         goto f_err;
1717     }
1718     /*
1719      * Check certificate type is consistent with ciphersuite. For TLS 1.3
1720      * skip check since TLS 1.3 ciphersuites can be used with any certificate
1721      * type.
1722      */
1723     if (!SSL_IS_TLS13(s)) {
1724         exp_idx = ssl_cipher_get_cert_index(s->s3->tmp.new_cipher);
1725         if (exp_idx >= 0 && i != exp_idx
1726             && (exp_idx != SSL_PKEY_GOST_EC ||
1727                 (i != SSL_PKEY_GOST12_512 && i != SSL_PKEY_GOST12_256
1728                  && i != SSL_PKEY_GOST01))) {
1729             x = NULL;
1730             al = SSL_AD_ILLEGAL_PARAMETER;
1731             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1732                    SSL_R_WRONG_CERTIFICATE_TYPE);
1733             goto f_err;
1734         }
1735     }
1736     s->session->peer_type = i;
1737
1738     X509_free(s->session->peer);
1739     X509_up_ref(x);
1740     s->session->peer = x;
1741     s->session->verify_result = s->verify_result;
1742     x = NULL;
1743
1744     /* Save the current hash state for when we receive the CertificateVerify */
1745     if (SSL_IS_TLS13(s)
1746             && !ssl_handshake_hash(s, s->cert_verify_hash,
1747                                    sizeof(s->cert_verify_hash),
1748                                    &s->cert_verify_hash_len)) {
1749         al = SSL_AD_INTERNAL_ERROR;
1750         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, ERR_R_INTERNAL_ERROR);
1751         goto f_err;
1752     }
1753
1754     ret = MSG_PROCESS_CONTINUE_READING;
1755     goto done;
1756
1757  f_err:
1758     ssl3_send_alert(s, SSL3_AL_FATAL, al);
1759  err:
1760     ossl_statem_set_error(s);
1761  done:
1762     X509_free(x);
1763     sk_X509_pop_free(sk, X509_free);
1764     return ret;
1765 }
1766
1767 static int tls_process_ske_psk_preamble(SSL *s, PACKET *pkt, int *al)
1768 {
1769 #ifndef OPENSSL_NO_PSK
1770     PACKET psk_identity_hint;
1771
1772     /* PSK ciphersuites are preceded by an identity hint */
1773
1774     if (!PACKET_get_length_prefixed_2(pkt, &psk_identity_hint)) {
1775         *al = SSL_AD_DECODE_ERROR;
1776         SSLerr(SSL_F_TLS_PROCESS_SKE_PSK_PREAMBLE, SSL_R_LENGTH_MISMATCH);
1777         return 0;
1778     }
1779
1780     /*
1781      * Store PSK identity hint for later use, hint is used in
1782      * tls_construct_client_key_exchange.  Assume that the maximum length of
1783      * a PSK identity hint can be as long as the maximum length of a PSK
1784      * identity.
1785      */
1786     if (PACKET_remaining(&psk_identity_hint) > PSK_MAX_IDENTITY_LEN) {
1787         *al = SSL_AD_HANDSHAKE_FAILURE;
1788         SSLerr(SSL_F_TLS_PROCESS_SKE_PSK_PREAMBLE, SSL_R_DATA_LENGTH_TOO_LONG);
1789         return 0;
1790     }
1791
1792     if (PACKET_remaining(&psk_identity_hint) == 0) {
1793         OPENSSL_free(s->session->psk_identity_hint);
1794         s->session->psk_identity_hint = NULL;
1795     } else if (!PACKET_strndup(&psk_identity_hint,
1796                                &s->session->psk_identity_hint)) {
1797         *al = SSL_AD_INTERNAL_ERROR;
1798         return 0;
1799     }
1800
1801     return 1;
1802 #else
1803     SSLerr(SSL_F_TLS_PROCESS_SKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
1804     *al = SSL_AD_INTERNAL_ERROR;
1805     return 0;
1806 #endif
1807 }
1808
1809 static int tls_process_ske_srp(SSL *s, PACKET *pkt, EVP_PKEY **pkey, int *al)
1810 {
1811 #ifndef OPENSSL_NO_SRP
1812     PACKET prime, generator, salt, server_pub;
1813
1814     if (!PACKET_get_length_prefixed_2(pkt, &prime)
1815         || !PACKET_get_length_prefixed_2(pkt, &generator)
1816         || !PACKET_get_length_prefixed_1(pkt, &salt)
1817         || !PACKET_get_length_prefixed_2(pkt, &server_pub)) {
1818         *al = SSL_AD_DECODE_ERROR;
1819         SSLerr(SSL_F_TLS_PROCESS_SKE_SRP, SSL_R_LENGTH_MISMATCH);
1820         return 0;
1821     }
1822
1823     /* TODO(size_t): Convert BN_bin2bn() calls */
1824     if ((s->srp_ctx.N =
1825          BN_bin2bn(PACKET_data(&prime),
1826                    (int)PACKET_remaining(&prime), NULL)) == NULL
1827         || (s->srp_ctx.g =
1828             BN_bin2bn(PACKET_data(&generator),
1829                       (int)PACKET_remaining(&generator), NULL)) == NULL
1830         || (s->srp_ctx.s =
1831             BN_bin2bn(PACKET_data(&salt),
1832                       (int)PACKET_remaining(&salt), NULL)) == NULL
1833         || (s->srp_ctx.B =
1834             BN_bin2bn(PACKET_data(&server_pub),
1835                       (int)PACKET_remaining(&server_pub), NULL)) == NULL) {
1836         *al = SSL_AD_INTERNAL_ERROR;
1837         SSLerr(SSL_F_TLS_PROCESS_SKE_SRP, ERR_R_BN_LIB);
1838         return 0;
1839     }
1840
1841     if (!srp_verify_server_param(s, al)) {
1842         *al = SSL_AD_DECODE_ERROR;
1843         SSLerr(SSL_F_TLS_PROCESS_SKE_SRP, SSL_R_BAD_SRP_PARAMETERS);
1844         return 0;
1845     }
1846
1847     /* We must check if there is a certificate */
1848     if (s->s3->tmp.new_cipher->algorithm_auth & (SSL_aRSA | SSL_aDSS))
1849         *pkey = X509_get0_pubkey(s->session->peer);
1850
1851     return 1;
1852 #else
1853     SSLerr(SSL_F_TLS_PROCESS_SKE_SRP, ERR_R_INTERNAL_ERROR);
1854     *al = SSL_AD_INTERNAL_ERROR;
1855     return 0;
1856 #endif
1857 }
1858
1859 static int tls_process_ske_dhe(SSL *s, PACKET *pkt, EVP_PKEY **pkey, int *al)
1860 {
1861 #ifndef OPENSSL_NO_DH
1862     PACKET prime, generator, pub_key;
1863     EVP_PKEY *peer_tmp = NULL;
1864
1865     DH *dh = NULL;
1866     BIGNUM *p = NULL, *g = NULL, *bnpub_key = NULL;
1867
1868     int check_bits = 0;
1869
1870     if (!PACKET_get_length_prefixed_2(pkt, &prime)
1871         || !PACKET_get_length_prefixed_2(pkt, &generator)
1872         || !PACKET_get_length_prefixed_2(pkt, &pub_key)) {
1873         *al = SSL_AD_DECODE_ERROR;
1874         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, SSL_R_LENGTH_MISMATCH);
1875         return 0;
1876     }
1877
1878     peer_tmp = EVP_PKEY_new();
1879     dh = DH_new();
1880
1881     if (peer_tmp == NULL || dh == NULL) {
1882         *al = SSL_AD_INTERNAL_ERROR;
1883         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_MALLOC_FAILURE);
1884         goto err;
1885     }
1886
1887     /* TODO(size_t): Convert these calls */
1888     p = BN_bin2bn(PACKET_data(&prime), (int)PACKET_remaining(&prime), NULL);
1889     g = BN_bin2bn(PACKET_data(&generator), (int)PACKET_remaining(&generator),
1890                   NULL);
1891     bnpub_key = BN_bin2bn(PACKET_data(&pub_key),
1892                           (int)PACKET_remaining(&pub_key), NULL);
1893     if (p == NULL || g == NULL || bnpub_key == NULL) {
1894         *al = SSL_AD_INTERNAL_ERROR;
1895         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_BN_LIB);
1896         goto err;
1897     }
1898
1899     /* test non-zero pupkey */
1900     if (BN_is_zero(bnpub_key)) {
1901         *al = SSL_AD_DECODE_ERROR;
1902         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, SSL_R_BAD_DH_VALUE);
1903         goto err;
1904     }
1905
1906     if (!DH_set0_pqg(dh, p, NULL, g)) {
1907         *al = SSL_AD_INTERNAL_ERROR;
1908         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_BN_LIB);
1909         goto err;
1910     }
1911     p = g = NULL;
1912
1913     if (DH_check_params(dh, &check_bits) == 0 || check_bits != 0) {
1914         *al = SSL_AD_DECODE_ERROR;
1915         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, SSL_R_BAD_DH_VALUE);
1916         goto err;
1917     }
1918
1919     if (!DH_set0_key(dh, bnpub_key, NULL)) {
1920         *al = SSL_AD_INTERNAL_ERROR;
1921         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_BN_LIB);
1922         goto err;
1923     }
1924     bnpub_key = NULL;
1925
1926     if (!ssl_security(s, SSL_SECOP_TMP_DH, DH_security_bits(dh), 0, dh)) {
1927         *al = SSL_AD_HANDSHAKE_FAILURE;
1928         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, SSL_R_DH_KEY_TOO_SMALL);
1929         goto err;
1930     }
1931
1932     if (EVP_PKEY_assign_DH(peer_tmp, dh) == 0) {
1933         *al = SSL_AD_INTERNAL_ERROR;
1934         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_EVP_LIB);
1935         goto err;
1936     }
1937
1938     s->s3->peer_tmp = peer_tmp;
1939
1940     /*
1941      * FIXME: This makes assumptions about which ciphersuites come with
1942      * public keys. We should have a less ad-hoc way of doing this
1943      */
1944     if (s->s3->tmp.new_cipher->algorithm_auth & (SSL_aRSA | SSL_aDSS))
1945         *pkey = X509_get0_pubkey(s->session->peer);
1946     /* else anonymous DH, so no certificate or pkey. */
1947
1948     return 1;
1949
1950  err:
1951     BN_free(p);
1952     BN_free(g);
1953     BN_free(bnpub_key);
1954     DH_free(dh);
1955     EVP_PKEY_free(peer_tmp);
1956
1957     return 0;
1958 #else
1959     SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_INTERNAL_ERROR);
1960     *al = SSL_AD_INTERNAL_ERROR;
1961     return 0;
1962 #endif
1963 }
1964
1965 static int tls_process_ske_ecdhe(SSL *s, PACKET *pkt, EVP_PKEY **pkey, int *al)
1966 {
1967 #ifndef OPENSSL_NO_EC
1968     PACKET encoded_pt;
1969     const unsigned char *ecparams;
1970     int curve_nid;
1971     unsigned int curve_flags;
1972     EVP_PKEY_CTX *pctx = NULL;
1973
1974     /*
1975      * Extract elliptic curve parameters and the server's ephemeral ECDH
1976      * public key. For now we only support named (not generic) curves and
1977      * ECParameters in this case is just three bytes.
1978      */
1979     if (!PACKET_get_bytes(pkt, &ecparams, 3)) {
1980         *al = SSL_AD_DECODE_ERROR;
1981         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, SSL_R_LENGTH_TOO_SHORT);
1982         return 0;
1983     }
1984     /*
1985      * Check curve is one of our preferences, if not server has sent an
1986      * invalid curve. ECParameters is 3 bytes.
1987      */
1988     if (!tls1_check_curve(s, ecparams, 3)) {
1989         *al = SSL_AD_DECODE_ERROR;
1990         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, SSL_R_WRONG_CURVE);
1991         return 0;
1992     }
1993
1994     curve_nid = tls1_ec_curve_id2nid(*(ecparams + 2), &curve_flags);
1995
1996     if (curve_nid == 0) {
1997         *al = SSL_AD_INTERNAL_ERROR;
1998         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE,
1999                SSL_R_UNABLE_TO_FIND_ECDH_PARAMETERS);
2000         return 0;
2001     }
2002
2003     if ((curve_flags & TLS_CURVE_TYPE) == TLS_CURVE_CUSTOM) {
2004         EVP_PKEY *key = EVP_PKEY_new();
2005
2006         if (key == NULL || !EVP_PKEY_set_type(key, curve_nid)) {
2007             *al = SSL_AD_INTERNAL_ERROR;
2008             SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, ERR_R_EVP_LIB);
2009             EVP_PKEY_free(key);
2010             return 0;
2011         }
2012         s->s3->peer_tmp = key;
2013     } else {
2014         /* Set up EVP_PKEY with named curve as parameters */
2015         pctx = EVP_PKEY_CTX_new_id(EVP_PKEY_EC, NULL);
2016         if (pctx == NULL
2017             || EVP_PKEY_paramgen_init(pctx) <= 0
2018             || EVP_PKEY_CTX_set_ec_paramgen_curve_nid(pctx, curve_nid) <= 0
2019             || EVP_PKEY_paramgen(pctx, &s->s3->peer_tmp) <= 0) {
2020             *al = SSL_AD_INTERNAL_ERROR;
2021             SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, ERR_R_EVP_LIB);
2022             EVP_PKEY_CTX_free(pctx);
2023             return 0;
2024         }
2025         EVP_PKEY_CTX_free(pctx);
2026         pctx = NULL;
2027     }
2028
2029     if (!PACKET_get_length_prefixed_1(pkt, &encoded_pt)) {
2030         *al = SSL_AD_DECODE_ERROR;
2031         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, SSL_R_LENGTH_MISMATCH);
2032         return 0;
2033     }
2034
2035     if (!EVP_PKEY_set1_tls_encodedpoint(s->s3->peer_tmp,
2036                                         PACKET_data(&encoded_pt),
2037                                         PACKET_remaining(&encoded_pt))) {
2038         *al = SSL_AD_DECODE_ERROR;
2039         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, SSL_R_BAD_ECPOINT);
2040         return 0;
2041     }
2042
2043     /*
2044      * The ECC/TLS specification does not mention the use of DSA to sign
2045      * ECParameters in the server key exchange message. We do support RSA
2046      * and ECDSA.
2047      */
2048     if (s->s3->tmp.new_cipher->algorithm_auth & SSL_aECDSA)
2049         *pkey = X509_get0_pubkey(s->session->peer);
2050     else if (s->s3->tmp.new_cipher->algorithm_auth & SSL_aRSA)
2051         *pkey = X509_get0_pubkey(s->session->peer);
2052     /* else anonymous ECDH, so no certificate or pkey. */
2053
2054     return 1;
2055 #else
2056     SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, ERR_R_INTERNAL_ERROR);
2057     *al = SSL_AD_INTERNAL_ERROR;
2058     return 0;
2059 #endif
2060 }
2061
2062 MSG_PROCESS_RETURN tls_process_key_exchange(SSL *s, PACKET *pkt)
2063 {
2064     int al = -1;
2065     long alg_k;
2066     EVP_PKEY *pkey = NULL;
2067     EVP_MD_CTX *md_ctx = NULL;
2068     EVP_PKEY_CTX *pctx = NULL;
2069     PACKET save_param_start, signature;
2070
2071     alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
2072
2073     save_param_start = *pkt;
2074
2075 #if !defined(OPENSSL_NO_EC) || !defined(OPENSSL_NO_DH)
2076     EVP_PKEY_free(s->s3->peer_tmp);
2077     s->s3->peer_tmp = NULL;
2078 #endif
2079
2080     if (alg_k & SSL_PSK) {
2081         if (!tls_process_ske_psk_preamble(s, pkt, &al))
2082             goto err;
2083     }
2084
2085     /* Nothing else to do for plain PSK or RSAPSK */
2086     if (alg_k & (SSL_kPSK | SSL_kRSAPSK)) {
2087     } else if (alg_k & SSL_kSRP) {
2088         if (!tls_process_ske_srp(s, pkt, &pkey, &al))
2089             goto err;
2090     } else if (alg_k & (SSL_kDHE | SSL_kDHEPSK)) {
2091         if (!tls_process_ske_dhe(s, pkt, &pkey, &al))
2092             goto err;
2093     } else if (alg_k & (SSL_kECDHE | SSL_kECDHEPSK)) {
2094         if (!tls_process_ske_ecdhe(s, pkt, &pkey, &al))
2095             goto err;
2096     } else if (alg_k) {
2097         al = SSL_AD_UNEXPECTED_MESSAGE;
2098         SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_UNEXPECTED_MESSAGE);
2099         goto err;
2100     }
2101
2102     /* if it was signed, check the signature */
2103     if (pkey != NULL) {
2104         PACKET params;
2105         int maxsig;
2106         const EVP_MD *md = NULL;
2107
2108         /*
2109          * |pkt| now points to the beginning of the signature, so the difference
2110          * equals the length of the parameters.
2111          */
2112         if (!PACKET_get_sub_packet(&save_param_start, &params,
2113                                    PACKET_remaining(&save_param_start) -
2114                                    PACKET_remaining(pkt))) {
2115             al = SSL_AD_INTERNAL_ERROR;
2116             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
2117             goto err;
2118         }
2119
2120         if (SSL_USE_SIGALGS(s)) {
2121             unsigned int sigalg;
2122             int rv;
2123
2124             if (!PACKET_get_net_2(pkt, &sigalg)) {
2125                 al = SSL_AD_DECODE_ERROR;
2126                 SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_LENGTH_TOO_SHORT);
2127                 goto err;
2128             }
2129             rv = tls12_check_peer_sigalg(s, sigalg, pkey);
2130             if (rv == -1) {
2131                 al = SSL_AD_INTERNAL_ERROR;
2132                 goto err;
2133             } else if (rv == 0) {
2134                 al = SSL_AD_DECODE_ERROR;
2135                 goto err;
2136             }
2137 #ifdef SSL_DEBUG
2138             fprintf(stderr, "USING TLSv1.2 HASH %s\n", EVP_MD_name(md));
2139 #endif
2140         } else if (!tls1_set_peer_legacy_sigalg(s, pkey)) {
2141             al = SSL_AD_INTERNAL_ERROR;
2142             goto err;
2143         }
2144
2145         md = ssl_md(s->s3->tmp.peer_sigalg->hash_idx);
2146
2147         if (!PACKET_get_length_prefixed_2(pkt, &signature)
2148             || PACKET_remaining(pkt) != 0) {
2149             al = SSL_AD_DECODE_ERROR;
2150             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_LENGTH_MISMATCH);
2151             goto err;
2152         }
2153         maxsig = EVP_PKEY_size(pkey);
2154         if (maxsig < 0) {
2155             al = SSL_AD_INTERNAL_ERROR;
2156             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
2157             goto err;
2158         }
2159
2160         /*
2161          * Check signature length
2162          */
2163         if (PACKET_remaining(&signature) > (size_t)maxsig) {
2164             /* wrong packet length */
2165             al = SSL_AD_DECODE_ERROR;
2166             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE,
2167                    SSL_R_WRONG_SIGNATURE_LENGTH);
2168             goto err;
2169         }
2170
2171         md_ctx = EVP_MD_CTX_new();
2172         if (md_ctx == NULL) {
2173             al = SSL_AD_INTERNAL_ERROR;
2174             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_MALLOC_FAILURE);
2175             goto err;
2176         }
2177
2178         if (EVP_DigestVerifyInit(md_ctx, &pctx, md, NULL, pkey) <= 0) {
2179             al = SSL_AD_INTERNAL_ERROR;
2180             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_EVP_LIB);
2181             goto err;
2182         }
2183         if (SSL_USE_PSS(s)) {
2184             if (EVP_PKEY_CTX_set_rsa_padding(pctx, RSA_PKCS1_PSS_PADDING) <= 0
2185                 || EVP_PKEY_CTX_set_rsa_pss_saltlen(pctx,
2186                                                 RSA_PSS_SALTLEN_DIGEST) <= 0) {
2187                 al = SSL_AD_INTERNAL_ERROR;
2188                 SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_EVP_LIB);
2189                 goto err;
2190             }
2191         }
2192         if (EVP_DigestVerifyUpdate(md_ctx, &(s->s3->client_random[0]),
2193                                    SSL3_RANDOM_SIZE) <= 0
2194                 || EVP_DigestVerifyUpdate(md_ctx, &(s->s3->server_random[0]),
2195                                           SSL3_RANDOM_SIZE) <= 0
2196                 || EVP_DigestVerifyUpdate(md_ctx, PACKET_data(&params),
2197                                           PACKET_remaining(&params)) <= 0) {
2198             al = SSL_AD_INTERNAL_ERROR;
2199             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_EVP_LIB);
2200             goto err;
2201         }
2202         if (EVP_DigestVerifyFinal(md_ctx, PACKET_data(&signature),
2203                                   PACKET_remaining(&signature)) <= 0) {
2204             /* bad signature */
2205             al = SSL_AD_DECRYPT_ERROR;
2206             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_BAD_SIGNATURE);
2207             goto err;
2208         }
2209         EVP_MD_CTX_free(md_ctx);
2210         md_ctx = NULL;
2211     } else {
2212         /* aNULL, aSRP or PSK do not need public keys */
2213         if (!(s->s3->tmp.new_cipher->algorithm_auth & (SSL_aNULL | SSL_aSRP))
2214             && !(alg_k & SSL_PSK)) {
2215             /* Might be wrong key type, check it */
2216             if (ssl3_check_cert_and_algorithm(s)) {
2217                 /* Otherwise this shouldn't happen */
2218                 al = SSL_AD_INTERNAL_ERROR;
2219                 SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
2220             } else {
2221                 al = SSL_AD_DECODE_ERROR;
2222             }
2223             goto err;
2224         }
2225         /* still data left over */
2226         if (PACKET_remaining(pkt) != 0) {
2227             al = SSL_AD_DECODE_ERROR;
2228             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_EXTRA_DATA_IN_MESSAGE);
2229             goto err;
2230         }
2231     }
2232
2233     return MSG_PROCESS_CONTINUE_READING;
2234  err:
2235     if (al != -1)
2236         ssl3_send_alert(s, SSL3_AL_FATAL, al);
2237     ossl_statem_set_error(s);
2238     EVP_MD_CTX_free(md_ctx);
2239     return MSG_PROCESS_ERROR;
2240 }
2241
2242 MSG_PROCESS_RETURN tls_process_certificate_request(SSL *s, PACKET *pkt)
2243 {
2244     int ret = MSG_PROCESS_ERROR;
2245     unsigned int i, name_len;
2246     X509_NAME *xn = NULL;
2247     const unsigned char *namestart, *namebytes;
2248     STACK_OF(X509_NAME) *ca_sk = NULL;
2249     PACKET cadns;
2250
2251     if ((ca_sk = sk_X509_NAME_new(ca_dn_cmp)) == NULL) {
2252         SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, ERR_R_MALLOC_FAILURE);
2253         goto err;
2254     }
2255
2256     if (SSL_IS_TLS13(s)) {
2257         PACKET reqctx;
2258
2259         /* Free and zero certificate types: it is not present in TLS 1.3 */
2260         OPENSSL_free(s->s3->tmp.ctype);
2261         s->s3->tmp.ctype = NULL;
2262         s->s3->tmp.ctype_len = 0;
2263         /* TODO(TLS1.3) need to process request context, for now ignore */
2264         if (!PACKET_get_length_prefixed_1(pkt, &reqctx)) {
2265             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2266                    SSL_R_LENGTH_MISMATCH);
2267             goto err;
2268         }
2269     } else {
2270         PACKET ctypes;
2271
2272         /* get the certificate types */
2273         if (!PACKET_get_length_prefixed_1(pkt, &ctypes)) {
2274             ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2275             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2276                    SSL_R_LENGTH_MISMATCH);
2277             goto err;
2278         }
2279
2280         if (!PACKET_memdup(&ctypes, &s->s3->tmp.ctype, &s->s3->tmp.ctype_len)) {
2281             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, ERR_R_INTERNAL_ERROR);
2282             goto err;
2283         }
2284     }
2285
2286     if (SSL_USE_SIGALGS(s)) {
2287         PACKET sigalgs;
2288
2289         if (!PACKET_get_length_prefixed_2(pkt, &sigalgs)) {
2290             ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2291             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2292                    SSL_R_LENGTH_MISMATCH);
2293             goto err;
2294         }
2295
2296         /* Clear certificate validity flags */
2297         for (i = 0; i < SSL_PKEY_NUM; i++)
2298             s->s3->tmp.valid_flags[i] = 0;
2299         if (!tls1_save_sigalgs(s, &sigalgs)) {
2300             ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2301             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2302                    SSL_R_SIGNATURE_ALGORITHMS_ERROR);
2303             goto err;
2304         }
2305         if (!tls1_process_sigalgs(s)) {
2306             ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
2307             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, ERR_R_MALLOC_FAILURE);
2308             goto err;
2309         }
2310     }
2311
2312     /* get the CA RDNs */
2313     if (!PACKET_get_length_prefixed_2(pkt, &cadns)) {
2314         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2315         SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, SSL_R_LENGTH_MISMATCH);
2316         goto err;
2317     }
2318
2319     while (PACKET_remaining(&cadns)) {
2320         if (!PACKET_get_net_2(&cadns, &name_len)
2321             || !PACKET_get_bytes(&cadns, &namebytes, name_len)) {
2322             ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2323             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2324                    SSL_R_LENGTH_MISMATCH);
2325             goto err;
2326         }
2327
2328         namestart = namebytes;
2329
2330         if ((xn = d2i_X509_NAME(NULL, (const unsigned char **)&namebytes,
2331                                 name_len)) == NULL) {
2332             ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2333             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, ERR_R_ASN1_LIB);
2334             goto err;
2335         }
2336
2337         if (namebytes != (namestart + name_len)) {
2338             ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2339             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2340                    SSL_R_CA_DN_LENGTH_MISMATCH);
2341             goto err;
2342         }
2343         if (!sk_X509_NAME_push(ca_sk, xn)) {
2344             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, ERR_R_MALLOC_FAILURE);
2345             goto err;
2346         }
2347         xn = NULL;
2348     }
2349     /* TODO(TLS1.3) need to parse and process extensions, for now ignore */
2350     if (SSL_IS_TLS13(s)) {
2351         PACKET reqexts;
2352
2353         if (!PACKET_get_length_prefixed_2(pkt, &reqexts)) {
2354             ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2355             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2356                    SSL_R_EXT_LENGTH_MISMATCH);
2357             goto err;
2358         }
2359     }
2360
2361     if (PACKET_remaining(pkt) != 0) {
2362         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2363         SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, SSL_R_LENGTH_MISMATCH);
2364         goto err;
2365     }
2366
2367     /* we should setup a certificate to return.... */
2368     s->s3->tmp.cert_req = 1;
2369     sk_X509_NAME_pop_free(s->s3->tmp.ca_names, X509_NAME_free);
2370     s->s3->tmp.ca_names = ca_sk;
2371     ca_sk = NULL;
2372
2373     ret = MSG_PROCESS_CONTINUE_PROCESSING;
2374     goto done;
2375  err:
2376     ossl_statem_set_error(s);
2377  done:
2378     X509_NAME_free(xn);
2379     sk_X509_NAME_pop_free(ca_sk, X509_NAME_free);
2380     return ret;
2381 }
2382
2383 static int ca_dn_cmp(const X509_NAME *const *a, const X509_NAME *const *b)
2384 {
2385     return (X509_NAME_cmp(*a, *b));
2386 }
2387
2388 MSG_PROCESS_RETURN tls_process_new_session_ticket(SSL *s, PACKET *pkt)
2389 {
2390     int al = SSL_AD_DECODE_ERROR;
2391     unsigned int ticklen;
2392     unsigned long ticket_lifetime_hint, age_add = 0;
2393     unsigned int sess_len;
2394     RAW_EXTENSION *exts = NULL;
2395
2396     if (!PACKET_get_net_4(pkt, &ticket_lifetime_hint)
2397         || (SSL_IS_TLS13(s) && !PACKET_get_net_4(pkt, &age_add))
2398         || !PACKET_get_net_2(pkt, &ticklen)
2399         || (!SSL_IS_TLS13(s) && PACKET_remaining(pkt) != ticklen)
2400         || (SSL_IS_TLS13(s)
2401             && (ticklen == 0 || PACKET_remaining(pkt) < ticklen))) {
2402         SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, SSL_R_LENGTH_MISMATCH);
2403         goto f_err;
2404     }
2405
2406     /*
2407      * Server is allowed to change its mind (in <=TLSv1.2) and send an empty
2408      * ticket. We already checked this TLSv1.3 case above, so it should never
2409      * be 0 here in that instance
2410      */
2411     if (ticklen == 0)
2412         return MSG_PROCESS_CONTINUE_READING;
2413
2414     /* TODO(TLS1.3): Is this a suitable test for TLS1.3? */
2415     if (s->session->session_id_length > 0) {
2416         int i = s->session_ctx->session_cache_mode;
2417         SSL_SESSION *new_sess;
2418         /*
2419          * We reused an existing session, so we need to replace it with a new
2420          * one
2421          */
2422         if (i & SSL_SESS_CACHE_CLIENT) {
2423             /*
2424              * Remove the old session from the cache. We carry on if this fails
2425              */
2426             SSL_CTX_remove_session(s->session_ctx, s->session);
2427         }
2428
2429         if ((new_sess = ssl_session_dup(s->session, 0)) == 0) {
2430             al = SSL_AD_INTERNAL_ERROR;
2431             SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, ERR_R_MALLOC_FAILURE);
2432             goto f_err;
2433         }
2434
2435         SSL_SESSION_free(s->session);
2436         s->session = new_sess;
2437     }
2438
2439     /*
2440      * Technically the cast to long here is not guaranteed by the C standard -
2441      * but we use it elsewhere, so this should be ok.
2442      */
2443     s->session->time = (long)time(NULL);
2444
2445     OPENSSL_free(s->session->ext.tick);
2446     s->session->ext.tick = NULL;
2447     s->session->ext.ticklen = 0;
2448
2449     s->session->ext.tick = OPENSSL_malloc(ticklen);
2450     if (s->session->ext.tick == NULL) {
2451         SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, ERR_R_MALLOC_FAILURE);
2452         goto err;
2453     }
2454     if (!PACKET_copy_bytes(pkt, s->session->ext.tick, ticklen)) {
2455         al = SSL_AD_DECODE_ERROR;
2456         SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, SSL_R_LENGTH_MISMATCH);
2457         goto f_err;
2458     }
2459
2460     s->session->ext.tick_lifetime_hint = ticket_lifetime_hint;
2461     s->session->ext.tick_age_add = age_add;
2462     s->session->ext.ticklen = ticklen;
2463
2464     if (SSL_IS_TLS13(s)) {
2465         PACKET extpkt;
2466
2467         if (!PACKET_as_length_prefixed_2(pkt, &extpkt)
2468                 || !tls_collect_extensions(s, &extpkt,
2469                                            EXT_TLS1_3_NEW_SESSION_TICKET,
2470                                            &exts, &al, NULL)
2471                 || !tls_parse_all_extensions(s, EXT_TLS1_3_NEW_SESSION_TICKET,
2472                                              exts, NULL, 0, &al)) {
2473             SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, SSL_R_BAD_EXTENSION);
2474             goto f_err;
2475         }
2476     }
2477
2478     /*
2479      * There are two ways to detect a resumed ticket session. One is to set
2480      * an appropriate session ID and then the server must return a match in
2481      * ServerHello. This allows the normal client session ID matching to work
2482      * and we know much earlier that the ticket has been accepted. The
2483      * other way is to set zero length session ID when the ticket is
2484      * presented and rely on the handshake to determine session resumption.
2485      * We choose the former approach because this fits in with assumptions
2486      * elsewhere in OpenSSL. The session ID is set to the SHA256 (or SHA1 is
2487      * SHA256 is disabled) hash of the ticket.
2488      */
2489     /*
2490      * TODO(size_t): we use sess_len here because EVP_Digest expects an int
2491      * but s->session->session_id_length is a size_t
2492      */
2493     if (!EVP_Digest(s->session->ext.tick, ticklen,
2494                     s->session->session_id, &sess_len,
2495                     EVP_sha256(), NULL)) {
2496         SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, ERR_R_EVP_LIB);
2497         goto err;
2498     }
2499     s->session->session_id_length = sess_len;
2500
2501     /* This is a standalone message in TLSv1.3, so there is no more to read */
2502     if (SSL_IS_TLS13(s)) {
2503         OPENSSL_free(exts);
2504         ssl_update_cache(s, SSL_SESS_CACHE_CLIENT);
2505         return MSG_PROCESS_FINISHED_READING;
2506     }
2507
2508     return MSG_PROCESS_CONTINUE_READING;
2509  f_err:
2510     ssl3_send_alert(s, SSL3_AL_FATAL, al);
2511  err:
2512     ossl_statem_set_error(s);
2513     OPENSSL_free(exts);
2514     return MSG_PROCESS_ERROR;
2515 }
2516
2517 /*
2518  * In TLSv1.3 this is called from the extensions code, otherwise it is used to
2519  * parse a separate message. Returns 1 on success or 0 on failure. On failure
2520  * |*al| is populated with a suitable alert code.
2521  */
2522 int tls_process_cert_status_body(SSL *s, PACKET *pkt, int *al)
2523 {
2524     size_t resplen;
2525     unsigned int type;
2526
2527     if (!PACKET_get_1(pkt, &type)
2528         || type != TLSEXT_STATUSTYPE_ocsp) {
2529         *al = SSL_AD_DECODE_ERROR;
2530         SSLerr(SSL_F_TLS_PROCESS_CERT_STATUS_BODY,
2531                SSL_R_UNSUPPORTED_STATUS_TYPE);
2532         return 0;
2533     }
2534     if (!PACKET_get_net_3_len(pkt, &resplen)
2535         || PACKET_remaining(pkt) != resplen) {
2536         *al = SSL_AD_DECODE_ERROR;
2537         SSLerr(SSL_F_TLS_PROCESS_CERT_STATUS_BODY, SSL_R_LENGTH_MISMATCH);
2538         return 0;
2539     }
2540     s->ext.ocsp.resp = OPENSSL_malloc(resplen);
2541     if (s->ext.ocsp.resp == NULL) {
2542         *al = SSL_AD_INTERNAL_ERROR;
2543         SSLerr(SSL_F_TLS_PROCESS_CERT_STATUS_BODY, ERR_R_MALLOC_FAILURE);
2544         return 0;
2545     }
2546     if (!PACKET_copy_bytes(pkt, s->ext.ocsp.resp, resplen)) {
2547         *al = SSL_AD_DECODE_ERROR;
2548         SSLerr(SSL_F_TLS_PROCESS_CERT_STATUS_BODY, SSL_R_LENGTH_MISMATCH);
2549         return 0;
2550     }
2551     s->ext.ocsp.resp_len = resplen;
2552
2553     return 1;
2554 }
2555
2556
2557 MSG_PROCESS_RETURN tls_process_cert_status(SSL *s, PACKET *pkt)
2558 {
2559     int al;
2560
2561     if (!tls_process_cert_status_body(s, pkt, &al)) {
2562         ssl3_send_alert(s, SSL3_AL_FATAL, al);
2563         ossl_statem_set_error(s);
2564         return MSG_PROCESS_ERROR;
2565     }
2566
2567     return MSG_PROCESS_CONTINUE_READING;
2568 }
2569
2570 /*
2571  * Perform miscellaneous checks and processing after we have received the
2572  * server's initial flight. In TLS1.3 this is after the Server Finished message.
2573  * In <=TLS1.2 this is after the ServerDone message. Returns 1 on success or 0
2574  * on failure.
2575  */
2576 int tls_process_initial_server_flight(SSL *s, int *al)
2577 {
2578     /*
2579      * at this point we check that we have the required stuff from
2580      * the server
2581      */
2582     if (!ssl3_check_cert_and_algorithm(s)) {
2583         *al = SSL_AD_HANDSHAKE_FAILURE;
2584         return 0;
2585     }
2586
2587     /*
2588      * Call the ocsp status callback if needed. The |ext.ocsp.resp| and
2589      * |ext.ocsp.resp_len| values will be set if we actually received a status
2590      * message, or NULL and -1 otherwise
2591      */
2592     if (s->ext.status_type != TLSEXT_STATUSTYPE_nothing
2593             && s->ctx->ext.status_cb != NULL) {
2594         int ret = s->ctx->ext.status_cb(s, s->ctx->ext.status_arg);
2595
2596         if (ret == 0) {
2597             *al = SSL_AD_BAD_CERTIFICATE_STATUS_RESPONSE;
2598             SSLerr(SSL_F_TLS_PROCESS_INITIAL_SERVER_FLIGHT,
2599                    SSL_R_INVALID_STATUS_RESPONSE);
2600             return 0;
2601         }
2602         if (ret < 0) {
2603             *al = SSL_AD_INTERNAL_ERROR;
2604             SSLerr(SSL_F_TLS_PROCESS_INITIAL_SERVER_FLIGHT,
2605                    ERR_R_MALLOC_FAILURE);
2606             return 0;
2607         }
2608     }
2609 #ifndef OPENSSL_NO_CT
2610     if (s->ct_validation_callback != NULL) {
2611         /* Note we validate the SCTs whether or not we abort on error */
2612         if (!ssl_validate_ct(s) && (s->verify_mode & SSL_VERIFY_PEER)) {
2613             *al = SSL_AD_HANDSHAKE_FAILURE;
2614             return 0;
2615         }
2616     }
2617 #endif
2618
2619     return 1;
2620 }
2621
2622 MSG_PROCESS_RETURN tls_process_server_done(SSL *s, PACKET *pkt)
2623 {
2624     int al = SSL_AD_INTERNAL_ERROR;
2625
2626     if (PACKET_remaining(pkt) > 0) {
2627         /* should contain no data */
2628         al = SSL_AD_DECODE_ERROR;
2629         SSLerr(SSL_F_TLS_PROCESS_SERVER_DONE, SSL_R_LENGTH_MISMATCH);
2630         goto err;
2631     }
2632 #ifndef OPENSSL_NO_SRP
2633     if (s->s3->tmp.new_cipher->algorithm_mkey & SSL_kSRP) {
2634         if (SRP_Calc_A_param(s) <= 0) {
2635             SSLerr(SSL_F_TLS_PROCESS_SERVER_DONE, SSL_R_SRP_A_CALC);
2636             goto err;
2637         }
2638     }
2639 #endif
2640
2641     /*
2642      * Error queue messages are generated directly by this function
2643      */
2644     if (!tls_process_initial_server_flight(s, &al))
2645         goto err;
2646
2647 #ifndef OPENSSL_NO_SCTP
2648     /* Only applies to renegotiation */
2649     if (SSL_IS_DTLS(s) && BIO_dgram_is_sctp(SSL_get_wbio(s))
2650         && s->renegotiate != 0)
2651         return MSG_PROCESS_CONTINUE_PROCESSING;
2652     else
2653 #endif
2654         return MSG_PROCESS_FINISHED_READING;
2655
2656  err:
2657     ssl3_send_alert(s, SSL3_AL_FATAL, al);
2658     ossl_statem_set_error(s);
2659     return MSG_PROCESS_ERROR;
2660 }
2661
2662 static int tls_construct_cke_psk_preamble(SSL *s, WPACKET *pkt, int *al)
2663 {
2664 #ifndef OPENSSL_NO_PSK
2665     int ret = 0;
2666     /*
2667      * The callback needs PSK_MAX_IDENTITY_LEN + 1 bytes to return a
2668      * \0-terminated identity. The last byte is for us for simulating
2669      * strnlen.
2670      */
2671     char identity[PSK_MAX_IDENTITY_LEN + 1];
2672     size_t identitylen = 0;
2673     unsigned char psk[PSK_MAX_PSK_LEN];
2674     unsigned char *tmppsk = NULL;
2675     char *tmpidentity = NULL;
2676     size_t psklen = 0;
2677
2678     if (s->psk_client_callback == NULL) {
2679         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, SSL_R_PSK_NO_CLIENT_CB);
2680         *al = SSL_AD_INTERNAL_ERROR;
2681         goto err;
2682     }
2683
2684     memset(identity, 0, sizeof(identity));
2685
2686     psklen = s->psk_client_callback(s, s->session->psk_identity_hint,
2687                                     identity, sizeof(identity) - 1,
2688                                     psk, sizeof(psk));
2689
2690     if (psklen > PSK_MAX_PSK_LEN) {
2691         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
2692         *al = SSL_AD_HANDSHAKE_FAILURE;
2693         goto err;
2694     } else if (psklen == 0) {
2695         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE,
2696                SSL_R_PSK_IDENTITY_NOT_FOUND);
2697         *al = SSL_AD_HANDSHAKE_FAILURE;
2698         goto err;
2699     }
2700
2701     identitylen = strlen(identity);
2702     if (identitylen > PSK_MAX_IDENTITY_LEN) {
2703         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
2704         *al = SSL_AD_HANDSHAKE_FAILURE;
2705         goto err;
2706     }
2707
2708     tmppsk = OPENSSL_memdup(psk, psklen);
2709     tmpidentity = OPENSSL_strdup(identity);
2710     if (tmppsk == NULL || tmpidentity == NULL) {
2711         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_MALLOC_FAILURE);
2712         *al = SSL_AD_INTERNAL_ERROR;
2713         goto err;
2714     }
2715
2716     OPENSSL_free(s->s3->tmp.psk);
2717     s->s3->tmp.psk = tmppsk;
2718     s->s3->tmp.psklen = psklen;
2719     tmppsk = NULL;
2720     OPENSSL_free(s->session->psk_identity);
2721     s->session->psk_identity = tmpidentity;
2722     tmpidentity = NULL;
2723
2724     if (!WPACKET_sub_memcpy_u16(pkt, identity, identitylen))  {
2725         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
2726         *al = SSL_AD_INTERNAL_ERROR;
2727         goto err;
2728     }
2729
2730     ret = 1;
2731
2732  err:
2733     OPENSSL_cleanse(psk, psklen);
2734     OPENSSL_cleanse(identity, sizeof(identity));
2735     OPENSSL_clear_free(tmppsk, psklen);
2736     OPENSSL_clear_free(tmpidentity, identitylen);
2737
2738     return ret;
2739 #else
2740     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
2741     *al = SSL_AD_INTERNAL_ERROR;
2742     return 0;
2743 #endif
2744 }
2745
2746 static int tls_construct_cke_rsa(SSL *s, WPACKET *pkt, int *al)
2747 {
2748 #ifndef OPENSSL_NO_RSA
2749     unsigned char *encdata = NULL;
2750     EVP_PKEY *pkey = NULL;
2751     EVP_PKEY_CTX *pctx = NULL;
2752     size_t enclen;
2753     unsigned char *pms = NULL;
2754     size_t pmslen = 0;
2755
2756     if (s->session->peer == NULL) {
2757         /*
2758          * We should always have a server certificate with SSL_kRSA.
2759          */
2760         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2761         return 0;
2762     }
2763
2764     pkey = X509_get0_pubkey(s->session->peer);
2765     if (EVP_PKEY_get0_RSA(pkey) == NULL) {
2766         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2767         return 0;
2768     }
2769
2770     pmslen = SSL_MAX_MASTER_KEY_LENGTH;
2771     pms = OPENSSL_malloc(pmslen);
2772     if (pms == NULL) {
2773         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_MALLOC_FAILURE);
2774         *al = SSL_AD_INTERNAL_ERROR;
2775         return 0;
2776     }
2777
2778     pms[0] = s->client_version >> 8;
2779     pms[1] = s->client_version & 0xff;
2780     /* TODO(size_t): Convert this function */
2781     if (RAND_bytes(pms + 2, (int)(pmslen - 2)) <= 0) {
2782         goto err;
2783     }
2784
2785     /* Fix buf for TLS and beyond */
2786     if (s->version > SSL3_VERSION && !WPACKET_start_sub_packet_u16(pkt)) {
2787         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2788         goto err;
2789     }
2790     pctx = EVP_PKEY_CTX_new(pkey, NULL);
2791     if (pctx == NULL || EVP_PKEY_encrypt_init(pctx) <= 0
2792         || EVP_PKEY_encrypt(pctx, NULL, &enclen, pms, pmslen) <= 0) {
2793         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_EVP_LIB);
2794         goto err;
2795     }
2796     if (!WPACKET_allocate_bytes(pkt, enclen, &encdata)
2797             || EVP_PKEY_encrypt(pctx, encdata, &enclen, pms, pmslen) <= 0) {
2798         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, SSL_R_BAD_RSA_ENCRYPT);
2799         goto err;
2800     }
2801     EVP_PKEY_CTX_free(pctx);
2802     pctx = NULL;
2803
2804     /* Fix buf for TLS and beyond */
2805     if (s->version > SSL3_VERSION && !WPACKET_close(pkt)) {
2806         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2807         goto err;
2808     }
2809
2810     s->s3->tmp.pms = pms;
2811     s->s3->tmp.pmslen = pmslen;
2812
2813     /* Log the premaster secret, if logging is enabled. */
2814     if (!ssl_log_rsa_client_key_exchange(s, encdata, enclen, pms, pmslen))
2815         goto err;
2816
2817     return 1;
2818  err:
2819     OPENSSL_clear_free(pms, pmslen);
2820     EVP_PKEY_CTX_free(pctx);
2821
2822     return 0;
2823 #else
2824     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2825     *al = SSL_AD_INTERNAL_ERROR;
2826     return 0;
2827 #endif
2828 }
2829
2830 static int tls_construct_cke_dhe(SSL *s, WPACKET *pkt, int *al)
2831 {
2832 #ifndef OPENSSL_NO_DH
2833     DH *dh_clnt = NULL;
2834     const BIGNUM *pub_key;
2835     EVP_PKEY *ckey = NULL, *skey = NULL;
2836     unsigned char *keybytes = NULL;
2837
2838     skey = s->s3->peer_tmp;
2839     if (skey == NULL)
2840         goto err;
2841
2842     ckey = ssl_generate_pkey(skey);
2843     if (ckey == NULL)
2844         goto err;
2845
2846     dh_clnt = EVP_PKEY_get0_DH(ckey);
2847
2848     if (dh_clnt == NULL || ssl_derive(s, ckey, skey, 0) == 0)
2849         goto err;
2850
2851     /* send off the data */
2852     DH_get0_key(dh_clnt, &pub_key, NULL);
2853     if (!WPACKET_sub_allocate_bytes_u16(pkt, BN_num_bytes(pub_key), &keybytes))
2854         goto err;
2855
2856     BN_bn2bin(pub_key, keybytes);
2857     EVP_PKEY_free(ckey);
2858
2859     return 1;
2860  err:
2861     EVP_PKEY_free(ckey);
2862 #endif
2863     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_DHE, ERR_R_INTERNAL_ERROR);
2864     *al = SSL_AD_INTERNAL_ERROR;
2865     return 0;
2866 }
2867
2868 static int tls_construct_cke_ecdhe(SSL *s, WPACKET *pkt, int *al)
2869 {
2870 #ifndef OPENSSL_NO_EC
2871     unsigned char *encodedPoint = NULL;
2872     size_t encoded_pt_len = 0;
2873     EVP_PKEY *ckey = NULL, *skey = NULL;
2874     int ret = 0;
2875
2876     skey = s->s3->peer_tmp;
2877     if (skey == NULL) {
2878         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_INTERNAL_ERROR);
2879         return 0;
2880     }
2881
2882     ckey = ssl_generate_pkey(skey);
2883     if (ckey == NULL) {
2884         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_MALLOC_FAILURE);
2885         goto err;
2886     }
2887
2888     if (ssl_derive(s, ckey, skey, 0) == 0) {
2889         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_EVP_LIB);
2890         goto err;
2891     }
2892
2893     /* Generate encoding of client key */
2894     encoded_pt_len = EVP_PKEY_get1_tls_encodedpoint(ckey, &encodedPoint);
2895
2896     if (encoded_pt_len == 0) {
2897         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_EC_LIB);
2898         goto err;
2899     }
2900
2901     if (!WPACKET_sub_memcpy_u8(pkt, encodedPoint, encoded_pt_len)) {
2902         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_INTERNAL_ERROR);
2903         goto err;
2904     }
2905
2906     ret = 1;
2907  err:
2908     OPENSSL_free(encodedPoint);
2909     EVP_PKEY_free(ckey);
2910     return ret;
2911 #else
2912     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_INTERNAL_ERROR);
2913     *al = SSL_AD_INTERNAL_ERROR;
2914     return 0;
2915 #endif
2916 }
2917
2918 static int tls_construct_cke_gost(SSL *s, WPACKET *pkt, int *al)
2919 {
2920 #ifndef OPENSSL_NO_GOST
2921     /* GOST key exchange message creation */
2922     EVP_PKEY_CTX *pkey_ctx = NULL;
2923     X509 *peer_cert;
2924     size_t msglen;
2925     unsigned int md_len;
2926     unsigned char shared_ukm[32], tmp[256];
2927     EVP_MD_CTX *ukm_hash = NULL;
2928     int dgst_nid = NID_id_GostR3411_94;
2929     unsigned char *pms = NULL;
2930     size_t pmslen = 0;
2931
2932     if ((s->s3->tmp.new_cipher->algorithm_auth & SSL_aGOST12) != 0)
2933         dgst_nid = NID_id_GostR3411_2012_256;
2934
2935     /*
2936      * Get server sertificate PKEY and create ctx from it
2937      */
2938     peer_cert = s->session->peer;
2939     if (!peer_cert) {
2940         *al = SSL_AD_HANDSHAKE_FAILURE;
2941         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST,
2942                SSL_R_NO_GOST_CERTIFICATE_SENT_BY_PEER);
2943         return 0;
2944     }
2945
2946     pkey_ctx = EVP_PKEY_CTX_new(X509_get0_pubkey(peer_cert), NULL);
2947     if (pkey_ctx == NULL) {
2948         *al = SSL_AD_INTERNAL_ERROR;
2949         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_MALLOC_FAILURE);
2950         return 0;
2951     }
2952     /*
2953      * If we have send a certificate, and certificate key
2954      * parameters match those of server certificate, use
2955      * certificate key for key exchange
2956      */
2957
2958     /* Otherwise, generate ephemeral key pair */
2959     pmslen = 32;
2960     pms = OPENSSL_malloc(pmslen);
2961     if (pms == NULL) {
2962         *al = SSL_AD_INTERNAL_ERROR;
2963         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_MALLOC_FAILURE);
2964         goto err;
2965     }
2966
2967     if (EVP_PKEY_encrypt_init(pkey_ctx) <= 0
2968         /* Generate session key
2969          * TODO(size_t): Convert this function
2970          */
2971         || RAND_bytes(pms, (int)pmslen) <= 0) {
2972         *al = SSL_AD_INTERNAL_ERROR;
2973         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_INTERNAL_ERROR);
2974         goto err;
2975     };
2976     /*
2977      * Compute shared IV and store it in algorithm-specific context
2978      * data
2979      */
2980     ukm_hash = EVP_MD_CTX_new();
2981     if (ukm_hash == NULL
2982         || EVP_DigestInit(ukm_hash, EVP_get_digestbynid(dgst_nid)) <= 0
2983         || EVP_DigestUpdate(ukm_hash, s->s3->client_random,
2984                             SSL3_RANDOM_SIZE) <= 0
2985         || EVP_DigestUpdate(ukm_hash, s->s3->server_random,
2986                             SSL3_RANDOM_SIZE) <= 0
2987         || EVP_DigestFinal_ex(ukm_hash, shared_ukm, &md_len) <= 0) {
2988         *al = SSL_AD_INTERNAL_ERROR;
2989         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_INTERNAL_ERROR);
2990         goto err;
2991     }
2992     EVP_MD_CTX_free(ukm_hash);
2993     ukm_hash = NULL;
2994     if (EVP_PKEY_CTX_ctrl(pkey_ctx, -1, EVP_PKEY_OP_ENCRYPT,
2995                           EVP_PKEY_CTRL_SET_IV, 8, shared_ukm) < 0) {
2996         *al = SSL_AD_INTERNAL_ERROR;
2997         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, SSL_R_LIBRARY_BUG);
2998         goto err;
2999     }
3000     /* Make GOST keytransport blob message */
3001     /*
3002      * Encapsulate it into sequence
3003      */
3004     msglen = 255;
3005     if (EVP_PKEY_encrypt(pkey_ctx, tmp, &msglen, pms, pmslen) <= 0) {
3006         *al = SSL_AD_INTERNAL_ERROR;
3007         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, SSL_R_LIBRARY_BUG);
3008         goto err;
3009     }
3010
3011     if (!WPACKET_put_bytes_u8(pkt, V_ASN1_SEQUENCE | V_ASN1_CONSTRUCTED)
3012             || (msglen >= 0x80 && !WPACKET_put_bytes_u8(pkt, 0x81))
3013             || !WPACKET_sub_memcpy_u8(pkt, tmp, msglen)) {
3014         *al = SSL_AD_INTERNAL_ERROR;
3015         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_INTERNAL_ERROR);
3016         goto err;
3017     }
3018
3019     EVP_PKEY_CTX_free(pkey_ctx);
3020     s->s3->tmp.pms = pms;
3021     s->s3->tmp.pmslen = pmslen;
3022
3023     return 1;
3024  err:
3025     EVP_PKEY_CTX_free(pkey_ctx);
3026     OPENSSL_clear_free(pms, pmslen);
3027     EVP_MD_CTX_free(ukm_hash);
3028     return 0;
3029 #else
3030     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_INTERNAL_ERROR);
3031     *al = SSL_AD_INTERNAL_ERROR;
3032     return 0;
3033 #endif
3034 }
3035
3036 static int tls_construct_cke_srp(SSL *s, WPACKET *pkt, int *al)
3037 {
3038 #ifndef OPENSSL_NO_SRP
3039     unsigned char *abytes = NULL;
3040
3041     if (s->srp_ctx.A == NULL
3042             || !WPACKET_sub_allocate_bytes_u16(pkt, BN_num_bytes(s->srp_ctx.A),
3043                                                &abytes)) {
3044         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_SRP, ERR_R_INTERNAL_ERROR);
3045         return 0;
3046     }
3047     BN_bn2bin(s->srp_ctx.A, abytes);
3048
3049     OPENSSL_free(s->session->srp_username);
3050     s->session->srp_username = OPENSSL_strdup(s->srp_ctx.login);
3051     if (s->session->srp_username == NULL) {
3052         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_SRP, ERR_R_MALLOC_FAILURE);
3053         return 0;
3054     }
3055
3056     return 1;
3057 #else
3058     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_SRP, ERR_R_INTERNAL_ERROR);
3059     *al = SSL_AD_INTERNAL_ERROR;
3060     return 0;
3061 #endif
3062 }
3063
3064 int tls_construct_client_key_exchange(SSL *s, WPACKET *pkt)
3065 {
3066     unsigned long alg_k;
3067     int al = -1;
3068
3069     alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
3070
3071     if ((alg_k & SSL_PSK)
3072         && !tls_construct_cke_psk_preamble(s, pkt, &al))
3073         goto err;
3074
3075     if (alg_k & (SSL_kRSA | SSL_kRSAPSK)) {
3076         if (!tls_construct_cke_rsa(s, pkt, &al))
3077             goto err;
3078     } else if (alg_k & (SSL_kDHE | SSL_kDHEPSK)) {
3079         if (!tls_construct_cke_dhe(s, pkt, &al))
3080             goto err;
3081     } else if (alg_k & (SSL_kECDHE | SSL_kECDHEPSK)) {
3082         if (!tls_construct_cke_ecdhe(s, pkt, &al))
3083             goto err;
3084     } else if (alg_k & SSL_kGOST) {
3085         if (!tls_construct_cke_gost(s, pkt, &al))
3086             goto err;
3087     } else if (alg_k & SSL_kSRP) {
3088         if (!tls_construct_cke_srp(s, pkt, &al))
3089             goto err;
3090     } else if (!(alg_k & SSL_kPSK)) {
3091         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_HANDSHAKE_FAILURE);
3092         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
3093         goto err;
3094     }
3095
3096     return 1;
3097  err:
3098     if (al != -1)
3099         ssl3_send_alert(s, SSL3_AL_FATAL, al);
3100     OPENSSL_clear_free(s->s3->tmp.pms, s->s3->tmp.pmslen);
3101     s->s3->tmp.pms = NULL;
3102 #ifndef OPENSSL_NO_PSK
3103     OPENSSL_clear_free(s->s3->tmp.psk, s->s3->tmp.psklen);
3104     s->s3->tmp.psk = NULL;
3105 #endif
3106     return 0;
3107 }
3108
3109 int tls_client_key_exchange_post_work(SSL *s)
3110 {
3111     unsigned char *pms = NULL;
3112     size_t pmslen = 0;
3113
3114     pms = s->s3->tmp.pms;
3115     pmslen = s->s3->tmp.pmslen;
3116
3117 #ifndef OPENSSL_NO_SRP
3118     /* Check for SRP */
3119     if (s->s3->tmp.new_cipher->algorithm_mkey & SSL_kSRP) {
3120         if (!srp_generate_client_master_secret(s)) {
3121             SSLerr(SSL_F_TLS_CLIENT_KEY_EXCHANGE_POST_WORK,
3122                    ERR_R_INTERNAL_ERROR);
3123             goto err;
3124         }
3125         return 1;
3126     }
3127 #endif
3128
3129     if (pms == NULL && !(s->s3->tmp.new_cipher->algorithm_mkey & SSL_kPSK)) {
3130         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3131         SSLerr(SSL_F_TLS_CLIENT_KEY_EXCHANGE_POST_WORK, ERR_R_MALLOC_FAILURE);
3132         goto err;
3133     }
3134     if (!ssl_generate_master_secret(s, pms, pmslen, 1)) {
3135         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3136         SSLerr(SSL_F_TLS_CLIENT_KEY_EXCHANGE_POST_WORK, ERR_R_INTERNAL_ERROR);
3137         /* ssl_generate_master_secret frees the pms even on error */
3138         pms = NULL;
3139         pmslen = 0;
3140         goto err;
3141     }
3142     pms = NULL;
3143     pmslen = 0;
3144
3145 #ifndef OPENSSL_NO_SCTP
3146     if (SSL_IS_DTLS(s)) {
3147         unsigned char sctpauthkey[64];
3148         char labelbuffer[sizeof(DTLS1_SCTP_AUTH_LABEL)];
3149
3150         /*
3151          * Add new shared key for SCTP-Auth, will be ignored if no SCTP
3152          * used.
3153          */
3154         memcpy(labelbuffer, DTLS1_SCTP_AUTH_LABEL,
3155                sizeof(DTLS1_SCTP_AUTH_LABEL));
3156
3157         if (SSL_export_keying_material(s, sctpauthkey,
3158                                        sizeof(sctpauthkey), labelbuffer,
3159                                        sizeof(labelbuffer), NULL, 0, 0) <= 0)
3160             goto err;
3161
3162         BIO_ctrl(SSL_get_wbio(s), BIO_CTRL_DGRAM_SCTP_ADD_AUTH_KEY,
3163                  sizeof(sctpauthkey), sctpauthkey);
3164     }
3165 #endif
3166
3167     return 1;
3168  err:
3169     OPENSSL_clear_free(pms, pmslen);
3170     s->s3->tmp.pms = NULL;
3171     return 0;
3172 }
3173
3174 /*
3175  * Check a certificate can be used for client authentication. Currently check
3176  * cert exists, if we have a suitable digest for TLS 1.2 if static DH client
3177  * certificates can be used and optionally checks suitability for Suite B.
3178  */
3179 static int ssl3_check_client_certificate(SSL *s)
3180 {
3181     /* If no suitable signature algorithm can't use certificate */
3182     if (!tls_choose_sigalg(s, NULL) || s->s3->tmp.sigalg == NULL)
3183         return 0;
3184     /*
3185      * If strict mode check suitability of chain before using it. This also
3186      * adjusts suite B digest if necessary.
3187      */
3188     if (s->cert->cert_flags & SSL_CERT_FLAGS_CHECK_TLS_STRICT &&
3189         !tls1_check_chain(s, NULL, NULL, NULL, -2))
3190         return 0;
3191     return 1;
3192 }
3193
3194 WORK_STATE tls_prepare_client_certificate(SSL *s, WORK_STATE wst)
3195 {
3196     X509 *x509 = NULL;
3197     EVP_PKEY *pkey = NULL;
3198     int i;
3199
3200     if (wst == WORK_MORE_A) {
3201         /* Let cert callback update client certificates if required */
3202         if (s->cert->cert_cb) {
3203             i = s->cert->cert_cb(s, s->cert->cert_cb_arg);
3204             if (i < 0) {
3205                 s->rwstate = SSL_X509_LOOKUP;
3206                 return WORK_MORE_A;
3207             }
3208             if (i == 0) {
3209                 ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3210                 ossl_statem_set_error(s);
3211                 return 0;
3212             }
3213             s->rwstate = SSL_NOTHING;
3214         }
3215         if (ssl3_check_client_certificate(s))
3216             return WORK_FINISHED_CONTINUE;
3217
3218         /* Fall through to WORK_MORE_B */
3219         wst = WORK_MORE_B;
3220     }
3221
3222     /* We need to get a client cert */
3223     if (wst == WORK_MORE_B) {
3224         /*
3225          * If we get an error, we need to ssl->rwstate=SSL_X509_LOOKUP;
3226          * return(-1); We then get retied later
3227          */
3228         i = ssl_do_client_cert_cb(s, &x509, &pkey);
3229         if (i < 0) {
3230             s->rwstate = SSL_X509_LOOKUP;
3231             return WORK_MORE_B;
3232         }
3233         s->rwstate = SSL_NOTHING;
3234         if ((i == 1) && (pkey != NULL) && (x509 != NULL)) {
3235             if (!SSL_use_certificate(s, x509) || !SSL_use_PrivateKey(s, pkey))
3236                 i = 0;
3237         } else if (i == 1) {
3238             i = 0;
3239             SSLerr(SSL_F_TLS_PREPARE_CLIENT_CERTIFICATE,
3240                    SSL_R_BAD_DATA_RETURNED_BY_CALLBACK);
3241         }
3242
3243         X509_free(x509);
3244         EVP_PKEY_free(pkey);
3245         if (i && !ssl3_check_client_certificate(s))
3246             i = 0;
3247         if (i == 0) {
3248             if (s->version == SSL3_VERSION) {
3249                 s->s3->tmp.cert_req = 0;
3250                 ssl3_send_alert(s, SSL3_AL_WARNING, SSL_AD_NO_CERTIFICATE);
3251                 return WORK_FINISHED_CONTINUE;
3252             } else {
3253                 s->s3->tmp.cert_req = 2;
3254                 if (!ssl3_digest_cached_records(s, 0)) {
3255                     ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3256                     ossl_statem_set_error(s);
3257                     return 0;
3258                 }
3259             }
3260         }
3261
3262         return WORK_FINISHED_CONTINUE;
3263     }
3264
3265     /* Shouldn't ever get here */
3266     return WORK_ERROR;
3267 }
3268
3269 int tls_construct_client_certificate(SSL *s, WPACKET *pkt)
3270 {
3271     int al = SSL_AD_INTERNAL_ERROR;
3272
3273     /*
3274      * TODO(TLS1.3): For now we must put an empty context. Needs to be filled in
3275      * later
3276      */
3277     if ((SSL_IS_TLS13(s) && !WPACKET_put_bytes_u8(pkt, 0))
3278             || !ssl3_output_cert_chain(s, pkt,
3279                                (s->s3->tmp.cert_req == 2) ? NULL
3280                                                           : s->cert->key,
3281                                 &al)) {
3282         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_CERTIFICATE, ERR_R_INTERNAL_ERROR);
3283         goto err;
3284     }
3285
3286     if (SSL_IS_TLS13(s)
3287             && SSL_IS_FIRST_HANDSHAKE(s)
3288             && (!s->method->ssl3_enc->change_cipher_state(s,
3289                     SSL3_CC_HANDSHAKE | SSL3_CHANGE_CIPHER_CLIENT_WRITE))) {
3290         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_CERTIFICATE,
3291                SSL_R_CANNOT_CHANGE_CIPHER);
3292         goto err;
3293     }
3294
3295     return 1;
3296  err:
3297     ssl3_send_alert(s, SSL3_AL_FATAL, al);
3298     return 0;
3299 }
3300
3301 #define has_bits(i,m)   (((i)&(m)) == (m))
3302
3303 int ssl3_check_cert_and_algorithm(SSL *s)
3304 {
3305     int i;
3306 #ifndef OPENSSL_NO_EC
3307     int idx;
3308 #endif
3309     long alg_k, alg_a;
3310     EVP_PKEY *pkey = NULL;
3311     int al = SSL_AD_HANDSHAKE_FAILURE;
3312
3313     alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
3314     alg_a = s->s3->tmp.new_cipher->algorithm_auth;
3315
3316     /* we don't have a certificate */
3317     if ((alg_a & SSL_aNULL) || (alg_k & SSL_kPSK))
3318         return (1);
3319
3320     /* This is the passed certificate */
3321
3322 #ifndef OPENSSL_NO_EC
3323     idx = s->session->peer_type;
3324     if (idx == SSL_PKEY_ECC) {
3325         if (ssl_check_srvr_ecc_cert_and_alg(s->session->peer, s) == 0) {
3326             /* check failed */
3327             SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM, SSL_R_BAD_ECC_CERT);
3328             goto f_err;
3329         } else {
3330             return 1;
3331         }
3332     } else if (alg_a & SSL_aECDSA) {
3333         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM,
3334                SSL_R_MISSING_ECDSA_SIGNING_CERT);
3335         goto f_err;
3336     }
3337 #endif
3338     pkey = X509_get0_pubkey(s->session->peer);
3339     i = X509_certificate_type(s->session->peer, pkey);
3340
3341     /* Check that we have a certificate if we require one */
3342     if ((alg_a & SSL_aRSA) && !has_bits(i, EVP_PK_RSA | EVP_PKT_SIGN)) {
3343         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM,
3344                SSL_R_MISSING_RSA_SIGNING_CERT);
3345         goto f_err;
3346     }
3347 #ifndef OPENSSL_NO_DSA
3348     else if ((alg_a & SSL_aDSS) && !has_bits(i, EVP_PK_DSA | EVP_PKT_SIGN)) {
3349         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM,
3350                SSL_R_MISSING_DSA_SIGNING_CERT);
3351         goto f_err;
3352     }
3353 #endif
3354 #ifndef OPENSSL_NO_RSA
3355     if (alg_k & (SSL_kRSA | SSL_kRSAPSK) &&
3356         !has_bits(i, EVP_PK_RSA | EVP_PKT_ENC)) {
3357         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM,
3358                SSL_R_MISSING_RSA_ENCRYPTING_CERT);
3359         goto f_err;
3360     }
3361 #endif
3362 #ifndef OPENSSL_NO_DH
3363     if ((alg_k & SSL_kDHE) && (s->s3->peer_tmp == NULL)) {
3364         al = SSL_AD_INTERNAL_ERROR;
3365         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM, ERR_R_INTERNAL_ERROR);
3366         goto f_err;
3367     }
3368 #endif
3369
3370     return (1);
3371  f_err:
3372     ssl3_send_alert(s, SSL3_AL_FATAL, al);
3373     return (0);
3374 }
3375
3376 #ifndef OPENSSL_NO_NEXTPROTONEG
3377 int tls_construct_next_proto(SSL *s, WPACKET *pkt)
3378 {
3379     size_t len, padding_len;
3380     unsigned char *padding = NULL;
3381
3382     len = s->ext.npn_len;
3383     padding_len = 32 - ((len + 2) % 32);
3384
3385     if (!WPACKET_sub_memcpy_u8(pkt, s->ext.npn, len)
3386             || !WPACKET_sub_allocate_bytes_u8(pkt, padding_len, &padding)) {
3387         SSLerr(SSL_F_TLS_CONSTRUCT_NEXT_PROTO, ERR_R_INTERNAL_ERROR);
3388         goto err;
3389     }
3390
3391     memset(padding, 0, padding_len);
3392
3393     return 1;
3394  err:
3395     ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3396     return 0;
3397 }
3398 #endif
3399
3400 MSG_PROCESS_RETURN tls_process_hello_req(SSL *s, PACKET *pkt)
3401 {
3402     if (PACKET_remaining(pkt) > 0) {
3403         /* should contain no data */
3404         SSLerr(SSL_F_TLS_PROCESS_HELLO_REQ, SSL_R_LENGTH_MISMATCH);
3405         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
3406         ossl_statem_set_error(s);
3407         return MSG_PROCESS_ERROR;
3408     }
3409
3410     /*
3411      * This is a historical discrepancy (not in the RFC) maintained for
3412      * compatibility reasons. If a TLS client receives a HelloRequest it will
3413      * attempt an abbreviated handshake. However if a DTLS client receives a
3414      * HelloRequest it will do a full handshake. Either behaviour is reasonable
3415      * but doing one for TLS and another for DTLS is odd.
3416      */
3417     if (SSL_IS_DTLS(s))
3418         SSL_renegotiate(s);
3419     else
3420         SSL_renegotiate_abbreviated(s);
3421
3422     return MSG_PROCESS_FINISHED_READING;
3423 }
3424
3425 static MSG_PROCESS_RETURN tls_process_encrypted_extensions(SSL *s, PACKET *pkt)
3426 {
3427     int al = SSL_AD_INTERNAL_ERROR;
3428     PACKET extensions;
3429     RAW_EXTENSION *rawexts = NULL;
3430
3431     if (!PACKET_as_length_prefixed_2(pkt, &extensions)) {
3432         al = SSL_AD_DECODE_ERROR;
3433         SSLerr(SSL_F_TLS_PROCESS_ENCRYPTED_EXTENSIONS, SSL_R_LENGTH_MISMATCH);
3434         goto err;
3435     }
3436
3437     if (!tls_collect_extensions(s, &extensions, EXT_TLS1_3_ENCRYPTED_EXTENSIONS,
3438                                 &rawexts, &al, NULL)
3439             || !tls_parse_all_extensions(s, EXT_TLS1_3_ENCRYPTED_EXTENSIONS,
3440                                          rawexts, NULL, 0, &al))
3441         goto err;
3442
3443     OPENSSL_free(rawexts);
3444     return MSG_PROCESS_CONTINUE_READING;
3445
3446  err:
3447     ssl3_send_alert(s, SSL3_AL_FATAL, al);
3448     ossl_statem_set_error(s);
3449     OPENSSL_free(rawexts);
3450     return MSG_PROCESS_ERROR;
3451 }
3452
3453 int ssl_do_client_cert_cb(SSL *s, X509 **px509, EVP_PKEY **ppkey)
3454 {
3455     int i = 0;
3456 #ifndef OPENSSL_NO_ENGINE
3457     if (s->ctx->client_cert_engine) {
3458         i = ENGINE_load_ssl_client_cert(s->ctx->client_cert_engine, s,
3459                                         SSL_get_client_CA_list(s),
3460                                         px509, ppkey, NULL, NULL, NULL);
3461         if (i != 0)
3462             return i;
3463     }
3464 #endif
3465     if (s->ctx->client_cert_cb)
3466         i = s->ctx->client_cert_cb(s, px509, ppkey);
3467     return i;
3468 }
3469
3470 int ssl_cipher_list_to_bytes(SSL *s, STACK_OF(SSL_CIPHER) *sk, WPACKET *pkt)
3471 {
3472     int i;
3473     size_t totlen = 0, len, maxlen;
3474     int empty_reneg_info_scsv = !s->renegotiate;
3475     /* Set disabled masks for this session */
3476     ssl_set_client_disabled(s);
3477
3478     if (sk == NULL)
3479         return (0);
3480
3481 #ifdef OPENSSL_MAX_TLS1_2_CIPHER_LENGTH
3482 # if OPENSSL_MAX_TLS1_2_CIPHER_LENGTH < 6
3483 #  error Max cipher length too short
3484 # endif
3485     /*
3486      * Some servers hang if client hello > 256 bytes as hack workaround
3487      * chop number of supported ciphers to keep it well below this if we
3488      * use TLS v1.2
3489      */
3490     if (TLS1_get_version(s) >= TLS1_2_VERSION)
3491         maxlen = OPENSSL_MAX_TLS1_2_CIPHER_LENGTH & ~1;
3492     else
3493 #endif
3494         /* Maximum length that can be stored in 2 bytes. Length must be even */
3495         maxlen = 0xfffe;
3496
3497     if (empty_reneg_info_scsv)
3498         maxlen -= 2;
3499     if (s->mode & SSL_MODE_SEND_FALLBACK_SCSV)
3500         maxlen -= 2;
3501
3502     for (i = 0; i < sk_SSL_CIPHER_num(sk) && totlen < maxlen; i++) {
3503         const SSL_CIPHER *c;
3504
3505         c = sk_SSL_CIPHER_value(sk, i);
3506         /* Skip disabled ciphers */
3507         if (ssl_cipher_disabled(s, c, SSL_SECOP_CIPHER_SUPPORTED))
3508             continue;
3509
3510         if (!s->method->put_cipher_by_char(c, pkt, &len)) {
3511             SSLerr(SSL_F_SSL_CIPHER_LIST_TO_BYTES, ERR_R_INTERNAL_ERROR);
3512             return 0;
3513         }
3514
3515         totlen += len;
3516     }
3517
3518     if (totlen == 0) {
3519         SSLerr(SSL_F_SSL_CIPHER_LIST_TO_BYTES, SSL_R_NO_CIPHERS_AVAILABLE);
3520         return 0;
3521     }
3522
3523     if (totlen != 0) {
3524         if (empty_reneg_info_scsv) {
3525             static SSL_CIPHER scsv = {
3526                 0, NULL, SSL3_CK_SCSV, 0, 0, 0, 0, 0, 0, 0, 0, 0
3527             };
3528             if (!s->method->put_cipher_by_char(&scsv, pkt, &len)) {
3529                 SSLerr(SSL_F_SSL_CIPHER_LIST_TO_BYTES, ERR_R_INTERNAL_ERROR);
3530                 return 0;
3531             }
3532         }
3533         if (s->mode & SSL_MODE_SEND_FALLBACK_SCSV) {
3534             static SSL_CIPHER scsv = {
3535                 0, NULL, SSL3_CK_FALLBACK_SCSV, 0, 0, 0, 0, 0, 0, 0, 0, 0
3536             };
3537             if (!s->method->put_cipher_by_char(&scsv, pkt, &len)) {
3538                 SSLerr(SSL_F_SSL_CIPHER_LIST_TO_BYTES, ERR_R_INTERNAL_ERROR);
3539                 return 0;
3540             }
3541         }
3542     }
3543
3544     return 1;
3545 }