73ad6048d31e133d5e902b23a4abb7ce811e80c0
[openssl.git] / ssl / t1_lib.c
1 /* ssl/t1_lib.c */
2 /* Copyright (C) 1995-1998 Eric Young (eay@cryptsoft.com)
3  * All rights reserved.
4  *
5  * This package is an SSL implementation written
6  * by Eric Young (eay@cryptsoft.com).
7  * The implementation was written so as to conform with Netscapes SSL.
8  *
9  * This library is free for commercial and non-commercial use as long as
10  * the following conditions are aheared to.  The following conditions
11  * apply to all code found in this distribution, be it the RC4, RSA,
12  * lhash, DES, etc., code; not just the SSL code.  The SSL documentation
13  * included with this distribution is covered by the same copyright terms
14  * except that the holder is Tim Hudson (tjh@cryptsoft.com).
15  *
16  * Copyright remains Eric Young's, and as such any Copyright notices in
17  * the code are not to be removed.
18  * If this package is used in a product, Eric Young should be given attribution
19  * as the author of the parts of the library used.
20  * This can be in the form of a textual message at program startup or
21  * in documentation (online or textual) provided with the package.
22  *
23  * Redistribution and use in source and binary forms, with or without
24  * modification, are permitted provided that the following conditions
25  * are met:
26  * 1. Redistributions of source code must retain the copyright
27  *    notice, this list of conditions and the following disclaimer.
28  * 2. Redistributions in binary form must reproduce the above copyright
29  *    notice, this list of conditions and the following disclaimer in the
30  *    documentation and/or other materials provided with the distribution.
31  * 3. All advertising materials mentioning features or use of this software
32  *    must display the following acknowledgement:
33  *    "This product includes cryptographic software written by
34  *     Eric Young (eay@cryptsoft.com)"
35  *    The word 'cryptographic' can be left out if the rouines from the library
36  *    being used are not cryptographic related :-).
37  * 4. If you include any Windows specific code (or a derivative thereof) from
38  *    the apps directory (application code) you must include an acknowledgement:
39  *    "This product includes software written by Tim Hudson (tjh@cryptsoft.com)"
40  *
41  * THIS SOFTWARE IS PROVIDED BY ERIC YOUNG ``AS IS'' AND
42  * ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
43  * IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE
44  * ARE DISCLAIMED.  IN NO EVENT SHALL THE AUTHOR OR CONTRIBUTORS BE LIABLE
45  * FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
46  * DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS
47  * OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
48  * HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT
49  * LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY
50  * OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF
51  * SUCH DAMAGE.
52  *
53  * The licence and distribution terms for any publically available version or
54  * derivative of this code cannot be changed.  i.e. this code cannot simply be
55  * copied and put under another distribution licence
56  * [including the GNU Public Licence.]
57  */
58 /* ====================================================================
59  * Copyright (c) 1998-2007 The OpenSSL Project.  All rights reserved.
60  *
61  * Redistribution and use in source and binary forms, with or without
62  * modification, are permitted provided that the following conditions
63  * are met:
64  *
65  * 1. Redistributions of source code must retain the above copyright
66  *    notice, this list of conditions and the following disclaimer.
67  *
68  * 2. Redistributions in binary form must reproduce the above copyright
69  *    notice, this list of conditions and the following disclaimer in
70  *    the documentation and/or other materials provided with the
71  *    distribution.
72  *
73  * 3. All advertising materials mentioning features or use of this
74  *    software must display the following acknowledgment:
75  *    "This product includes software developed by the OpenSSL Project
76  *    for use in the OpenSSL Toolkit. (http://www.openssl.org/)"
77  *
78  * 4. The names "OpenSSL Toolkit" and "OpenSSL Project" must not be used to
79  *    endorse or promote products derived from this software without
80  *    prior written permission. For written permission, please contact
81  *    openssl-core@openssl.org.
82  *
83  * 5. Products derived from this software may not be called "OpenSSL"
84  *    nor may "OpenSSL" appear in their names without prior written
85  *    permission of the OpenSSL Project.
86  *
87  * 6. Redistributions of any form whatsoever must retain the following
88  *    acknowledgment:
89  *    "This product includes software developed by the OpenSSL Project
90  *    for use in the OpenSSL Toolkit (http://www.openssl.org/)"
91  *
92  * THIS SOFTWARE IS PROVIDED BY THE OpenSSL PROJECT ``AS IS'' AND ANY
93  * EXPRESSED OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
94  * IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR
95  * PURPOSE ARE DISCLAIMED.  IN NO EVENT SHALL THE OpenSSL PROJECT OR
96  * ITS CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL,
97  * SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT
98  * NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES;
99  * LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
100  * HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT,
101  * STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE)
102  * ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED
103  * OF THE POSSIBILITY OF SUCH DAMAGE.
104  * ====================================================================
105  *
106  * This product includes cryptographic software written by Eric Young
107  * (eay@cryptsoft.com).  This product includes software written by Tim
108  * Hudson (tjh@cryptsoft.com).
109  *
110  */
111
112 #include <stdio.h>
113 #include <openssl/objects.h>
114 #include <openssl/evp.h>
115 #include <openssl/hmac.h>
116 #include <openssl/ocsp.h>
117 #include <openssl/rand.h>
118 #ifndef OPENSSL_NO_DH
119 # include <openssl/dh.h>
120 # include <openssl/bn.h>
121 #endif
122 #include "ssl_locl.h"
123
124 static int tls_decrypt_ticket(SSL *s, const unsigned char *tick, int ticklen,
125                               const unsigned char *sess_id, int sesslen,
126                               SSL_SESSION **psess);
127 static int ssl_check_clienthello_tlsext_early(SSL *s);
128 int ssl_check_serverhello_tlsext(SSL *s);
129
130 SSL3_ENC_METHOD const TLSv1_enc_data = {
131     tls1_enc,
132     tls1_mac,
133     tls1_setup_key_block,
134     tls1_generate_master_secret,
135     tls1_change_cipher_state,
136     tls1_final_finish_mac,
137     TLS1_FINISH_MAC_LENGTH,
138     TLS_MD_CLIENT_FINISH_CONST, TLS_MD_CLIENT_FINISH_CONST_SIZE,
139     TLS_MD_SERVER_FINISH_CONST, TLS_MD_SERVER_FINISH_CONST_SIZE,
140     tls1_alert_code,
141     tls1_export_keying_material,
142     0,
143     SSL3_HM_HEADER_LENGTH,
144     ssl3_set_handshake_header,
145     ssl3_handshake_write
146 };
147
148 SSL3_ENC_METHOD const TLSv1_1_enc_data = {
149     tls1_enc,
150     tls1_mac,
151     tls1_setup_key_block,
152     tls1_generate_master_secret,
153     tls1_change_cipher_state,
154     tls1_final_finish_mac,
155     TLS1_FINISH_MAC_LENGTH,
156     TLS_MD_CLIENT_FINISH_CONST, TLS_MD_CLIENT_FINISH_CONST_SIZE,
157     TLS_MD_SERVER_FINISH_CONST, TLS_MD_SERVER_FINISH_CONST_SIZE,
158     tls1_alert_code,
159     tls1_export_keying_material,
160     SSL_ENC_FLAG_EXPLICIT_IV,
161     SSL3_HM_HEADER_LENGTH,
162     ssl3_set_handshake_header,
163     ssl3_handshake_write
164 };
165
166 SSL3_ENC_METHOD const TLSv1_2_enc_data = {
167     tls1_enc,
168     tls1_mac,
169     tls1_setup_key_block,
170     tls1_generate_master_secret,
171     tls1_change_cipher_state,
172     tls1_final_finish_mac,
173     TLS1_FINISH_MAC_LENGTH,
174     TLS_MD_CLIENT_FINISH_CONST, TLS_MD_CLIENT_FINISH_CONST_SIZE,
175     TLS_MD_SERVER_FINISH_CONST, TLS_MD_SERVER_FINISH_CONST_SIZE,
176     tls1_alert_code,
177     tls1_export_keying_material,
178     SSL_ENC_FLAG_EXPLICIT_IV | SSL_ENC_FLAG_SIGALGS | SSL_ENC_FLAG_SHA256_PRF
179         | SSL_ENC_FLAG_TLS1_2_CIPHERS,
180     SSL3_HM_HEADER_LENGTH,
181     ssl3_set_handshake_header,
182     ssl3_handshake_write
183 };
184
185 long tls1_default_timeout(void)
186 {
187     /*
188      * 2 hours, the 24 hours mentioned in the TLSv1 spec is way too long for
189      * http, the cache would over fill
190      */
191     return (60 * 60 * 2);
192 }
193
194 int tls1_new(SSL *s)
195 {
196     if (!ssl3_new(s))
197         return (0);
198     s->method->ssl_clear(s);
199     return (1);
200 }
201
202 void tls1_free(SSL *s)
203 {
204     OPENSSL_free(s->tlsext_session_ticket);
205     ssl3_free(s);
206 }
207
208 void tls1_clear(SSL *s)
209 {
210     ssl3_clear(s);
211     s->version = s->method->version;
212 }
213
214 #ifndef OPENSSL_NO_EC
215
216 typedef struct {
217     int nid;                    /* Curve NID */
218     int secbits;                /* Bits of security (from SP800-57) */
219     unsigned int flags;         /* Flags: currently just field type */
220 } tls_curve_info;
221
222 # define TLS_CURVE_CHAR2         0x1
223 # define TLS_CURVE_PRIME         0x0
224
225 static const tls_curve_info nid_list[] = {
226     {NID_sect163k1, 80, TLS_CURVE_CHAR2}, /* sect163k1 (1) */
227     {NID_sect163r1, 80, TLS_CURVE_CHAR2}, /* sect163r1 (2) */
228     {NID_sect163r2, 80, TLS_CURVE_CHAR2}, /* sect163r2 (3) */
229     {NID_sect193r1, 80, TLS_CURVE_CHAR2}, /* sect193r1 (4) */
230     {NID_sect193r2, 80, TLS_CURVE_CHAR2}, /* sect193r2 (5) */
231     {NID_sect233k1, 112, TLS_CURVE_CHAR2}, /* sect233k1 (6) */
232     {NID_sect233r1, 112, TLS_CURVE_CHAR2}, /* sect233r1 (7) */
233     {NID_sect239k1, 112, TLS_CURVE_CHAR2}, /* sect239k1 (8) */
234     {NID_sect283k1, 128, TLS_CURVE_CHAR2}, /* sect283k1 (9) */
235     {NID_sect283r1, 128, TLS_CURVE_CHAR2}, /* sect283r1 (10) */
236     {NID_sect409k1, 192, TLS_CURVE_CHAR2}, /* sect409k1 (11) */
237     {NID_sect409r1, 192, TLS_CURVE_CHAR2}, /* sect409r1 (12) */
238     {NID_sect571k1, 256, TLS_CURVE_CHAR2}, /* sect571k1 (13) */
239     {NID_sect571r1, 256, TLS_CURVE_CHAR2}, /* sect571r1 (14) */
240     {NID_secp160k1, 80, TLS_CURVE_PRIME}, /* secp160k1 (15) */
241     {NID_secp160r1, 80, TLS_CURVE_PRIME}, /* secp160r1 (16) */
242     {NID_secp160r2, 80, TLS_CURVE_PRIME}, /* secp160r2 (17) */
243     {NID_secp192k1, 80, TLS_CURVE_PRIME}, /* secp192k1 (18) */
244     {NID_X9_62_prime192v1, 80, TLS_CURVE_PRIME}, /* secp192r1 (19) */
245     {NID_secp224k1, 112, TLS_CURVE_PRIME}, /* secp224k1 (20) */
246     {NID_secp224r1, 112, TLS_CURVE_PRIME}, /* secp224r1 (21) */
247     {NID_secp256k1, 128, TLS_CURVE_PRIME}, /* secp256k1 (22) */
248     {NID_X9_62_prime256v1, 128, TLS_CURVE_PRIME}, /* secp256r1 (23) */
249     {NID_secp384r1, 192, TLS_CURVE_PRIME}, /* secp384r1 (24) */
250     {NID_secp521r1, 256, TLS_CURVE_PRIME}, /* secp521r1 (25) */
251     {NID_brainpoolP256r1, 128, TLS_CURVE_PRIME}, /* brainpoolP256r1 (26) */
252     {NID_brainpoolP384r1, 192, TLS_CURVE_PRIME}, /* brainpoolP384r1 (27) */
253     {NID_brainpoolP512r1, 256, TLS_CURVE_PRIME}, /* brainpool512r1 (28) */
254 };
255
256 static const unsigned char ecformats_default[] = {
257     TLSEXT_ECPOINTFORMAT_uncompressed,
258     TLSEXT_ECPOINTFORMAT_ansiX962_compressed_prime,
259     TLSEXT_ECPOINTFORMAT_ansiX962_compressed_char2
260 };
261
262 /* The default curves */
263 static const unsigned char eccurves_default[] = {
264     /* Prefer P-256 which has the fastest and most secure implementations. */
265     0, 23,                      /* secp256r1 (23) */
266     /* Other >= 256-bit prime curves. */
267     0, 25,                      /* secp521r1 (25) */
268     0, 28,                      /* brainpool512r1 (28) */
269     0, 27,                      /* brainpoolP384r1 (27) */
270     0, 24,                      /* secp384r1 (24) */
271     0, 26,                      /* brainpoolP256r1 (26) */
272     0, 22,                      /* secp256k1 (22) */
273     /* >= 256-bit binary curves. */
274     0, 14,                      /* sect571r1 (14) */
275     0, 13,                      /* sect571k1 (13) */
276     0, 11,                      /* sect409k1 (11) */
277     0, 12,                      /* sect409r1 (12) */
278     0, 9,                       /* sect283k1 (9) */
279     0, 10,                      /* sect283r1 (10) */
280 };
281
282 static const unsigned char eccurves_all[] = {
283     /* Prefer P-256 which has the fastest and most secure implementations. */
284     0, 23,                      /* secp256r1 (23) */
285     /* Other >= 256-bit prime curves. */
286     0, 25,                      /* secp521r1 (25) */
287     0, 28,                      /* brainpool512r1 (28) */
288     0, 27,                      /* brainpoolP384r1 (27) */
289     0, 24,                      /* secp384r1 (24) */
290     0, 26,                      /* brainpoolP256r1 (26) */
291     0, 22,                      /* secp256k1 (22) */
292     /* >= 256-bit binary curves. */
293     0, 14,                      /* sect571r1 (14) */
294     0, 13,                      /* sect571k1 (13) */
295     0, 11,                      /* sect409k1 (11) */
296     0, 12,                      /* sect409r1 (12) */
297     0, 9,                       /* sect283k1 (9) */
298     0, 10,                      /* sect283r1 (10) */
299     /*
300      * Remaining curves disabled by default but still permitted if set
301      * via an explicit callback or parameters.
302      */
303     0, 20,                      /* secp224k1 (20) */
304     0, 21,                      /* secp224r1 (21) */
305     0, 18,                      /* secp192k1 (18) */
306     0, 19,                      /* secp192r1 (19) */
307     0, 15,                      /* secp160k1 (15) */
308     0, 16,                      /* secp160r1 (16) */
309     0, 17,                      /* secp160r2 (17) */
310     0, 8,                       /* sect239k1 (8) */
311     0, 6,                       /* sect233k1 (6) */
312     0, 7,                       /* sect233r1 (7) */
313     0, 4,                       /* sect193r1 (4) */
314     0, 5,                       /* sect193r2 (5) */
315     0, 1,                       /* sect163k1 (1) */
316     0, 2,                       /* sect163r1 (2) */
317     0, 3,                       /* sect163r2 (3) */
318 };
319
320
321 static const unsigned char suiteb_curves[] = {
322     0, TLSEXT_curve_P_256,
323     0, TLSEXT_curve_P_384
324 };
325
326 int tls1_ec_curve_id2nid(int curve_id)
327 {
328     /* ECC curves from RFC 4492 and RFC 7027 */
329     if ((curve_id < 1) || ((unsigned int)curve_id > OSSL_NELEM(nid_list)))
330         return 0;
331     return nid_list[curve_id - 1].nid;
332 }
333
334 int tls1_ec_nid2curve_id(int nid)
335 {
336     /* ECC curves from RFC 4492 and RFC 7027 */
337     switch (nid) {
338     case NID_sect163k1:        /* sect163k1 (1) */
339         return 1;
340     case NID_sect163r1:        /* sect163r1 (2) */
341         return 2;
342     case NID_sect163r2:        /* sect163r2 (3) */
343         return 3;
344     case NID_sect193r1:        /* sect193r1 (4) */
345         return 4;
346     case NID_sect193r2:        /* sect193r2 (5) */
347         return 5;
348     case NID_sect233k1:        /* sect233k1 (6) */
349         return 6;
350     case NID_sect233r1:        /* sect233r1 (7) */
351         return 7;
352     case NID_sect239k1:        /* sect239k1 (8) */
353         return 8;
354     case NID_sect283k1:        /* sect283k1 (9) */
355         return 9;
356     case NID_sect283r1:        /* sect283r1 (10) */
357         return 10;
358     case NID_sect409k1:        /* sect409k1 (11) */
359         return 11;
360     case NID_sect409r1:        /* sect409r1 (12) */
361         return 12;
362     case NID_sect571k1:        /* sect571k1 (13) */
363         return 13;
364     case NID_sect571r1:        /* sect571r1 (14) */
365         return 14;
366     case NID_secp160k1:        /* secp160k1 (15) */
367         return 15;
368     case NID_secp160r1:        /* secp160r1 (16) */
369         return 16;
370     case NID_secp160r2:        /* secp160r2 (17) */
371         return 17;
372     case NID_secp192k1:        /* secp192k1 (18) */
373         return 18;
374     case NID_X9_62_prime192v1: /* secp192r1 (19) */
375         return 19;
376     case NID_secp224k1:        /* secp224k1 (20) */
377         return 20;
378     case NID_secp224r1:        /* secp224r1 (21) */
379         return 21;
380     case NID_secp256k1:        /* secp256k1 (22) */
381         return 22;
382     case NID_X9_62_prime256v1: /* secp256r1 (23) */
383         return 23;
384     case NID_secp384r1:        /* secp384r1 (24) */
385         return 24;
386     case NID_secp521r1:        /* secp521r1 (25) */
387         return 25;
388     case NID_brainpoolP256r1:  /* brainpoolP256r1 (26) */
389         return 26;
390     case NID_brainpoolP384r1:  /* brainpoolP384r1 (27) */
391         return 27;
392     case NID_brainpoolP512r1:  /* brainpool512r1 (28) */
393         return 28;
394     default:
395         return 0;
396     }
397 }
398
399 /*
400  * Get curves list, if "sess" is set return client curves otherwise
401  * preferred list.
402  * Sets |num_curves| to the number of curves in the list, i.e.,
403  * the length of |pcurves| is 2 * num_curves.
404  * Returns 1 on success and 0 if the client curves list has invalid format.
405  * The latter indicates an internal error: we should not be accepting such
406  * lists in the first place.
407  * TODO(emilia): we should really be storing the curves list in explicitly
408  * parsed form instead. (However, this would affect binary compatibility
409  * so cannot happen in the 1.0.x series.)
410  */
411 static int tls1_get_curvelist(SSL *s, int sess,
412                               const unsigned char **pcurves,
413                               size_t *num_curves)
414 {
415     size_t pcurveslen = 0;
416     if (sess) {
417         *pcurves = s->session->tlsext_ellipticcurvelist;
418         pcurveslen = s->session->tlsext_ellipticcurvelist_length;
419     } else {
420         /* For Suite B mode only include P-256, P-384 */
421         switch (tls1_suiteb(s)) {
422         case SSL_CERT_FLAG_SUITEB_128_LOS:
423             *pcurves = suiteb_curves;
424             pcurveslen = sizeof(suiteb_curves);
425             break;
426
427         case SSL_CERT_FLAG_SUITEB_128_LOS_ONLY:
428             *pcurves = suiteb_curves;
429             pcurveslen = 2;
430             break;
431
432         case SSL_CERT_FLAG_SUITEB_192_LOS:
433             *pcurves = suiteb_curves + 2;
434             pcurveslen = 2;
435             break;
436         default:
437             *pcurves = s->tlsext_ellipticcurvelist;
438             pcurveslen = s->tlsext_ellipticcurvelist_length;
439         }
440         if (!*pcurves) {
441             *pcurves = eccurves_default;
442             pcurveslen = sizeof(eccurves_default);
443         }
444     }
445
446     /* We do not allow odd length arrays to enter the system. */
447     if (pcurveslen & 1) {
448         SSLerr(SSL_F_TLS1_GET_CURVELIST, ERR_R_INTERNAL_ERROR);
449         *num_curves = 0;
450         return 0;
451     } else {
452         *num_curves = pcurveslen / 2;
453         return 1;
454     }
455 }
456
457 /* See if curve is allowed by security callback */
458 static int tls_curve_allowed(SSL *s, const unsigned char *curve, int op)
459 {
460     const tls_curve_info *cinfo;
461     if (curve[0])
462         return 1;
463     if ((curve[1] < 1) || ((size_t)curve[1] > OSSL_NELEM(nid_list)))
464         return 0;
465     cinfo = &nid_list[curve[1] - 1];
466 # ifdef OPENSSL_NO_EC2M
467     if (cinfo->flags & TLS_CURVE_CHAR2)
468         return 0;
469 # endif
470     return ssl_security(s, op, cinfo->secbits, cinfo->nid, (void *)curve);
471 }
472
473 /* Check a curve is one of our preferences */
474 int tls1_check_curve(SSL *s, const unsigned char *p, size_t len)
475 {
476     const unsigned char *curves;
477     size_t num_curves, i;
478     unsigned int suiteb_flags = tls1_suiteb(s);
479     if (len != 3 || p[0] != NAMED_CURVE_TYPE)
480         return 0;
481     /* Check curve matches Suite B preferences */
482     if (suiteb_flags) {
483         unsigned long cid = s->s3->tmp.new_cipher->id;
484         if (p[1])
485             return 0;
486         if (cid == TLS1_CK_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256) {
487             if (p[2] != TLSEXT_curve_P_256)
488                 return 0;
489         } else if (cid == TLS1_CK_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384) {
490             if (p[2] != TLSEXT_curve_P_384)
491                 return 0;
492         } else                  /* Should never happen */
493             return 0;
494     }
495     if (!tls1_get_curvelist(s, 0, &curves, &num_curves))
496         return 0;
497     for (i = 0; i < num_curves; i++, curves += 2) {
498         if (p[1] == curves[0] && p[2] == curves[1])
499             return tls_curve_allowed(s, p + 1, SSL_SECOP_CURVE_CHECK);
500     }
501     return 0;
502 }
503
504 /*-
505  * For nmatch >= 0, return the NID of the |nmatch|th shared curve or NID_undef
506  * if there is no match.
507  * For nmatch == -1, return number of matches
508  * For nmatch == -2, return the NID of the curve to use for
509  * an EC tmp key, or NID_undef if there is no match.
510  */
511 int tls1_shared_curve(SSL *s, int nmatch)
512 {
513     const unsigned char *pref, *supp;
514     size_t num_pref, num_supp, i, j;
515     int k;
516     /* Can't do anything on client side */
517     if (s->server == 0)
518         return -1;
519     if (nmatch == -2) {
520         if (tls1_suiteb(s)) {
521             /*
522              * For Suite B ciphersuite determines curve: we already know
523              * these are acceptable due to previous checks.
524              */
525             unsigned long cid = s->s3->tmp.new_cipher->id;
526             if (cid == TLS1_CK_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256)
527                 return NID_X9_62_prime256v1; /* P-256 */
528             if (cid == TLS1_CK_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384)
529                 return NID_secp384r1; /* P-384 */
530             /* Should never happen */
531             return NID_undef;
532         }
533         /* If not Suite B just return first preference shared curve */
534         nmatch = 0;
535     }
536     /*
537      * Avoid truncation. tls1_get_curvelist takes an int
538      * but s->options is a long...
539      */
540     if (!tls1_get_curvelist
541         (s, (s->options & SSL_OP_CIPHER_SERVER_PREFERENCE) != 0, &supp,
542          &num_supp))
543         /* In practice, NID_undef == 0 but let's be precise. */
544         return nmatch == -1 ? 0 : NID_undef;
545     if (!tls1_get_curvelist
546         (s, !(s->options & SSL_OP_CIPHER_SERVER_PREFERENCE), &pref,
547          &num_pref))
548         return nmatch == -1 ? 0 : NID_undef;
549
550     /*
551      * If the client didn't send the elliptic_curves extension all of them
552      * are allowed.
553      */
554     if (num_supp == 0 && (s->options & SSL_OP_CIPHER_SERVER_PREFERENCE) != 0) {
555         supp = eccurves_all;
556         num_supp = sizeof(eccurves_all) / 2;
557     } else if (num_pref == 0 &&
558         (s->options & SSL_OP_CIPHER_SERVER_PREFERENCE) == 0) {
559         pref = eccurves_all;
560         num_pref = sizeof(eccurves_all) / 2;
561     }
562
563     k = 0;
564     for (i = 0; i < num_pref; i++, pref += 2) {
565         const unsigned char *tsupp = supp;
566         for (j = 0; j < num_supp; j++, tsupp += 2) {
567             if (pref[0] == tsupp[0] && pref[1] == tsupp[1]) {
568                 if (!tls_curve_allowed(s, pref, SSL_SECOP_CURVE_SHARED))
569                     continue;
570                 if (nmatch == k) {
571                     int id = (pref[0] << 8) | pref[1];
572                     return tls1_ec_curve_id2nid(id);
573                 }
574                 k++;
575             }
576         }
577     }
578     if (nmatch == -1)
579         return k;
580     /* Out of range (nmatch > k). */
581     return NID_undef;
582 }
583
584 int tls1_set_curves(unsigned char **pext, size_t *pextlen,
585                     int *curves, size_t ncurves)
586 {
587     unsigned char *clist, *p;
588     size_t i;
589     /*
590      * Bitmap of curves included to detect duplicates: only works while curve
591      * ids < 32
592      */
593     unsigned long dup_list = 0;
594     clist = OPENSSL_malloc(ncurves * 2);
595     if (clist == NULL)
596         return 0;
597     for (i = 0, p = clist; i < ncurves; i++) {
598         unsigned long idmask;
599         int id;
600         id = tls1_ec_nid2curve_id(curves[i]);
601         idmask = 1L << id;
602         if (!id || (dup_list & idmask)) {
603             OPENSSL_free(clist);
604             return 0;
605         }
606         dup_list |= idmask;
607         s2n(id, p);
608     }
609     OPENSSL_free(*pext);
610     *pext = clist;
611     *pextlen = ncurves * 2;
612     return 1;
613 }
614
615 # define MAX_CURVELIST   28
616
617 typedef struct {
618     size_t nidcnt;
619     int nid_arr[MAX_CURVELIST];
620 } nid_cb_st;
621
622 static int nid_cb(const char *elem, int len, void *arg)
623 {
624     nid_cb_st *narg = arg;
625     size_t i;
626     int nid;
627     char etmp[20];
628     if (elem == NULL)
629         return 0;
630     if (narg->nidcnt == MAX_CURVELIST)
631         return 0;
632     if (len > (int)(sizeof(etmp) - 1))
633         return 0;
634     memcpy(etmp, elem, len);
635     etmp[len] = 0;
636     nid = EC_curve_nist2nid(etmp);
637     if (nid == NID_undef)
638         nid = OBJ_sn2nid(etmp);
639     if (nid == NID_undef)
640         nid = OBJ_ln2nid(etmp);
641     if (nid == NID_undef)
642         return 0;
643     for (i = 0; i < narg->nidcnt; i++)
644         if (narg->nid_arr[i] == nid)
645             return 0;
646     narg->nid_arr[narg->nidcnt++] = nid;
647     return 1;
648 }
649
650 /* Set curves based on a colon separate list */
651 int tls1_set_curves_list(unsigned char **pext, size_t *pextlen,
652                          const char *str)
653 {
654     nid_cb_st ncb;
655     ncb.nidcnt = 0;
656     if (!CONF_parse_list(str, ':', 1, nid_cb, &ncb))
657         return 0;
658     if (pext == NULL)
659         return 1;
660     return tls1_set_curves(pext, pextlen, ncb.nid_arr, ncb.nidcnt);
661 }
662
663 /* For an EC key set TLS id and required compression based on parameters */
664 static int tls1_set_ec_id(unsigned char *curve_id, unsigned char *comp_id,
665                           EC_KEY *ec)
666 {
667     int is_prime, id;
668     const EC_GROUP *grp;
669     const EC_METHOD *meth;
670     if (!ec)
671         return 0;
672     /* Determine if it is a prime field */
673     grp = EC_KEY_get0_group(ec);
674     if (!grp)
675         return 0;
676     meth = EC_GROUP_method_of(grp);
677     if (!meth)
678         return 0;
679     if (EC_METHOD_get_field_type(meth) == NID_X9_62_prime_field)
680         is_prime = 1;
681     else
682         is_prime = 0;
683     /* Determine curve ID */
684     id = EC_GROUP_get_curve_name(grp);
685     id = tls1_ec_nid2curve_id(id);
686     /* If we have an ID set it, otherwise set arbitrary explicit curve */
687     if (id) {
688         curve_id[0] = 0;
689         curve_id[1] = (unsigned char)id;
690     } else {
691         curve_id[0] = 0xff;
692         if (is_prime)
693             curve_id[1] = 0x01;
694         else
695             curve_id[1] = 0x02;
696     }
697     if (comp_id) {
698         if (EC_KEY_get0_public_key(ec) == NULL)
699             return 0;
700         if (EC_KEY_get_conv_form(ec) == POINT_CONVERSION_COMPRESSED) {
701             if (is_prime)
702                 *comp_id = TLSEXT_ECPOINTFORMAT_ansiX962_compressed_prime;
703             else
704                 *comp_id = TLSEXT_ECPOINTFORMAT_ansiX962_compressed_char2;
705         } else
706             *comp_id = TLSEXT_ECPOINTFORMAT_uncompressed;
707     }
708     return 1;
709 }
710
711 /* Check an EC key is compatible with extensions */
712 static int tls1_check_ec_key(SSL *s,
713                              unsigned char *curve_id, unsigned char *comp_id)
714 {
715     const unsigned char *pformats, *pcurves;
716     size_t num_formats, num_curves, i;
717     int j;
718     /*
719      * If point formats extension present check it, otherwise everything is
720      * supported (see RFC4492).
721      */
722     if (comp_id && s->session->tlsext_ecpointformatlist) {
723         pformats = s->session->tlsext_ecpointformatlist;
724         num_formats = s->session->tlsext_ecpointformatlist_length;
725         for (i = 0; i < num_formats; i++, pformats++) {
726             if (*comp_id == *pformats)
727                 break;
728         }
729         if (i == num_formats)
730             return 0;
731     }
732     if (!curve_id)
733         return 1;
734     /* Check curve is consistent with client and server preferences */
735     for (j = 0; j <= 1; j++) {
736         if (!tls1_get_curvelist(s, j, &pcurves, &num_curves))
737             return 0;
738         if (j == 1 && num_curves == 0) {
739             /*
740              * If we've not received any curves then skip this check.
741              * RFC 4492 does not require the supported elliptic curves extension
742              * so if it is not sent we can just choose any curve.
743              * It is invalid to send an empty list in the elliptic curves
744              * extension, so num_curves == 0 always means no extension.
745              */
746             break;
747         }
748         for (i = 0; i < num_curves; i++, pcurves += 2) {
749             if (pcurves[0] == curve_id[0] && pcurves[1] == curve_id[1])
750                 break;
751         }
752         if (i == num_curves)
753             return 0;
754         /* For clients can only check sent curve list */
755         if (!s->server)
756             break;
757     }
758     return 1;
759 }
760
761 static void tls1_get_formatlist(SSL *s, const unsigned char **pformats,
762                                 size_t *num_formats)
763 {
764     /*
765      * If we have a custom point format list use it otherwise use default
766      */
767     if (s->tlsext_ecpointformatlist) {
768         *pformats = s->tlsext_ecpointformatlist;
769         *num_formats = s->tlsext_ecpointformatlist_length;
770     } else {
771         *pformats = ecformats_default;
772         /* For Suite B we don't support char2 fields */
773         if (tls1_suiteb(s))
774             *num_formats = sizeof(ecformats_default) - 1;
775         else
776             *num_formats = sizeof(ecformats_default);
777     }
778 }
779
780 /*
781  * Check cert parameters compatible with extensions: currently just checks EC
782  * certificates have compatible curves and compression.
783  */
784 static int tls1_check_cert_param(SSL *s, X509 *x, int set_ee_md)
785 {
786     unsigned char comp_id, curve_id[2];
787     EVP_PKEY *pkey;
788     int rv;
789     pkey = X509_get_pubkey(x);
790     if (!pkey)
791         return 0;
792     /* If not EC nothing to do */
793     if (pkey->type != EVP_PKEY_EC) {
794         EVP_PKEY_free(pkey);
795         return 1;
796     }
797     rv = tls1_set_ec_id(curve_id, &comp_id, pkey->pkey.ec);
798     EVP_PKEY_free(pkey);
799     if (!rv)
800         return 0;
801     /*
802      * Can't check curve_id for client certs as we don't have a supported
803      * curves extension.
804      */
805     rv = tls1_check_ec_key(s, s->server ? curve_id : NULL, &comp_id);
806     if (!rv)
807         return 0;
808     /*
809      * Special case for suite B. We *MUST* sign using SHA256+P-256 or
810      * SHA384+P-384, adjust digest if necessary.
811      */
812     if (set_ee_md && tls1_suiteb(s)) {
813         int check_md;
814         size_t i;
815         CERT *c = s->cert;
816         if (curve_id[0])
817             return 0;
818         /* Check to see we have necessary signing algorithm */
819         if (curve_id[1] == TLSEXT_curve_P_256)
820             check_md = NID_ecdsa_with_SHA256;
821         else if (curve_id[1] == TLSEXT_curve_P_384)
822             check_md = NID_ecdsa_with_SHA384;
823         else
824             return 0;           /* Should never happen */
825         for (i = 0; i < c->shared_sigalgslen; i++)
826             if (check_md == c->shared_sigalgs[i].signandhash_nid)
827                 break;
828         if (i == c->shared_sigalgslen)
829             return 0;
830         if (set_ee_md == 2) {
831             if (check_md == NID_ecdsa_with_SHA256)
832                 s->s3->tmp.md[SSL_PKEY_ECC] = EVP_sha256();
833             else
834                 s->s3->tmp.md[SSL_PKEY_ECC] = EVP_sha384();
835         }
836     }
837     return rv;
838 }
839
840 # ifndef OPENSSL_NO_EC
841 /*
842  * tls1_check_ec_tmp_key - Check EC temporary key compatiblity
843  * @s: SSL connection
844  * @cid: Cipher ID we're considering using
845  *
846  * Checks that the kECDHE cipher suite we're considering using
847  * is compatible with the client extensions.
848  *
849  * Returns 0 when the cipher can't be used or 1 when it can.
850  */
851 int tls1_check_ec_tmp_key(SSL *s, unsigned long cid)
852 {
853 #  ifdef OPENSSL_SSL_DEBUG_BROKEN_PROTOCOL
854     /* Allow any curve: not just those peer supports */
855     if (s->cert->cert_flags & SSL_CERT_FLAG_BROKEN_PROTOCOL)
856         return 1;
857 #  endif
858     /*
859      * If Suite B, AES128 MUST use P-256 and AES256 MUST use P-384, no other
860      * curves permitted.
861      */
862     if (tls1_suiteb(s)) {
863         unsigned char curve_id[2];
864         /* Curve to check determined by ciphersuite */
865         if (cid == TLS1_CK_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256)
866             curve_id[1] = TLSEXT_curve_P_256;
867         else if (cid == TLS1_CK_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384)
868             curve_id[1] = TLSEXT_curve_P_384;
869         else
870             return 0;
871         curve_id[0] = 0;
872         /* Check this curve is acceptable */
873         if (!tls1_check_ec_key(s, curve_id, NULL))
874             return 0;
875         return 1;
876     }
877     /* Need a shared curve */
878     if (tls1_shared_curve(s, 0))
879         return 1;
880     return 0;
881 }
882 # endif                         /* OPENSSL_NO_EC */
883
884 #else
885
886 static int tls1_check_cert_param(SSL *s, X509 *x, int set_ee_md)
887 {
888     return 1;
889 }
890
891 #endif                          /* OPENSSL_NO_EC */
892
893 /*
894  * List of supported signature algorithms and hashes. Should make this
895  * customisable at some point, for now include everything we support.
896  */
897
898 #ifdef OPENSSL_NO_RSA
899 # define tlsext_sigalg_rsa(md) /* */
900 #else
901 # define tlsext_sigalg_rsa(md) md, TLSEXT_signature_rsa,
902 #endif
903
904 #ifdef OPENSSL_NO_DSA
905 # define tlsext_sigalg_dsa(md) /* */
906 #else
907 # define tlsext_sigalg_dsa(md) md, TLSEXT_signature_dsa,
908 #endif
909
910 #ifdef OPENSSL_NO_EC
911 # define tlsext_sigalg_ecdsa(md) /* */
912 #else
913 # define tlsext_sigalg_ecdsa(md) md, TLSEXT_signature_ecdsa,
914 #endif
915
916 #define tlsext_sigalg(md) \
917                 tlsext_sigalg_rsa(md) \
918                 tlsext_sigalg_dsa(md) \
919                 tlsext_sigalg_ecdsa(md)
920
921 static const unsigned char tls12_sigalgs[] = {
922     tlsext_sigalg(TLSEXT_hash_sha512)
923         tlsext_sigalg(TLSEXT_hash_sha384)
924         tlsext_sigalg(TLSEXT_hash_sha256)
925         tlsext_sigalg(TLSEXT_hash_sha224)
926         tlsext_sigalg(TLSEXT_hash_sha1)
927 #ifndef OPENSSL_NO_GOST
928         TLSEXT_hash_gostr3411, TLSEXT_signature_gostr34102001,
929         TLSEXT_hash_gostr34112012_256, TLSEXT_signature_gostr34102012_256,
930         TLSEXT_hash_gostr34112012_512, TLSEXT_signature_gostr34102012_512
931 #endif
932 };
933
934 #ifndef OPENSSL_NO_EC
935 static const unsigned char suiteb_sigalgs[] = {
936     tlsext_sigalg_ecdsa(TLSEXT_hash_sha256)
937         tlsext_sigalg_ecdsa(TLSEXT_hash_sha384)
938 };
939 #endif
940 size_t tls12_get_psigalgs(SSL *s, const unsigned char **psigs)
941 {
942     /*
943      * If Suite B mode use Suite B sigalgs only, ignore any other
944      * preferences.
945      */
946 #ifndef OPENSSL_NO_EC
947     switch (tls1_suiteb(s)) {
948     case SSL_CERT_FLAG_SUITEB_128_LOS:
949         *psigs = suiteb_sigalgs;
950         return sizeof(suiteb_sigalgs);
951
952     case SSL_CERT_FLAG_SUITEB_128_LOS_ONLY:
953         *psigs = suiteb_sigalgs;
954         return 2;
955
956     case SSL_CERT_FLAG_SUITEB_192_LOS:
957         *psigs = suiteb_sigalgs + 2;
958         return 2;
959     }
960 #endif
961     /* If server use client authentication sigalgs if not NULL */
962     if (s->server && s->cert->client_sigalgs) {
963         *psigs = s->cert->client_sigalgs;
964         return s->cert->client_sigalgslen;
965     } else if (s->cert->conf_sigalgs) {
966         *psigs = s->cert->conf_sigalgs;
967         return s->cert->conf_sigalgslen;
968     } else {
969         *psigs = tls12_sigalgs;
970         return sizeof(tls12_sigalgs);
971     }
972 }
973
974 /*
975  * Check signature algorithm is consistent with sent supported signature
976  * algorithms and if so return relevant digest.
977  */
978 int tls12_check_peer_sigalg(const EVP_MD **pmd, SSL *s,
979                             const unsigned char *sig, EVP_PKEY *pkey)
980 {
981     const unsigned char *sent_sigs;
982     size_t sent_sigslen, i;
983     int sigalg = tls12_get_sigid(pkey);
984     /* Should never happen */
985     if (sigalg == -1)
986         return -1;
987     /* Check key type is consistent with signature */
988     if (sigalg != (int)sig[1]) {
989         SSLerr(SSL_F_TLS12_CHECK_PEER_SIGALG, SSL_R_WRONG_SIGNATURE_TYPE);
990         return 0;
991     }
992 #ifndef OPENSSL_NO_EC
993     if (pkey->type == EVP_PKEY_EC) {
994         unsigned char curve_id[2], comp_id;
995         /* Check compression and curve matches extensions */
996         if (!tls1_set_ec_id(curve_id, &comp_id, pkey->pkey.ec))
997             return 0;
998         if (!s->server && !tls1_check_ec_key(s, curve_id, &comp_id)) {
999             SSLerr(SSL_F_TLS12_CHECK_PEER_SIGALG, SSL_R_WRONG_CURVE);
1000             return 0;
1001         }
1002         /* If Suite B only P-384+SHA384 or P-256+SHA-256 allowed */
1003         if (tls1_suiteb(s)) {
1004             if (curve_id[0])
1005                 return 0;
1006             if (curve_id[1] == TLSEXT_curve_P_256) {
1007                 if (sig[0] != TLSEXT_hash_sha256) {
1008                     SSLerr(SSL_F_TLS12_CHECK_PEER_SIGALG,
1009                            SSL_R_ILLEGAL_SUITEB_DIGEST);
1010                     return 0;
1011                 }
1012             } else if (curve_id[1] == TLSEXT_curve_P_384) {
1013                 if (sig[0] != TLSEXT_hash_sha384) {
1014                     SSLerr(SSL_F_TLS12_CHECK_PEER_SIGALG,
1015                            SSL_R_ILLEGAL_SUITEB_DIGEST);
1016                     return 0;
1017                 }
1018             } else
1019                 return 0;
1020         }
1021     } else if (tls1_suiteb(s))
1022         return 0;
1023 #endif
1024
1025     /* Check signature matches a type we sent */
1026     sent_sigslen = tls12_get_psigalgs(s, &sent_sigs);
1027     for (i = 0; i < sent_sigslen; i += 2, sent_sigs += 2) {
1028         if (sig[0] == sent_sigs[0] && sig[1] == sent_sigs[1])
1029             break;
1030     }
1031     /* Allow fallback to SHA1 if not strict mode */
1032     if (i == sent_sigslen
1033         && (sig[0] != TLSEXT_hash_sha1
1034             || s->cert->cert_flags & SSL_CERT_FLAGS_CHECK_TLS_STRICT)) {
1035         SSLerr(SSL_F_TLS12_CHECK_PEER_SIGALG, SSL_R_WRONG_SIGNATURE_TYPE);
1036         return 0;
1037     }
1038     *pmd = tls12_get_hash(sig[0]);
1039     if (*pmd == NULL) {
1040         SSLerr(SSL_F_TLS12_CHECK_PEER_SIGALG, SSL_R_UNKNOWN_DIGEST);
1041         return 0;
1042     }
1043     /* Make sure security callback allows algorithm */
1044     if (!ssl_security(s, SSL_SECOP_SIGALG_CHECK,
1045                       EVP_MD_size(*pmd) * 4, EVP_MD_type(*pmd),
1046                       (void *)sig)) {
1047         SSLerr(SSL_F_TLS12_CHECK_PEER_SIGALG, SSL_R_WRONG_SIGNATURE_TYPE);
1048         return 0;
1049     }
1050     /*
1051      * Store the digest used so applications can retrieve it if they wish.
1052      */
1053     s->s3->tmp.peer_md = *pmd;
1054     return 1;
1055 }
1056
1057 /*
1058  * Get a mask of disabled algorithms: an algorithm is disabled if it isn't
1059  * supported or doesn't appear in supported signature algorithms. Unlike
1060  * ssl_cipher_get_disabled this applies to a specific session and not global
1061  * settings.
1062  */
1063 void ssl_set_client_disabled(SSL *s)
1064 {
1065     s->s3->tmp.mask_a = 0;
1066     s->s3->tmp.mask_k = 0;
1067     /* Don't allow TLS 1.2 only ciphers if we don't suppport them */
1068     if (!SSL_CLIENT_USE_TLS1_2_CIPHERS(s))
1069         s->s3->tmp.mask_ssl = SSL_TLSV1_2;
1070     else
1071         s->s3->tmp.mask_ssl = 0;
1072     /* Disable TLS 1.0 ciphers if using SSL v3 */
1073     if (s->client_version == SSL3_VERSION)
1074         s->s3->tmp.mask_ssl |= SSL_TLSV1;
1075     ssl_set_sig_mask(&s->s3->tmp.mask_a, s, SSL_SECOP_SIGALG_MASK);
1076     /*
1077      * Disable static DH if we don't include any appropriate signature
1078      * algorithms.
1079      */
1080     if (s->s3->tmp.mask_a & SSL_aRSA)
1081         s->s3->tmp.mask_k |= SSL_kECDHr;
1082     if (s->s3->tmp.mask_a & SSL_aECDSA)
1083         s->s3->tmp.mask_k |= SSL_kECDHe;
1084 # ifndef OPENSSL_NO_PSK
1085     /* with PSK there must be client callback set */
1086     if (!s->psk_client_callback) {
1087         s->s3->tmp.mask_a |= SSL_aPSK;
1088         s->s3->tmp.mask_k |= SSL_PSK;
1089     }
1090 #endif                         /* OPENSSL_NO_PSK */
1091 #ifndef OPENSSL_NO_SRP
1092     if (!(s->srp_ctx.srp_Mask & SSL_kSRP)) {
1093         s->s3->tmp.mask_a |= SSL_aSRP;
1094         s->s3->tmp.mask_k |= SSL_kSRP;
1095     }
1096 #endif
1097 }
1098
1099 int ssl_cipher_disabled(SSL *s, const SSL_CIPHER *c, int op)
1100 {
1101     if (c->algorithm_ssl & s->s3->tmp.mask_ssl
1102         || c->algorithm_mkey & s->s3->tmp.mask_k
1103         || c->algorithm_auth & s->s3->tmp.mask_a)
1104         return 1;
1105     return !ssl_security(s, op, c->strength_bits, 0, (void *)c);
1106 }
1107
1108 static int tls_use_ticket(SSL *s)
1109 {
1110     if (s->options & SSL_OP_NO_TICKET)
1111         return 0;
1112     return ssl_security(s, SSL_SECOP_TICKET, 0, 0, NULL);
1113 }
1114
1115 unsigned char *ssl_add_clienthello_tlsext(SSL *s, unsigned char *buf,
1116                                           unsigned char *limit, int *al)
1117 {
1118     int extdatalen = 0;
1119     unsigned char *orig = buf;
1120     unsigned char *ret = buf;
1121 #ifndef OPENSSL_NO_EC
1122     /* See if we support any ECC ciphersuites */
1123     int using_ecc = 0;
1124     if (s->version >= TLS1_VERSION || SSL_IS_DTLS(s)) {
1125         int i;
1126         unsigned long alg_k, alg_a;
1127         STACK_OF(SSL_CIPHER) *cipher_stack = SSL_get_ciphers(s);
1128
1129         for (i = 0; i < sk_SSL_CIPHER_num(cipher_stack); i++) {
1130             SSL_CIPHER *c = sk_SSL_CIPHER_value(cipher_stack, i);
1131
1132             alg_k = c->algorithm_mkey;
1133             alg_a = c->algorithm_auth;
1134             if ((alg_k & (SSL_kECDHE | SSL_kECDHr | SSL_kECDHe | SSL_kECDHEPSK)
1135                  || (alg_a & SSL_aECDSA))) {
1136                 using_ecc = 1;
1137                 break;
1138             }
1139         }
1140     }
1141 #endif
1142
1143     ret += 2;
1144
1145     if (ret >= limit)
1146         return NULL;            /* this really never occurs, but ... */
1147
1148     /* Add RI if renegotiating */
1149     if (s->renegotiate) {
1150         int el;
1151
1152         if (!ssl_add_clienthello_renegotiate_ext(s, 0, &el, 0)) {
1153             SSLerr(SSL_F_SSL_ADD_CLIENTHELLO_TLSEXT, ERR_R_INTERNAL_ERROR);
1154             return NULL;
1155         }
1156
1157         if ((limit - ret - 4 - el) < 0)
1158             return NULL;
1159
1160         s2n(TLSEXT_TYPE_renegotiate, ret);
1161         s2n(el, ret);
1162
1163         if (!ssl_add_clienthello_renegotiate_ext(s, ret, &el, el)) {
1164             SSLerr(SSL_F_SSL_ADD_CLIENTHELLO_TLSEXT, ERR_R_INTERNAL_ERROR);
1165             return NULL;
1166         }
1167
1168         ret += el;
1169     }
1170     /* Only add RI for SSLv3 */
1171     if (s->client_version == SSL3_VERSION)
1172         goto done;
1173
1174     if (s->tlsext_hostname != NULL) {
1175         /* Add TLS extension servername to the Client Hello message */
1176         unsigned long size_str;
1177         long lenmax;
1178
1179         /*-
1180          * check for enough space.
1181          * 4 for the servername type and entension length
1182          * 2 for servernamelist length
1183          * 1 for the hostname type
1184          * 2 for hostname length
1185          * + hostname length
1186          */
1187
1188         if ((lenmax = limit - ret - 9) < 0
1189             || (size_str =
1190                 strlen(s->tlsext_hostname)) > (unsigned long)lenmax)
1191             return NULL;
1192
1193         /* extension type and length */
1194         s2n(TLSEXT_TYPE_server_name, ret);
1195         s2n(size_str + 5, ret);
1196
1197         /* length of servername list */
1198         s2n(size_str + 3, ret);
1199
1200         /* hostname type, length and hostname */
1201         *(ret++) = (unsigned char)TLSEXT_NAMETYPE_host_name;
1202         s2n(size_str, ret);
1203         memcpy(ret, s->tlsext_hostname, size_str);
1204         ret += size_str;
1205     }
1206 #ifndef OPENSSL_NO_SRP
1207     /* Add SRP username if there is one */
1208     if (s->srp_ctx.login != NULL) { /* Add TLS extension SRP username to the
1209                                      * Client Hello message */
1210
1211         int login_len = strlen(s->srp_ctx.login);
1212         if (login_len > 255 || login_len == 0) {
1213             SSLerr(SSL_F_SSL_ADD_CLIENTHELLO_TLSEXT, ERR_R_INTERNAL_ERROR);
1214             return NULL;
1215         }
1216
1217         /*-
1218          * check for enough space.
1219          * 4 for the srp type type and entension length
1220          * 1 for the srp user identity
1221          * + srp user identity length
1222          */
1223         if ((limit - ret - 5 - login_len) < 0)
1224             return NULL;
1225
1226         /* fill in the extension */
1227         s2n(TLSEXT_TYPE_srp, ret);
1228         s2n(login_len + 1, ret);
1229         (*ret++) = (unsigned char)login_len;
1230         memcpy(ret, s->srp_ctx.login, login_len);
1231         ret += login_len;
1232     }
1233 #endif
1234
1235 #ifndef OPENSSL_NO_EC
1236     if (using_ecc) {
1237         /*
1238          * Add TLS extension ECPointFormats to the ClientHello message
1239          */
1240         long lenmax;
1241         const unsigned char *pcurves, *pformats;
1242         size_t num_curves, num_formats, curves_list_len;
1243         size_t i;
1244         unsigned char *etmp;
1245
1246         tls1_get_formatlist(s, &pformats, &num_formats);
1247
1248         if ((lenmax = limit - ret - 5) < 0)
1249             return NULL;
1250         if (num_formats > (size_t)lenmax)
1251             return NULL;
1252         if (num_formats > 255) {
1253             SSLerr(SSL_F_SSL_ADD_CLIENTHELLO_TLSEXT, ERR_R_INTERNAL_ERROR);
1254             return NULL;
1255         }
1256
1257         s2n(TLSEXT_TYPE_ec_point_formats, ret);
1258         /* The point format list has 1-byte length. */
1259         s2n(num_formats + 1, ret);
1260         *(ret++) = (unsigned char)num_formats;
1261         memcpy(ret, pformats, num_formats);
1262         ret += num_formats;
1263
1264         /*
1265          * Add TLS extension EllipticCurves to the ClientHello message
1266          */
1267         pcurves = s->tlsext_ellipticcurvelist;
1268         if (!tls1_get_curvelist(s, 0, &pcurves, &num_curves))
1269             return NULL;
1270
1271         if ((lenmax = limit - ret - 6) < 0)
1272             return NULL;
1273         if (num_curves > (size_t)lenmax / 2)
1274             return NULL;
1275         if (num_curves > 65532 / 2) {
1276             SSLerr(SSL_F_SSL_ADD_CLIENTHELLO_TLSEXT, ERR_R_INTERNAL_ERROR);
1277             return NULL;
1278         }
1279
1280         s2n(TLSEXT_TYPE_elliptic_curves, ret);
1281         etmp = ret + 4;
1282         /* Copy curve ID if supported */
1283         for (i = 0; i < num_curves; i++, pcurves += 2) {
1284             if (tls_curve_allowed(s, pcurves, SSL_SECOP_CURVE_SUPPORTED)) {
1285                 *etmp++ = pcurves[0];
1286                 *etmp++ = pcurves[1];
1287             }
1288         }
1289
1290         curves_list_len = etmp - ret - 4;
1291
1292         s2n(curves_list_len + 2, ret);
1293         s2n(curves_list_len, ret);
1294         ret += curves_list_len;
1295     }
1296 #endif                         /* OPENSSL_NO_EC */
1297
1298     if (tls_use_ticket(s)) {
1299         int ticklen;
1300         if (!s->new_session && s->session && s->session->tlsext_tick)
1301             ticklen = s->session->tlsext_ticklen;
1302         else if (s->session && s->tlsext_session_ticket &&
1303                  s->tlsext_session_ticket->data) {
1304             ticklen = s->tlsext_session_ticket->length;
1305             s->session->tlsext_tick = OPENSSL_malloc(ticklen);
1306             if (s->session->tlsext_tick == NULL)
1307                 return NULL;
1308             memcpy(s->session->tlsext_tick,
1309                    s->tlsext_session_ticket->data, ticklen);
1310             s->session->tlsext_ticklen = ticklen;
1311         } else
1312             ticklen = 0;
1313         if (ticklen == 0 && s->tlsext_session_ticket &&
1314             s->tlsext_session_ticket->data == NULL)
1315             goto skip_ext;
1316         /*
1317          * Check for enough room 2 for extension type, 2 for len rest for
1318          * ticket
1319          */
1320         if ((long)(limit - ret - 4 - ticklen) < 0)
1321             return NULL;
1322         s2n(TLSEXT_TYPE_session_ticket, ret);
1323         s2n(ticklen, ret);
1324         if (ticklen) {
1325             memcpy(ret, s->session->tlsext_tick, ticklen);
1326             ret += ticklen;
1327         }
1328     }
1329  skip_ext:
1330
1331     if (SSL_USE_SIGALGS(s)) {
1332         size_t salglen;
1333         const unsigned char *salg;
1334         unsigned char *etmp;
1335         salglen = tls12_get_psigalgs(s, &salg);
1336         if ((size_t)(limit - ret) < salglen + 6)
1337             return NULL;
1338         s2n(TLSEXT_TYPE_signature_algorithms, ret);
1339         etmp = ret;
1340         /* Skip over lengths for now */
1341         ret += 4;
1342         salglen = tls12_copy_sigalgs(s, ret, salg, salglen);
1343         /* Fill in lengths */
1344         s2n(salglen + 2, etmp);
1345         s2n(salglen, etmp);
1346         ret += salglen;
1347     }
1348
1349     if (s->tlsext_status_type == TLSEXT_STATUSTYPE_ocsp) {
1350         int i;
1351         long extlen, idlen, itmp;
1352         OCSP_RESPID *id;
1353
1354         idlen = 0;
1355         for (i = 0; i < sk_OCSP_RESPID_num(s->tlsext_ocsp_ids); i++) {
1356             id = sk_OCSP_RESPID_value(s->tlsext_ocsp_ids, i);
1357             itmp = i2d_OCSP_RESPID(id, NULL);
1358             if (itmp <= 0)
1359                 return NULL;
1360             idlen += itmp + 2;
1361         }
1362
1363         if (s->tlsext_ocsp_exts) {
1364             extlen = i2d_X509_EXTENSIONS(s->tlsext_ocsp_exts, NULL);
1365             if (extlen < 0)
1366                 return NULL;
1367         } else
1368             extlen = 0;
1369
1370         if ((long)(limit - ret - 7 - extlen - idlen) < 0)
1371             return NULL;
1372         s2n(TLSEXT_TYPE_status_request, ret);
1373         if (extlen + idlen > 0xFFF0)
1374             return NULL;
1375         s2n(extlen + idlen + 5, ret);
1376         *(ret++) = TLSEXT_STATUSTYPE_ocsp;
1377         s2n(idlen, ret);
1378         for (i = 0; i < sk_OCSP_RESPID_num(s->tlsext_ocsp_ids); i++) {
1379             /* save position of id len */
1380             unsigned char *q = ret;
1381             id = sk_OCSP_RESPID_value(s->tlsext_ocsp_ids, i);
1382             /* skip over id len */
1383             ret += 2;
1384             itmp = i2d_OCSP_RESPID(id, &ret);
1385             /* write id len */
1386             s2n(itmp, q);
1387         }
1388         s2n(extlen, ret);
1389         if (extlen > 0)
1390             i2d_X509_EXTENSIONS(s->tlsext_ocsp_exts, &ret);
1391     }
1392 #ifndef OPENSSL_NO_HEARTBEATS
1393     /* Add Heartbeat extension */
1394     if ((limit - ret - 4 - 1) < 0)
1395         return NULL;
1396     s2n(TLSEXT_TYPE_heartbeat, ret);
1397     s2n(1, ret);
1398     /*-
1399      * Set mode:
1400      * 1: peer may send requests
1401      * 2: peer not allowed to send requests
1402      */
1403     if (s->tlsext_heartbeat & SSL_TLSEXT_HB_DONT_RECV_REQUESTS)
1404         *(ret++) = SSL_TLSEXT_HB_DONT_SEND_REQUESTS;
1405     else
1406         *(ret++) = SSL_TLSEXT_HB_ENABLED;
1407 #endif
1408
1409 #ifndef OPENSSL_NO_NEXTPROTONEG
1410     if (s->ctx->next_proto_select_cb && !s->s3->tmp.finish_md_len) {
1411         /*
1412          * The client advertises an emtpy extension to indicate its support
1413          * for Next Protocol Negotiation
1414          */
1415         if (limit - ret - 4 < 0)
1416             return NULL;
1417         s2n(TLSEXT_TYPE_next_proto_neg, ret);
1418         s2n(0, ret);
1419     }
1420 #endif
1421
1422     if (s->alpn_client_proto_list && !s->s3->tmp.finish_md_len) {
1423         if ((size_t)(limit - ret) < 6 + s->alpn_client_proto_list_len)
1424             return NULL;
1425         s2n(TLSEXT_TYPE_application_layer_protocol_negotiation, ret);
1426         s2n(2 + s->alpn_client_proto_list_len, ret);
1427         s2n(s->alpn_client_proto_list_len, ret);
1428         memcpy(ret, s->alpn_client_proto_list, s->alpn_client_proto_list_len);
1429         ret += s->alpn_client_proto_list_len;
1430     }
1431 #ifndef OPENSSL_NO_SRTP
1432     if (SSL_IS_DTLS(s) && SSL_get_srtp_profiles(s)) {
1433         int el;
1434
1435         /* Returns 0 on success!! */
1436         if (ssl_add_clienthello_use_srtp_ext(s, 0, &el, 0)) {
1437             SSLerr(SSL_F_SSL_ADD_CLIENTHELLO_TLSEXT, ERR_R_INTERNAL_ERROR);
1438             return NULL;
1439         }
1440
1441         if ((limit - ret - 4 - el) < 0)
1442             return NULL;
1443
1444         s2n(TLSEXT_TYPE_use_srtp, ret);
1445         s2n(el, ret);
1446
1447         if (ssl_add_clienthello_use_srtp_ext(s, ret, &el, el)) {
1448             SSLerr(SSL_F_SSL_ADD_CLIENTHELLO_TLSEXT, ERR_R_INTERNAL_ERROR);
1449             return NULL;
1450         }
1451         ret += el;
1452     }
1453 #endif
1454     custom_ext_init(&s->cert->cli_ext);
1455     /* Add custom TLS Extensions to ClientHello */
1456     if (!custom_ext_add(s, 0, &ret, limit, al))
1457         return NULL;
1458 #ifdef TLSEXT_TYPE_encrypt_then_mac
1459     s2n(TLSEXT_TYPE_encrypt_then_mac, ret);
1460     s2n(0, ret);
1461 #endif
1462     s2n(TLSEXT_TYPE_extended_master_secret, ret);
1463     s2n(0, ret);
1464
1465     /*
1466      * Add padding to workaround bugs in F5 terminators. See
1467      * https://tools.ietf.org/html/draft-agl-tls-padding-03 NB: because this
1468      * code works out the length of all existing extensions it MUST always
1469      * appear last.
1470      */
1471     if (s->options & SSL_OP_TLSEXT_PADDING) {
1472         int hlen = ret - (unsigned char *)s->init_buf->data;
1473
1474         if (hlen > 0xff && hlen < 0x200) {
1475             hlen = 0x200 - hlen;
1476             if (hlen >= 4)
1477                 hlen -= 4;
1478             else
1479                 hlen = 0;
1480
1481             s2n(TLSEXT_TYPE_padding, ret);
1482             s2n(hlen, ret);
1483             memset(ret, 0, hlen);
1484             ret += hlen;
1485         }
1486     }
1487
1488  done:
1489
1490     if ((extdatalen = ret - orig - 2) == 0)
1491         return orig;
1492
1493     s2n(extdatalen, orig);
1494     return ret;
1495 }
1496
1497 unsigned char *ssl_add_serverhello_tlsext(SSL *s, unsigned char *buf,
1498                                           unsigned char *limit, int *al)
1499 {
1500     int extdatalen = 0;
1501     unsigned char *orig = buf;
1502     unsigned char *ret = buf;
1503 #ifndef OPENSSL_NO_NEXTPROTONEG
1504     int next_proto_neg_seen;
1505 #endif
1506 #ifndef OPENSSL_NO_EC
1507     unsigned long alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
1508     unsigned long alg_a = s->s3->tmp.new_cipher->algorithm_auth;
1509     int using_ecc = (alg_k & (SSL_kECDHE | SSL_kECDHr | SSL_kECDHe))
1510         || (alg_a & SSL_aECDSA);
1511     using_ecc = using_ecc && (s->session->tlsext_ecpointformatlist != NULL);
1512 #endif
1513
1514     ret += 2;
1515     if (ret >= limit)
1516         return NULL;            /* this really never occurs, but ... */
1517
1518     if (s->s3->send_connection_binding) {
1519         int el;
1520
1521         if (!ssl_add_serverhello_renegotiate_ext(s, 0, &el, 0)) {
1522             SSLerr(SSL_F_SSL_ADD_SERVERHELLO_TLSEXT, ERR_R_INTERNAL_ERROR);
1523             return NULL;
1524         }
1525
1526         if ((limit - ret - 4 - el) < 0)
1527             return NULL;
1528
1529         s2n(TLSEXT_TYPE_renegotiate, ret);
1530         s2n(el, ret);
1531
1532         if (!ssl_add_serverhello_renegotiate_ext(s, ret, &el, el)) {
1533             SSLerr(SSL_F_SSL_ADD_SERVERHELLO_TLSEXT, ERR_R_INTERNAL_ERROR);
1534             return NULL;
1535         }
1536
1537         ret += el;
1538     }
1539
1540     /* Only add RI for SSLv3 */
1541     if (s->version == SSL3_VERSION)
1542         goto done;
1543
1544     if (!s->hit && s->servername_done == 1
1545         && s->session->tlsext_hostname != NULL) {
1546         if ((long)(limit - ret - 4) < 0)
1547             return NULL;
1548
1549         s2n(TLSEXT_TYPE_server_name, ret);
1550         s2n(0, ret);
1551     }
1552 #ifndef OPENSSL_NO_EC
1553     if (using_ecc) {
1554         const unsigned char *plist;
1555         size_t plistlen;
1556         /*
1557          * Add TLS extension ECPointFormats to the ServerHello message
1558          */
1559         long lenmax;
1560
1561         tls1_get_formatlist(s, &plist, &plistlen);
1562
1563         if ((lenmax = limit - ret - 5) < 0)
1564             return NULL;
1565         if (plistlen > (size_t)lenmax)
1566             return NULL;
1567         if (plistlen > 255) {
1568             SSLerr(SSL_F_SSL_ADD_SERVERHELLO_TLSEXT, ERR_R_INTERNAL_ERROR);
1569             return NULL;
1570         }
1571
1572         s2n(TLSEXT_TYPE_ec_point_formats, ret);
1573         s2n(plistlen + 1, ret);
1574         *(ret++) = (unsigned char)plistlen;
1575         memcpy(ret, plist, plistlen);
1576         ret += plistlen;
1577
1578     }
1579     /*
1580      * Currently the server should not respond with a SupportedCurves
1581      * extension
1582      */
1583 #endif                         /* OPENSSL_NO_EC */
1584
1585     if (s->tlsext_ticket_expected && tls_use_ticket(s)) {
1586         if ((long)(limit - ret - 4) < 0)
1587             return NULL;
1588         s2n(TLSEXT_TYPE_session_ticket, ret);
1589         s2n(0, ret);
1590     }
1591
1592     if (s->tlsext_status_expected) {
1593         if ((long)(limit - ret - 4) < 0)
1594             return NULL;
1595         s2n(TLSEXT_TYPE_status_request, ret);
1596         s2n(0, ret);
1597     }
1598
1599 #ifndef OPENSSL_NO_SRTP
1600     if (SSL_IS_DTLS(s) && s->srtp_profile) {
1601         int el;
1602
1603         /* Returns 0 on success!! */
1604         if (ssl_add_serverhello_use_srtp_ext(s, 0, &el, 0)) {
1605             SSLerr(SSL_F_SSL_ADD_SERVERHELLO_TLSEXT, ERR_R_INTERNAL_ERROR);
1606             return NULL;
1607         }
1608         if ((limit - ret - 4 - el) < 0)
1609             return NULL;
1610
1611         s2n(TLSEXT_TYPE_use_srtp, ret);
1612         s2n(el, ret);
1613
1614         if (ssl_add_serverhello_use_srtp_ext(s, ret, &el, el)) {
1615             SSLerr(SSL_F_SSL_ADD_SERVERHELLO_TLSEXT, ERR_R_INTERNAL_ERROR);
1616             return NULL;
1617         }
1618         ret += el;
1619     }
1620 #endif
1621
1622     if (((s->s3->tmp.new_cipher->id & 0xFFFF) == 0x80
1623          || (s->s3->tmp.new_cipher->id & 0xFFFF) == 0x81)
1624         && (SSL_get_options(s) & SSL_OP_CRYPTOPRO_TLSEXT_BUG)) {
1625         const unsigned char cryptopro_ext[36] = {
1626             0xfd, 0xe8,         /* 65000 */
1627             0x00, 0x20,         /* 32 bytes length */
1628             0x30, 0x1e, 0x30, 0x08, 0x06, 0x06, 0x2a, 0x85,
1629             0x03, 0x02, 0x02, 0x09, 0x30, 0x08, 0x06, 0x06,
1630             0x2a, 0x85, 0x03, 0x02, 0x02, 0x16, 0x30, 0x08,
1631             0x06, 0x06, 0x2a, 0x85, 0x03, 0x02, 0x02, 0x17
1632         };
1633         if (limit - ret < 36)
1634             return NULL;
1635         memcpy(ret, cryptopro_ext, 36);
1636         ret += 36;
1637
1638     }
1639 #ifndef OPENSSL_NO_HEARTBEATS
1640     /* Add Heartbeat extension if we've received one */
1641     if (s->tlsext_heartbeat & SSL_TLSEXT_HB_ENABLED) {
1642         if ((limit - ret - 4 - 1) < 0)
1643             return NULL;
1644         s2n(TLSEXT_TYPE_heartbeat, ret);
1645         s2n(1, ret);
1646         /*-
1647          * Set mode:
1648          * 1: peer may send requests
1649          * 2: peer not allowed to send requests
1650          */
1651         if (s->tlsext_heartbeat & SSL_TLSEXT_HB_DONT_RECV_REQUESTS)
1652             *(ret++) = SSL_TLSEXT_HB_DONT_SEND_REQUESTS;
1653         else
1654             *(ret++) = SSL_TLSEXT_HB_ENABLED;
1655
1656     }
1657 #endif
1658
1659 #ifndef OPENSSL_NO_NEXTPROTONEG
1660     next_proto_neg_seen = s->s3->next_proto_neg_seen;
1661     s->s3->next_proto_neg_seen = 0;
1662     if (next_proto_neg_seen && s->ctx->next_protos_advertised_cb) {
1663         const unsigned char *npa;
1664         unsigned int npalen;
1665         int r;
1666
1667         r = s->ctx->next_protos_advertised_cb(s, &npa, &npalen,
1668                                               s->
1669                                               ctx->next_protos_advertised_cb_arg);
1670         if (r == SSL_TLSEXT_ERR_OK) {
1671             if ((long)(limit - ret - 4 - npalen) < 0)
1672                 return NULL;
1673             s2n(TLSEXT_TYPE_next_proto_neg, ret);
1674             s2n(npalen, ret);
1675             memcpy(ret, npa, npalen);
1676             ret += npalen;
1677             s->s3->next_proto_neg_seen = 1;
1678         }
1679     }
1680 #endif
1681     if (!custom_ext_add(s, 1, &ret, limit, al))
1682         return NULL;
1683 #ifdef TLSEXT_TYPE_encrypt_then_mac
1684     if (s->s3->flags & TLS1_FLAGS_ENCRYPT_THEN_MAC) {
1685         /*
1686          * Don't use encrypt_then_mac if AEAD or RC4 might want to disable
1687          * for other cases too.
1688          */
1689         if (s->s3->tmp.new_cipher->algorithm_mac == SSL_AEAD
1690             || s->s3->tmp.new_cipher->algorithm_enc == SSL_RC4
1691             || s->s3->tmp.new_cipher->algorithm_enc == SSL_eGOST2814789CNT
1692             || s->s3->tmp.new_cipher->algorithm_enc == SSL_eGOST2814789CNT12)
1693             s->s3->flags &= ~TLS1_FLAGS_ENCRYPT_THEN_MAC;
1694         else {
1695             s2n(TLSEXT_TYPE_encrypt_then_mac, ret);
1696             s2n(0, ret);
1697         }
1698     }
1699 #endif
1700     if (s->s3->flags & TLS1_FLAGS_RECEIVED_EXTMS) {
1701         s2n(TLSEXT_TYPE_extended_master_secret, ret);
1702         s2n(0, ret);
1703     }
1704
1705     if (s->s3->alpn_selected) {
1706         const unsigned char *selected = s->s3->alpn_selected;
1707         unsigned len = s->s3->alpn_selected_len;
1708
1709         if ((long)(limit - ret - 4 - 2 - 1 - len) < 0)
1710             return NULL;
1711         s2n(TLSEXT_TYPE_application_layer_protocol_negotiation, ret);
1712         s2n(3 + len, ret);
1713         s2n(1 + len, ret);
1714         *ret++ = len;
1715         memcpy(ret, selected, len);
1716         ret += len;
1717     }
1718
1719  done:
1720
1721     if ((extdatalen = ret - orig - 2) == 0)
1722         return orig;
1723
1724     s2n(extdatalen, orig);
1725     return ret;
1726 }
1727
1728 /*
1729  * tls1_alpn_handle_client_hello is called to process the ALPN extension in a
1730  * ClientHello.  data: the contents of the extension, not including the type
1731  * and length.  data_len: the number of bytes in |data| al: a pointer to the
1732  * alert value to send in the event of a non-zero return.  returns: 0 on
1733  * success.
1734  */
1735 static int tls1_alpn_handle_client_hello(SSL *s, PACKET *pkt, int *al)
1736 {
1737     unsigned int data_len;
1738     unsigned int proto_len;
1739     const unsigned char *selected;
1740     unsigned char *data;
1741     unsigned char selected_len;
1742     int r;
1743
1744     if (s->ctx->alpn_select_cb == NULL)
1745         return 0;
1746
1747     /*
1748      * data should contain a uint16 length followed by a series of 8-bit,
1749      * length-prefixed strings.
1750      */
1751     if (!PACKET_get_net_2(pkt, &data_len)
1752             || PACKET_remaining(pkt) != data_len
1753             || !PACKET_peek_bytes(pkt, &data, data_len))
1754         goto parse_error;
1755
1756     do {
1757         if (!PACKET_get_1(pkt, &proto_len)
1758                 || proto_len == 0
1759                 || !PACKET_forward(pkt, proto_len))
1760             goto parse_error;
1761     } while (PACKET_remaining(pkt));
1762
1763     r = s->ctx->alpn_select_cb(s, &selected, &selected_len, data, data_len,
1764                                s->ctx->alpn_select_cb_arg);
1765     if (r == SSL_TLSEXT_ERR_OK) {
1766         OPENSSL_free(s->s3->alpn_selected);
1767         s->s3->alpn_selected = OPENSSL_malloc(selected_len);
1768         if (s->s3->alpn_selected == NULL) {
1769             *al = SSL_AD_INTERNAL_ERROR;
1770             return -1;
1771         }
1772         memcpy(s->s3->alpn_selected, selected, selected_len);
1773         s->s3->alpn_selected_len = selected_len;
1774     }
1775     return 0;
1776
1777  parse_error:
1778     *al = SSL_AD_DECODE_ERROR;
1779     return -1;
1780 }
1781
1782 #ifndef OPENSSL_NO_EC
1783 /*-
1784  * ssl_check_for_safari attempts to fingerprint Safari using OS X
1785  * SecureTransport using the TLS extension block in |d|, of length |n|.
1786  * Safari, since 10.6, sends exactly these extensions, in this order:
1787  *   SNI,
1788  *   elliptic_curves
1789  *   ec_point_formats
1790  *
1791  * We wish to fingerprint Safari because they broke ECDHE-ECDSA support in 10.8,
1792  * but they advertise support. So enabling ECDHE-ECDSA ciphers breaks them.
1793  * Sadly we cannot differentiate 10.6, 10.7 and 10.8.4 (which work), from
1794  * 10.8..10.8.3 (which don't work).
1795  */
1796 static void ssl_check_for_safari(SSL *s, const PACKET *pkt)
1797 {
1798     unsigned int type, size;
1799     unsigned char *eblock1, *eblock2;
1800     PACKET tmppkt;
1801
1802     static const unsigned char kSafariExtensionsBlock[] = {
1803         0x00, 0x0a,             /* elliptic_curves extension */
1804         0x00, 0x08,             /* 8 bytes */
1805         0x00, 0x06,             /* 6 bytes of curve ids */
1806         0x00, 0x17,             /* P-256 */
1807         0x00, 0x18,             /* P-384 */
1808         0x00, 0x19,             /* P-521 */
1809
1810         0x00, 0x0b,             /* ec_point_formats */
1811         0x00, 0x02,             /* 2 bytes */
1812         0x01,                   /* 1 point format */
1813         0x00,                   /* uncompressed */
1814     };
1815
1816     /* The following is only present in TLS 1.2 */
1817     static const unsigned char kSafariTLS12ExtensionsBlock[] = {
1818         0x00, 0x0d,             /* signature_algorithms */
1819         0x00, 0x0c,             /* 12 bytes */
1820         0x00, 0x0a,             /* 10 bytes */
1821         0x05, 0x01,             /* SHA-384/RSA */
1822         0x04, 0x01,             /* SHA-256/RSA */
1823         0x02, 0x01,             /* SHA-1/RSA */
1824         0x04, 0x03,             /* SHA-256/ECDSA */
1825         0x02, 0x03,             /* SHA-1/ECDSA */
1826     };
1827
1828     tmppkt = *pkt;
1829
1830     if (!PACKET_forward(&tmppkt, 2)
1831             || !PACKET_get_net_2(&tmppkt, &type)
1832             || !PACKET_get_net_2(&tmppkt, &size)
1833             || !PACKET_forward(&tmppkt, size))
1834         return;
1835
1836     if (type != TLSEXT_TYPE_server_name)
1837         return;
1838
1839     if (TLS1_get_client_version(s) >= TLS1_2_VERSION) {
1840         const size_t len1 = sizeof(kSafariExtensionsBlock);
1841         const size_t len2 = sizeof(kSafariTLS12ExtensionsBlock);
1842
1843         if (!PACKET_get_bytes(&tmppkt, &eblock1, len1)
1844                 || !PACKET_get_bytes(&tmppkt, &eblock2, len2)
1845                 || PACKET_remaining(&tmppkt))
1846             return;
1847         if (memcmp(eblock1, kSafariExtensionsBlock, len1) != 0)
1848             return;
1849         if (memcmp(eblock2, kSafariTLS12ExtensionsBlock, len2) != 0)
1850             return;
1851     } else {
1852         const size_t len = sizeof(kSafariExtensionsBlock);
1853
1854         if (!PACKET_get_bytes(&tmppkt, &eblock1, len)
1855                 || PACKET_remaining(&tmppkt))
1856             return;
1857         if (memcmp(eblock1, kSafariExtensionsBlock, len) != 0)
1858             return;
1859     }
1860
1861     s->s3->is_probably_safari = 1;
1862 }
1863 #endif                         /* !OPENSSL_NO_EC */
1864
1865 static int ssl_scan_clienthello_tlsext(SSL *s, PACKET *pkt, int *al)
1866 {
1867     unsigned int type;
1868     unsigned int size;
1869     unsigned int len;
1870     unsigned char *data;
1871     int renegotiate_seen = 0;
1872
1873     s->servername_done = 0;
1874     s->tlsext_status_type = -1;
1875 #ifndef OPENSSL_NO_NEXTPROTONEG
1876     s->s3->next_proto_neg_seen = 0;
1877 #endif
1878
1879     OPENSSL_free(s->s3->alpn_selected);
1880     s->s3->alpn_selected = NULL;
1881 #ifndef OPENSSL_NO_HEARTBEATS
1882     s->tlsext_heartbeat &= ~(SSL_TLSEXT_HB_ENABLED |
1883                              SSL_TLSEXT_HB_DONT_SEND_REQUESTS);
1884 #endif
1885
1886 #ifndef OPENSSL_NO_EC
1887     if (s->options & SSL_OP_SAFARI_ECDHE_ECDSA_BUG)
1888         ssl_check_for_safari(s, pkt);
1889 # endif /* !OPENSSL_NO_EC */
1890
1891     /* Clear any signature algorithms extension received */
1892     OPENSSL_free(s->s3->tmp.peer_sigalgs);
1893     s->s3->tmp.peer_sigalgs = NULL;
1894 #ifdef TLSEXT_TYPE_encrypt_then_mac
1895     s->s3->flags &= ~TLS1_FLAGS_ENCRYPT_THEN_MAC;
1896 #endif
1897
1898 #ifndef OPENSSL_NO_SRP
1899     OPENSSL_free(s->srp_ctx.login);
1900     s->srp_ctx.login = NULL;
1901 #endif
1902
1903     s->srtp_profile = NULL;
1904
1905     if (PACKET_remaining(pkt) == 0)
1906         goto ri_check;
1907
1908     if (!PACKET_get_net_2(pkt, &len))
1909         goto err;
1910
1911     if (PACKET_remaining(pkt) != len)
1912         goto err;
1913
1914     while (PACKET_get_net_2(pkt, &type) && PACKET_get_net_2(pkt, &size)) {
1915         PACKET subpkt;
1916
1917         if (!PACKET_peek_bytes(pkt, &data, size))
1918             goto err;
1919
1920         if (s->tlsext_debug_cb)
1921             s->tlsext_debug_cb(s, 0, type, data, size, s->tlsext_debug_arg);
1922
1923         if (!PACKET_get_sub_packet(pkt, &subpkt, size))
1924             goto err;
1925
1926         if (type == TLSEXT_TYPE_renegotiate) {
1927             if (!ssl_parse_clienthello_renegotiate_ext(s, &subpkt, al))
1928                 return 0;
1929             renegotiate_seen = 1;
1930         } else if (s->version == SSL3_VERSION) {
1931         }
1932 /*-
1933  * The servername extension is treated as follows:
1934  *
1935  * - Only the hostname type is supported with a maximum length of 255.
1936  * - The servername is rejected if too long or if it contains zeros,
1937  *   in which case an fatal alert is generated.
1938  * - The servername field is maintained together with the session cache.
1939  * - When a session is resumed, the servername call back invoked in order
1940  *   to allow the application to position itself to the right context.
1941  * - The servername is acknowledged if it is new for a session or when
1942  *   it is identical to a previously used for the same session.
1943  *   Applications can control the behaviour.  They can at any time
1944  *   set a 'desirable' servername for a new SSL object. This can be the
1945  *   case for example with HTTPS when a Host: header field is received and
1946  *   a renegotiation is requested. In this case, a possible servername
1947  *   presented in the new client hello is only acknowledged if it matches
1948  *   the value of the Host: field.
1949  * - Applications must  use SSL_OP_NO_SESSION_RESUMPTION_ON_RENEGOTIATION
1950  *   if they provide for changing an explicit servername context for the
1951  *   session, i.e. when the session has been established with a servername
1952  *   extension.
1953  * - On session reconnect, the servername extension may be absent.
1954  *
1955  */
1956
1957         else if (type == TLSEXT_TYPE_server_name) {
1958             unsigned char *sdata;
1959             unsigned int servname_type;
1960             unsigned int dsize;
1961             PACKET ssubpkt;
1962
1963             if (!PACKET_get_net_2(&subpkt, &dsize)
1964                     || !PACKET_get_sub_packet(&subpkt, &ssubpkt, dsize))
1965                 goto err;
1966
1967             while (PACKET_remaining(&ssubpkt) > 3) {
1968                 if (!PACKET_get_1(&ssubpkt, &servname_type)
1969                         || !PACKET_get_net_2(&ssubpkt, &len)
1970                         || PACKET_remaining(&ssubpkt) < len)
1971                     goto err;
1972
1973                 if (s->servername_done == 0)
1974                     switch (servname_type) {
1975                     case TLSEXT_NAMETYPE_host_name:
1976                         if (!s->hit) {
1977                             if (s->session->tlsext_hostname)
1978                                 goto err;
1979
1980                             if (len > TLSEXT_MAXLEN_host_name) {
1981                                 *al = TLS1_AD_UNRECOGNIZED_NAME;
1982                                 return 0;
1983                             }
1984                             if ((s->session->tlsext_hostname =
1985                                  OPENSSL_malloc(len + 1)) == NULL) {
1986                                 *al = TLS1_AD_INTERNAL_ERROR;
1987                                 return 0;
1988                             }
1989                             if (!PACKET_copy_bytes(&ssubpkt,
1990                                     (unsigned char *)s->session
1991                                         ->tlsext_hostname,
1992                                     len)) {
1993                                 *al = SSL_AD_DECODE_ERROR;
1994                                 return 0;
1995                             }
1996                             s->session->tlsext_hostname[len] = '\0';
1997                             if (strlen(s->session->tlsext_hostname) != len) {
1998                                 OPENSSL_free(s->session->tlsext_hostname);
1999                                 s->session->tlsext_hostname = NULL;
2000                                 *al = TLS1_AD_UNRECOGNIZED_NAME;
2001                                 return 0;
2002                             }
2003                             s->servername_done = 1;
2004
2005                         } else {
2006                             if (!PACKET_get_bytes(&ssubpkt, &sdata, len)) {
2007                                 *al = SSL_AD_DECODE_ERROR;
2008                                 return 0;
2009                             }
2010                             s->servername_done = s->session->tlsext_hostname
2011                                 && strlen(s->session->tlsext_hostname) == len
2012                                 && strncmp(s->session->tlsext_hostname,
2013                                            (char *)sdata, len) == 0;
2014                         }
2015
2016                         break;
2017
2018                     default:
2019                         break;
2020                     }
2021             }
2022             /* We shouldn't have any bytes left */
2023             if (PACKET_remaining(&ssubpkt) != 0)
2024                 goto err;
2025
2026         }
2027 #ifndef OPENSSL_NO_SRP
2028         else if (type == TLSEXT_TYPE_srp) {
2029             if (!PACKET_get_1(&subpkt, &len)
2030                     || s->srp_ctx.login != NULL)
2031                 goto err;
2032
2033             if ((s->srp_ctx.login = OPENSSL_malloc(len + 1)) == NULL)
2034                 return -1;
2035             if (!PACKET_copy_bytes(&subpkt, (unsigned char *)s->srp_ctx.login,
2036                                    len))
2037                 goto err;
2038             s->srp_ctx.login[len] = '\0';
2039
2040             if (strlen(s->srp_ctx.login) != len
2041                     || PACKET_remaining(&subpkt))
2042                 goto err;
2043         }
2044 #endif
2045
2046 #ifndef OPENSSL_NO_EC
2047         else if (type == TLSEXT_TYPE_ec_point_formats) {
2048             unsigned int ecpointformatlist_length;
2049
2050             if (!PACKET_get_1(&subpkt, &ecpointformatlist_length)
2051                     || ecpointformatlist_length == 0)
2052                 goto err;
2053
2054             if (!s->hit) {
2055                 OPENSSL_free(s->session->tlsext_ecpointformatlist);
2056                 s->session->tlsext_ecpointformatlist = NULL;
2057                 s->session->tlsext_ecpointformatlist_length = 0;
2058                 if ((s->session->tlsext_ecpointformatlist =
2059                      OPENSSL_malloc(ecpointformatlist_length)) == NULL) {
2060                     *al = TLS1_AD_INTERNAL_ERROR;
2061                     return 0;
2062                 }
2063                 s->session->tlsext_ecpointformatlist_length =
2064                     ecpointformatlist_length;
2065                 if (!PACKET_copy_bytes(&subpkt,
2066                         s->session->tlsext_ecpointformatlist,
2067                         ecpointformatlist_length))
2068                     goto err;
2069             } else if (!PACKET_forward(&subpkt, ecpointformatlist_length)) {
2070                 goto err;
2071             }
2072             /* We should have consumed all the bytes by now */
2073             if (PACKET_remaining(&subpkt)) {
2074                 *al = TLS1_AD_DECODE_ERROR;
2075                 return 0;
2076             }
2077         } else if (type == TLSEXT_TYPE_elliptic_curves) {
2078             unsigned int ellipticcurvelist_length;
2079
2080             /* Each NamedCurve is 2 bytes and we must have at least 1 */
2081             if (!PACKET_get_net_2(&subpkt, &ellipticcurvelist_length)
2082                     || ellipticcurvelist_length == 0
2083                     || (ellipticcurvelist_length & 1) != 0)
2084                 goto err;
2085
2086             if (!s->hit) {
2087                 if (s->session->tlsext_ellipticcurvelist)
2088                     goto err;
2089
2090                 s->session->tlsext_ellipticcurvelist_length = 0;
2091                 if ((s->session->tlsext_ellipticcurvelist =
2092                      OPENSSL_malloc(ellipticcurvelist_length)) == NULL) {
2093                     *al = TLS1_AD_INTERNAL_ERROR;
2094                     return 0;
2095                 }
2096                 s->session->tlsext_ellipticcurvelist_length =
2097                     ellipticcurvelist_length;
2098                 if (!PACKET_copy_bytes(&subpkt,
2099                         s->session->tlsext_ellipticcurvelist,
2100                         ellipticcurvelist_length))
2101                     goto err;
2102             } else if (!PACKET_forward(&subpkt, ellipticcurvelist_length)) {
2103                 goto err;
2104             }
2105             /* We should have consumed all the bytes by now */
2106             if (PACKET_remaining(&subpkt)) {
2107                 goto err;
2108             }
2109         }
2110 #endif                         /* OPENSSL_NO_EC */
2111         else if (type == TLSEXT_TYPE_session_ticket) {
2112             if (!PACKET_forward(&subpkt, size)
2113                 || (s->tls_session_ticket_ext_cb &&
2114                     !s->tls_session_ticket_ext_cb(s, data, size,
2115                                         s->tls_session_ticket_ext_cb_arg))) {
2116                 *al = TLS1_AD_INTERNAL_ERROR;
2117                 return 0;
2118             }
2119         } else if (type == TLSEXT_TYPE_signature_algorithms) {
2120             unsigned int dsize;
2121
2122             if (s->s3->tmp.peer_sigalgs
2123                     || !PACKET_get_net_2(&subpkt, &dsize)
2124                     || (dsize & 1) != 0
2125                     || (dsize == 0)
2126                     || !PACKET_get_bytes(&subpkt, &data, dsize)
2127                     || PACKET_remaining(&subpkt) != 0
2128                     || !tls1_save_sigalgs(s, data, dsize)) {
2129                 goto err;
2130             }
2131         } else if (type == TLSEXT_TYPE_status_request) {
2132             PACKET ssubpkt;
2133
2134             if (!PACKET_get_1(&subpkt,
2135                               (unsigned int *)&s->tlsext_status_type))
2136                 goto err;
2137
2138             if (s->tlsext_status_type == TLSEXT_STATUSTYPE_ocsp) {
2139                 const unsigned char *sdata;
2140                 unsigned int dsize;
2141                 /* Read in responder_id_list */
2142                 if (!PACKET_get_net_2(&subpkt, &dsize)
2143                         || !PACKET_get_sub_packet(&subpkt, &ssubpkt, dsize))
2144                     goto err;
2145
2146                 while (PACKET_remaining(&ssubpkt)) {
2147                     OCSP_RESPID *id;
2148                     unsigned int idsize;
2149
2150                     if (PACKET_remaining(&ssubpkt) < 4
2151                             || !PACKET_get_net_2(&ssubpkt, &idsize)
2152                             || !PACKET_get_bytes(&ssubpkt, &data, idsize)) {
2153                         goto err;
2154                     }
2155                     sdata = data;
2156                     data += idsize;
2157                     id = d2i_OCSP_RESPID(NULL, &sdata, idsize);
2158                     if (!id)
2159                         goto err;
2160                     if (data != sdata) {
2161                         OCSP_RESPID_free(id);
2162                         goto err;
2163                     }
2164                     if (!s->tlsext_ocsp_ids
2165                         && !(s->tlsext_ocsp_ids =
2166                              sk_OCSP_RESPID_new_null())) {
2167                         OCSP_RESPID_free(id);
2168                         *al = SSL_AD_INTERNAL_ERROR;
2169                         return 0;
2170                     }
2171                     if (!sk_OCSP_RESPID_push(s->tlsext_ocsp_ids, id)) {
2172                         OCSP_RESPID_free(id);
2173                         *al = SSL_AD_INTERNAL_ERROR;
2174                         return 0;
2175                     }
2176                 }
2177
2178                 /* Read in request_extensions */
2179                 if (!PACKET_get_net_2(&subpkt, &dsize)
2180                         || !PACKET_get_bytes(&subpkt, &data, dsize)
2181                         || PACKET_remaining(&subpkt)) {
2182                     goto err;
2183                 }
2184                 sdata = data;
2185                 if (dsize > 0) {
2186                     sk_X509_EXTENSION_pop_free(s->tlsext_ocsp_exts,
2187                                                X509_EXTENSION_free);
2188                     s->tlsext_ocsp_exts =
2189                         d2i_X509_EXTENSIONS(NULL, &sdata, dsize);
2190                     if (!s->tlsext_ocsp_exts || (data + dsize != sdata))
2191                         goto err;
2192                 }
2193             }
2194             /*
2195              * We don't know what to do with any other type * so ignore it.
2196              */
2197             else
2198                 s->tlsext_status_type = -1;
2199         }
2200 #ifndef OPENSSL_NO_HEARTBEATS
2201         else if (type == TLSEXT_TYPE_heartbeat) {
2202             unsigned int hbtype;
2203
2204             if (!PACKET_get_1(&subpkt, &hbtype)
2205                     || PACKET_remaining(&subpkt)) {
2206                 *al = SSL_AD_DECODE_ERROR;
2207                 return 0;
2208             }
2209             switch (hbtype) {
2210             case 0x01:         /* Client allows us to send HB requests */
2211                 s->tlsext_heartbeat |= SSL_TLSEXT_HB_ENABLED;
2212                 break;
2213             case 0x02:         /* Client doesn't accept HB requests */
2214                 s->tlsext_heartbeat |= SSL_TLSEXT_HB_ENABLED;
2215                 s->tlsext_heartbeat |= SSL_TLSEXT_HB_DONT_SEND_REQUESTS;
2216                 break;
2217             default:
2218                 *al = SSL_AD_ILLEGAL_PARAMETER;
2219                 return 0;
2220             }
2221         }
2222 #endif
2223 #ifndef OPENSSL_NO_NEXTPROTONEG
2224         else if (type == TLSEXT_TYPE_next_proto_neg &&
2225                  s->s3->tmp.finish_md_len == 0 &&
2226                  s->s3->alpn_selected == NULL) {
2227             /*-
2228              * We shouldn't accept this extension on a
2229              * renegotiation.
2230              *
2231              * s->new_session will be set on renegotiation, but we
2232              * probably shouldn't rely that it couldn't be set on
2233              * the initial renegotation too in certain cases (when
2234              * there's some other reason to disallow resuming an
2235              * earlier session -- the current code won't be doing
2236              * anything like that, but this might change).
2237              *
2238              * A valid sign that there's been a previous handshake
2239              * in this connection is if s->s3->tmp.finish_md_len >
2240              * 0.  (We are talking about a check that will happen
2241              * in the Hello protocol round, well before a new
2242              * Finished message could have been computed.)
2243              */
2244             s->s3->next_proto_neg_seen = 1;
2245         }
2246 #endif
2247
2248         else if (type == TLSEXT_TYPE_application_layer_protocol_negotiation &&
2249                  s->ctx->alpn_select_cb && s->s3->tmp.finish_md_len == 0) {
2250             if (tls1_alpn_handle_client_hello(s, &subpkt, al) != 0)
2251                 return 0;
2252 #ifndef OPENSSL_NO_NEXTPROTONEG
2253             /* ALPN takes precedence over NPN. */
2254             s->s3->next_proto_neg_seen = 0;
2255 #endif
2256         }
2257
2258         /* session ticket processed earlier */
2259 #ifndef OPENSSL_NO_SRTP
2260         else if (SSL_IS_DTLS(s) && SSL_get_srtp_profiles(s)
2261                  && type == TLSEXT_TYPE_use_srtp) {
2262             if (ssl_parse_clienthello_use_srtp_ext(s, &subpkt, al))
2263                 return 0;
2264         }
2265 #endif
2266 #ifdef TLSEXT_TYPE_encrypt_then_mac
2267         else if (type == TLSEXT_TYPE_encrypt_then_mac)
2268             s->s3->flags |= TLS1_FLAGS_ENCRYPT_THEN_MAC;
2269 #endif
2270         /*
2271          * Note: extended master secret extension handled in
2272          * tls_check_serverhello_tlsext_early()
2273          */
2274
2275         /*
2276          * If this ClientHello extension was unhandled and this is a
2277          * nonresumed connection, check whether the extension is a custom
2278          * TLS Extension (has a custom_srv_ext_record), and if so call the
2279          * callback and record the extension number so that an appropriate
2280          * ServerHello may be later returned.
2281          */
2282         else if (!s->hit) {
2283             if (custom_ext_parse(s, 1, type, data, size, al) <= 0)
2284                 return 0;
2285         }
2286     }
2287
2288     /* Spurious data on the end */
2289     if (PACKET_remaining(pkt) != 0)
2290         goto err;
2291
2292  ri_check:
2293
2294     /* Need RI if renegotiating */
2295
2296     if (!renegotiate_seen && s->renegotiate &&
2297         !(s->options & SSL_OP_ALLOW_UNSAFE_LEGACY_RENEGOTIATION)) {
2298         *al = SSL_AD_HANDSHAKE_FAILURE;
2299         SSLerr(SSL_F_SSL_SCAN_CLIENTHELLO_TLSEXT,
2300                SSL_R_UNSAFE_LEGACY_RENEGOTIATION_DISABLED);
2301         return 0;
2302     }
2303
2304     return 1;
2305 err:
2306     *al = SSL_AD_DECODE_ERROR;
2307     return 0;
2308 }
2309
2310 int ssl_parse_clienthello_tlsext(SSL *s, PACKET *pkt)
2311 {
2312     int al = -1;
2313     custom_ext_init(&s->cert->srv_ext);
2314     if (ssl_scan_clienthello_tlsext(s, pkt, &al) <= 0) {
2315         ssl3_send_alert(s, SSL3_AL_FATAL, al);
2316         return 0;
2317     }
2318
2319     if (ssl_check_clienthello_tlsext_early(s) <= 0) {
2320         SSLerr(SSL_F_SSL_PARSE_CLIENTHELLO_TLSEXT, SSL_R_CLIENTHELLO_TLSEXT);
2321         return 0;
2322     }
2323     return 1;
2324 }
2325
2326 #ifndef OPENSSL_NO_NEXTPROTONEG
2327 /*
2328  * ssl_next_proto_validate validates a Next Protocol Negotiation block. No
2329  * elements of zero length are allowed and the set of elements must exactly
2330  * fill the length of the block.
2331  */
2332 static char ssl_next_proto_validate(PACKET *pkt)
2333 {
2334     unsigned int len;
2335
2336     while (PACKET_remaining(pkt)) {
2337         if (!PACKET_get_1(pkt, &len)
2338                 || !PACKET_forward(pkt, len))
2339             return 0;
2340     }
2341
2342     return 1;
2343 }
2344 #endif
2345
2346 static int ssl_scan_serverhello_tlsext(SSL *s, PACKET *pkt, int *al)
2347 {
2348     unsigned int length, type, size;
2349     int tlsext_servername = 0;
2350     int renegotiate_seen = 0;
2351
2352 #ifndef OPENSSL_NO_NEXTPROTONEG
2353     s->s3->next_proto_neg_seen = 0;
2354 #endif
2355     s->tlsext_ticket_expected = 0;
2356
2357     OPENSSL_free(s->s3->alpn_selected);
2358     s->s3->alpn_selected = NULL;
2359 #ifndef OPENSSL_NO_HEARTBEATS
2360     s->tlsext_heartbeat &= ~(SSL_TLSEXT_HB_ENABLED |
2361                              SSL_TLSEXT_HB_DONT_SEND_REQUESTS);
2362 #endif
2363
2364 #ifdef TLSEXT_TYPE_encrypt_then_mac
2365     s->s3->flags &= ~TLS1_FLAGS_ENCRYPT_THEN_MAC;
2366 #endif
2367
2368     s->s3->flags &= ~TLS1_FLAGS_RECEIVED_EXTMS;
2369
2370     if (!PACKET_get_net_2(pkt, &length))
2371         goto ri_check;
2372
2373     if (PACKET_remaining(pkt) != length) {
2374         *al = SSL_AD_DECODE_ERROR;
2375         return 0;
2376     }
2377
2378     while (PACKET_get_net_2(pkt, &type) && PACKET_get_net_2(pkt, &size)) {
2379         unsigned char *data;
2380         PACKET spkt;
2381
2382         if (!PACKET_get_sub_packet(pkt, &spkt, size)
2383                 ||  !PACKET_peek_bytes(&spkt, &data, size))
2384             goto ri_check;
2385
2386         if (s->tlsext_debug_cb)
2387             s->tlsext_debug_cb(s, 1, type, data, size, s->tlsext_debug_arg);
2388
2389         if (type == TLSEXT_TYPE_renegotiate) {
2390             if (!ssl_parse_serverhello_renegotiate_ext(s, &spkt, al))
2391                 return 0;
2392             renegotiate_seen = 1;
2393         } else if (s->version == SSL3_VERSION) {
2394         } else if (type == TLSEXT_TYPE_server_name) {
2395             if (s->tlsext_hostname == NULL || size > 0) {
2396                 *al = TLS1_AD_UNRECOGNIZED_NAME;
2397                 return 0;
2398             }
2399             tlsext_servername = 1;
2400         }
2401 #ifndef OPENSSL_NO_EC
2402         else if (type == TLSEXT_TYPE_ec_point_formats) {
2403             unsigned int ecpointformatlist_length;
2404             if (!PACKET_get_1(&spkt, &ecpointformatlist_length)
2405                     || ecpointformatlist_length != size - 1) {
2406                 *al = TLS1_AD_DECODE_ERROR;
2407                 return 0;
2408             }
2409             if (!s->hit) {
2410                 s->session->tlsext_ecpointformatlist_length = 0;
2411                 OPENSSL_free(s->session->tlsext_ecpointformatlist);
2412                 if ((s->session->tlsext_ecpointformatlist =
2413                      OPENSSL_malloc(ecpointformatlist_length)) == NULL) {
2414                     *al = TLS1_AD_INTERNAL_ERROR;
2415                     return 0;
2416                 }
2417                 s->session->tlsext_ecpointformatlist_length =
2418                     ecpointformatlist_length;
2419                 if (!PACKET_copy_bytes(&spkt,
2420                                        s->session->tlsext_ecpointformatlist,
2421                                        ecpointformatlist_length)) {
2422                     *al = TLS1_AD_DECODE_ERROR;
2423                     return 0;
2424                 }
2425
2426             }
2427         }
2428 #endif                         /* OPENSSL_NO_EC */
2429
2430         else if (type == TLSEXT_TYPE_session_ticket) {
2431             if (s->tls_session_ticket_ext_cb &&
2432                 !s->tls_session_ticket_ext_cb(s, data, size,
2433                                               s->tls_session_ticket_ext_cb_arg))
2434             {
2435                 *al = TLS1_AD_INTERNAL_ERROR;
2436                 return 0;
2437             }
2438             if (!tls_use_ticket(s) || (size > 0)) {
2439                 *al = TLS1_AD_UNSUPPORTED_EXTENSION;
2440                 return 0;
2441             }
2442             s->tlsext_ticket_expected = 1;
2443         }
2444         else if (type == TLSEXT_TYPE_status_request) {
2445             /*
2446              * MUST be empty and only sent if we've requested a status
2447              * request message.
2448              */
2449             if ((s->tlsext_status_type == -1) || (size > 0)) {
2450                 *al = TLS1_AD_UNSUPPORTED_EXTENSION;
2451                 return 0;
2452             }
2453             /* Set flag to expect CertificateStatus message */
2454             s->tlsext_status_expected = 1;
2455         }
2456 #ifndef OPENSSL_NO_NEXTPROTONEG
2457         else if (type == TLSEXT_TYPE_next_proto_neg &&
2458                  s->s3->tmp.finish_md_len == 0) {
2459             unsigned char *selected;
2460             unsigned char selected_len;
2461             /* We must have requested it. */
2462             if (s->ctx->next_proto_select_cb == NULL) {
2463                 *al = TLS1_AD_UNSUPPORTED_EXTENSION;
2464                 return 0;
2465             }
2466             /* The data must be valid */
2467             if (!ssl_next_proto_validate(&spkt)) {
2468                 *al = TLS1_AD_DECODE_ERROR;
2469                 return 0;
2470             }
2471             if (s->
2472                 ctx->next_proto_select_cb(s, &selected, &selected_len, data,
2473                                           size,
2474                                           s->ctx->next_proto_select_cb_arg) !=
2475                 SSL_TLSEXT_ERR_OK) {
2476                 *al = TLS1_AD_INTERNAL_ERROR;
2477                 return 0;
2478             }
2479             s->next_proto_negotiated = OPENSSL_malloc(selected_len);
2480             if (s->next_proto_negotiated == NULL) {
2481                 *al = TLS1_AD_INTERNAL_ERROR;
2482                 return 0;
2483             }
2484             memcpy(s->next_proto_negotiated, selected, selected_len);
2485             s->next_proto_negotiated_len = selected_len;
2486             s->s3->next_proto_neg_seen = 1;
2487         }
2488 #endif
2489
2490         else if (type == TLSEXT_TYPE_application_layer_protocol_negotiation) {
2491             unsigned len;
2492             /* We must have requested it. */
2493             if (s->alpn_client_proto_list == NULL) {
2494                 *al = TLS1_AD_UNSUPPORTED_EXTENSION;
2495                 return 0;
2496             }
2497             /*-
2498              * The extension data consists of:
2499              *   uint16 list_length
2500              *   uint8 proto_length;
2501              *   uint8 proto[proto_length];
2502              */
2503             if (!PACKET_get_net_2(&spkt, &len)
2504                     || PACKET_remaining(&spkt) != len
2505                     || !PACKET_get_1(&spkt, &len)
2506                     || PACKET_remaining(&spkt) != len) {
2507                 *al = TLS1_AD_DECODE_ERROR;
2508                 return 0;
2509             }
2510             OPENSSL_free(s->s3->alpn_selected);
2511             s->s3->alpn_selected = OPENSSL_malloc(len);
2512             if (s->s3->alpn_selected == NULL) {
2513                 *al = TLS1_AD_INTERNAL_ERROR;
2514                 return 0;
2515             }
2516             if (!PACKET_copy_bytes(&spkt, s->s3->alpn_selected, len)) {
2517                 *al = TLS1_AD_DECODE_ERROR;
2518                 return 0;
2519             }
2520             s->s3->alpn_selected_len = len;
2521         }
2522 #ifndef OPENSSL_NO_HEARTBEATS
2523         else if (type == TLSEXT_TYPE_heartbeat) {
2524             unsigned int hbtype;
2525             if (!PACKET_get_1(&spkt, &hbtype)) {
2526                 *al = SSL_AD_DECODE_ERROR;
2527                 return 0;
2528             }
2529             switch (hbtype) {
2530             case 0x01:         /* Server allows us to send HB requests */
2531                 s->tlsext_heartbeat |= SSL_TLSEXT_HB_ENABLED;
2532                 break;
2533             case 0x02:         /* Server doesn't accept HB requests */
2534                 s->tlsext_heartbeat |= SSL_TLSEXT_HB_ENABLED;
2535                 s->tlsext_heartbeat |= SSL_TLSEXT_HB_DONT_SEND_REQUESTS;
2536                 break;
2537             default:
2538                 *al = SSL_AD_ILLEGAL_PARAMETER;
2539                 return 0;
2540             }
2541         }
2542 #endif
2543 #ifndef OPENSSL_NO_SRTP
2544         else if (SSL_IS_DTLS(s) && type == TLSEXT_TYPE_use_srtp) {
2545             if (ssl_parse_serverhello_use_srtp_ext(s, &spkt, al))
2546                 return 0;
2547         }
2548 #endif
2549 #ifdef TLSEXT_TYPE_encrypt_then_mac
2550         else if (type == TLSEXT_TYPE_encrypt_then_mac) {
2551             /* Ignore if inappropriate ciphersuite */
2552             if (s->s3->tmp.new_cipher->algorithm_mac != SSL_AEAD
2553                 && s->s3->tmp.new_cipher->algorithm_enc != SSL_RC4)
2554                 s->s3->flags |= TLS1_FLAGS_ENCRYPT_THEN_MAC;
2555         }
2556 #endif
2557         else if (type == TLSEXT_TYPE_extended_master_secret) {
2558             s->s3->flags |= TLS1_FLAGS_RECEIVED_EXTMS;
2559             if (!s->hit)
2560                 s->session->flags |= SSL_SESS_FLAG_EXTMS;
2561         }
2562         /*
2563          * If this extension type was not otherwise handled, but matches a
2564          * custom_cli_ext_record, then send it to the c callback
2565          */
2566         else if (custom_ext_parse(s, 0, type, data, size, al) <= 0)
2567             return 0;
2568     }
2569
2570     if (PACKET_remaining(pkt) != 0) {
2571         *al = SSL_AD_DECODE_ERROR;
2572         return 0;
2573     }
2574
2575     if (!s->hit && tlsext_servername == 1) {
2576         if (s->tlsext_hostname) {
2577             if (s->session->tlsext_hostname == NULL) {
2578                 s->session->tlsext_hostname = OPENSSL_strdup(s->tlsext_hostname);
2579                 if (!s->session->tlsext_hostname) {
2580                     *al = SSL_AD_UNRECOGNIZED_NAME;
2581                     return 0;
2582                 }
2583             } else {
2584                 *al = SSL_AD_DECODE_ERROR;
2585                 return 0;
2586             }
2587         }
2588     }
2589
2590  ri_check:
2591
2592     /*
2593      * Determine if we need to see RI. Strictly speaking if we want to avoid
2594      * an attack we should *always* see RI even on initial server hello
2595      * because the client doesn't see any renegotiation during an attack.
2596      * However this would mean we could not connect to any server which
2597      * doesn't support RI so for the immediate future tolerate RI absence on
2598      * initial connect only.
2599      */
2600     if (!renegotiate_seen && !(s->options & SSL_OP_LEGACY_SERVER_CONNECT)
2601         && !(s->options & SSL_OP_ALLOW_UNSAFE_LEGACY_RENEGOTIATION)) {
2602         *al = SSL_AD_HANDSHAKE_FAILURE;
2603         SSLerr(SSL_F_SSL_SCAN_SERVERHELLO_TLSEXT,
2604                SSL_R_UNSAFE_LEGACY_RENEGOTIATION_DISABLED);
2605         return 0;
2606     }
2607
2608     if (s->hit) {
2609         /*
2610          * Check extended master secret extension is consistent with
2611          * original session.
2612          */
2613         if (!(s->s3->flags & TLS1_FLAGS_RECEIVED_EXTMS) !=
2614             !(s->session->flags & SSL_SESS_FLAG_EXTMS)) {
2615             *al = SSL_AD_HANDSHAKE_FAILURE;
2616             SSLerr(SSL_F_SSL_SCAN_SERVERHELLO_TLSEXT, SSL_R_INCONSISTENT_EXTMS);
2617             return 0;
2618             }
2619     }
2620
2621     return 1;
2622 }
2623
2624 int ssl_prepare_clienthello_tlsext(SSL *s)
2625 {
2626
2627     return 1;
2628 }
2629
2630 int ssl_prepare_serverhello_tlsext(SSL *s)
2631 {
2632     return 1;
2633 }
2634
2635 static int ssl_check_clienthello_tlsext_early(SSL *s)
2636 {
2637     int ret = SSL_TLSEXT_ERR_NOACK;
2638     int al = SSL_AD_UNRECOGNIZED_NAME;
2639
2640 #ifndef OPENSSL_NO_EC
2641     /*
2642      * The handling of the ECPointFormats extension is done elsewhere, namely
2643      * in ssl3_choose_cipher in s3_lib.c.
2644      */
2645     /*
2646      * The handling of the EllipticCurves extension is done elsewhere, namely
2647      * in ssl3_choose_cipher in s3_lib.c.
2648      */
2649 #endif
2650
2651     if (s->ctx != NULL && s->ctx->tlsext_servername_callback != 0)
2652         ret =
2653             s->ctx->tlsext_servername_callback(s, &al,
2654                                                s->ctx->tlsext_servername_arg);
2655     else if (s->initial_ctx != NULL
2656              && s->initial_ctx->tlsext_servername_callback != 0)
2657         ret =
2658             s->initial_ctx->tlsext_servername_callback(s, &al,
2659                                                        s->
2660                                                        initial_ctx->tlsext_servername_arg);
2661
2662     switch (ret) {
2663     case SSL_TLSEXT_ERR_ALERT_FATAL:
2664         ssl3_send_alert(s, SSL3_AL_FATAL, al);
2665         return -1;
2666
2667     case SSL_TLSEXT_ERR_ALERT_WARNING:
2668         ssl3_send_alert(s, SSL3_AL_WARNING, al);
2669         return 1;
2670
2671     case SSL_TLSEXT_ERR_NOACK:
2672         s->servername_done = 0;
2673     default:
2674         return 1;
2675     }
2676 }
2677 /* Initialise digests to default values */
2678 void ssl_set_default_md(SSL *s)
2679 {
2680     const EVP_MD **pmd = s->s3->tmp.md;
2681 #ifndef OPENSSL_NO_DSA
2682     pmd[SSL_PKEY_DSA_SIGN] = ssl_md(SSL_MD_SHA1_IDX);
2683 #endif
2684 #ifndef OPENSSL_NO_RSA
2685     if (SSL_USE_SIGALGS(s))
2686         pmd[SSL_PKEY_RSA_SIGN] = ssl_md(SSL_MD_SHA1_IDX);
2687     else
2688         pmd[SSL_PKEY_RSA_SIGN] = ssl_md(SSL_MD_MD5_SHA1_IDX);
2689     pmd[SSL_PKEY_RSA_ENC] = pmd[SSL_PKEY_RSA_SIGN];
2690 #endif
2691 #ifndef OPENSSL_NO_EC
2692     pmd[SSL_PKEY_ECC] = ssl_md(SSL_MD_SHA1_IDX);
2693 #endif
2694 #ifndef OPENSSL_NO_GOST
2695     pmd[SSL_PKEY_GOST01] = ssl_md(SSL_MD_GOST94_IDX);
2696     pmd[SSL_PKEY_GOST12_256] = ssl_md(SSL_MD_GOST12_256_IDX);
2697     pmd[SSL_PKEY_GOST12_512] = ssl_md(SSL_MD_GOST12_512_IDX);
2698 #endif
2699 }
2700
2701 int tls1_set_server_sigalgs(SSL *s)
2702 {
2703     int al;
2704     size_t i;
2705     /* Clear any shared sigtnature algorithms */
2706     OPENSSL_free(s->cert->shared_sigalgs);
2707     s->cert->shared_sigalgs = NULL;
2708     s->cert->shared_sigalgslen = 0;
2709     /* Clear certificate digests and validity flags */
2710     for (i = 0; i < SSL_PKEY_NUM; i++) {
2711         s->s3->tmp.md[i] = NULL;
2712         s->s3->tmp.valid_flags[i] = 0;
2713     }
2714
2715     /* If sigalgs received process it. */
2716     if (s->s3->tmp.peer_sigalgs) {
2717         if (!tls1_process_sigalgs(s)) {
2718             SSLerr(SSL_F_TLS1_SET_SERVER_SIGALGS, ERR_R_MALLOC_FAILURE);
2719             al = SSL_AD_INTERNAL_ERROR;
2720             goto err;
2721         }
2722         /* Fatal error is no shared signature algorithms */
2723         if (!s->cert->shared_sigalgs) {
2724             SSLerr(SSL_F_TLS1_SET_SERVER_SIGALGS,
2725                    SSL_R_NO_SHARED_SIGATURE_ALGORITHMS);
2726             al = SSL_AD_ILLEGAL_PARAMETER;
2727             goto err;
2728         }
2729     } else {
2730         ssl_set_default_md(s);
2731     }
2732     return 1;
2733  err:
2734     ssl3_send_alert(s, SSL3_AL_FATAL, al);
2735     return 0;
2736 }
2737
2738 int ssl_check_clienthello_tlsext_late(SSL *s)
2739 {
2740     int ret = SSL_TLSEXT_ERR_OK;
2741     int al = SSL_AD_INTERNAL_ERROR;
2742
2743     /*
2744      * If status request then ask callback what to do. Note: this must be
2745      * called after servername callbacks in case the certificate has changed,
2746      * and must be called after the cipher has been chosen because this may
2747      * influence which certificate is sent
2748      */
2749     if ((s->tlsext_status_type != -1) && s->ctx && s->ctx->tlsext_status_cb) {
2750         int r;
2751         CERT_PKEY *certpkey;
2752         certpkey = ssl_get_server_send_pkey(s);
2753         /* If no certificate can't return certificate status */
2754         if (certpkey == NULL) {
2755             s->tlsext_status_expected = 0;
2756             return 1;
2757         }
2758         /*
2759          * Set current certificate to one we will use so SSL_get_certificate
2760          * et al can pick it up.
2761          */
2762         s->cert->key = certpkey;
2763         r = s->ctx->tlsext_status_cb(s, s->ctx->tlsext_status_arg);
2764         switch (r) {
2765             /* We don't want to send a status request response */
2766         case SSL_TLSEXT_ERR_NOACK:
2767             s->tlsext_status_expected = 0;
2768             break;
2769             /* status request response should be sent */
2770         case SSL_TLSEXT_ERR_OK:
2771             if (s->tlsext_ocsp_resp)
2772                 s->tlsext_status_expected = 1;
2773             else
2774                 s->tlsext_status_expected = 0;
2775             break;
2776             /* something bad happened */
2777         case SSL_TLSEXT_ERR_ALERT_FATAL:
2778             ret = SSL_TLSEXT_ERR_ALERT_FATAL;
2779             al = SSL_AD_INTERNAL_ERROR;
2780             goto err;
2781         }
2782     } else
2783         s->tlsext_status_expected = 0;
2784
2785  err:
2786     switch (ret) {
2787     case SSL_TLSEXT_ERR_ALERT_FATAL:
2788         ssl3_send_alert(s, SSL3_AL_FATAL, al);
2789         return -1;
2790
2791     case SSL_TLSEXT_ERR_ALERT_WARNING:
2792         ssl3_send_alert(s, SSL3_AL_WARNING, al);
2793         return 1;
2794
2795     default:
2796         return 1;
2797     }
2798 }
2799
2800 int ssl_check_serverhello_tlsext(SSL *s)
2801 {
2802     int ret = SSL_TLSEXT_ERR_NOACK;
2803     int al = SSL_AD_UNRECOGNIZED_NAME;
2804
2805 #ifndef OPENSSL_NO_EC
2806     /*
2807      * If we are client and using an elliptic curve cryptography cipher
2808      * suite, then if server returns an EC point formats lists extension it
2809      * must contain uncompressed.
2810      */
2811     unsigned long alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
2812     unsigned long alg_a = s->s3->tmp.new_cipher->algorithm_auth;
2813     if ((s->tlsext_ecpointformatlist != NULL)
2814         && (s->tlsext_ecpointformatlist_length > 0)
2815         && (s->session->tlsext_ecpointformatlist != NULL)
2816         && (s->session->tlsext_ecpointformatlist_length > 0)
2817         && ((alg_k & (SSL_kECDHE | SSL_kECDHr | SSL_kECDHe))
2818             || (alg_a & SSL_aECDSA))) {
2819         /* we are using an ECC cipher */
2820         size_t i;
2821         unsigned char *list;
2822         int found_uncompressed = 0;
2823         list = s->session->tlsext_ecpointformatlist;
2824         for (i = 0; i < s->session->tlsext_ecpointformatlist_length; i++) {
2825             if (*(list++) == TLSEXT_ECPOINTFORMAT_uncompressed) {
2826                 found_uncompressed = 1;
2827                 break;
2828             }
2829         }
2830         if (!found_uncompressed) {
2831             SSLerr(SSL_F_SSL_CHECK_SERVERHELLO_TLSEXT,
2832                    SSL_R_TLS_INVALID_ECPOINTFORMAT_LIST);
2833             return -1;
2834         }
2835     }
2836     ret = SSL_TLSEXT_ERR_OK;
2837 #endif                         /* OPENSSL_NO_EC */
2838
2839     if (s->ctx != NULL && s->ctx->tlsext_servername_callback != 0)
2840         ret =
2841             s->ctx->tlsext_servername_callback(s, &al,
2842                                                s->ctx->tlsext_servername_arg);
2843     else if (s->initial_ctx != NULL
2844              && s->initial_ctx->tlsext_servername_callback != 0)
2845         ret =
2846             s->initial_ctx->tlsext_servername_callback(s, &al,
2847                                                        s->
2848                                                        initial_ctx->tlsext_servername_arg);
2849
2850     /*
2851      * Ensure we get sensible values passed to tlsext_status_cb in the event
2852      * that we don't receive a status message
2853      */
2854     OPENSSL_free(s->tlsext_ocsp_resp);
2855     s->tlsext_ocsp_resp = NULL;
2856     s->tlsext_ocsp_resplen = -1;
2857
2858     switch (ret) {
2859     case SSL_TLSEXT_ERR_ALERT_FATAL:
2860         ssl3_send_alert(s, SSL3_AL_FATAL, al);
2861         return -1;
2862
2863     case SSL_TLSEXT_ERR_ALERT_WARNING:
2864         ssl3_send_alert(s, SSL3_AL_WARNING, al);
2865         return 1;
2866
2867     case SSL_TLSEXT_ERR_NOACK:
2868         s->servername_done = 0;
2869     default:
2870         return 1;
2871     }
2872 }
2873
2874 int ssl_parse_serverhello_tlsext(SSL *s, PACKET *pkt)
2875 {
2876     int al = -1;
2877     if (s->version < SSL3_VERSION)
2878         return 1;
2879     if (ssl_scan_serverhello_tlsext(s, pkt, &al) <= 0) {
2880         ssl3_send_alert(s, SSL3_AL_FATAL, al);
2881         return 0;
2882     }
2883
2884     if (ssl_check_serverhello_tlsext(s) <= 0) {
2885         SSLerr(SSL_F_SSL_PARSE_SERVERHELLO_TLSEXT, SSL_R_SERVERHELLO_TLSEXT);
2886         return 0;
2887     }
2888     return 1;
2889 }
2890
2891 /*-
2892  * Since the server cache lookup is done early on in the processing of the
2893  * ClientHello and other operations depend on the result some extensions
2894  * need to be handled at the same time.
2895  *
2896  * Two extensions are currently handled, session ticket and extended master
2897  * secret.
2898  *
2899  *   session_id: ClientHello session ID.
2900  *   ext: ClientHello extensions (including length prefix)
2901  *   ret: (output) on return, if a ticket was decrypted, then this is set to
2902  *       point to the resulting session.
2903  *
2904  * If s->tls_session_secret_cb is set then we are expecting a pre-shared key
2905  * ciphersuite, in which case we have no use for session tickets and one will
2906  * never be decrypted, nor will s->tlsext_ticket_expected be set to 1.
2907  *
2908  * Returns:
2909  *   -1: fatal error, either from parsing or decrypting the ticket.
2910  *    0: no ticket was found (or was ignored, based on settings).
2911  *    1: a zero length extension was found, indicating that the client supports
2912  *       session tickets but doesn't currently have one to offer.
2913  *    2: either s->tls_session_secret_cb was set, or a ticket was offered but
2914  *       couldn't be decrypted because of a non-fatal error.
2915  *    3: a ticket was successfully decrypted and *ret was set.
2916  *
2917  * Side effects:
2918  *   Sets s->tlsext_ticket_expected to 1 if the server will have to issue
2919  *   a new session ticket to the client because the client indicated support
2920  *   (and s->tls_session_secret_cb is NULL) but the client either doesn't have
2921  *   a session ticket or we couldn't use the one it gave us, or if
2922  *   s->ctx->tlsext_ticket_key_cb asked to renew the client's ticket.
2923  *   Otherwise, s->tlsext_ticket_expected is set to 0.
2924  *
2925  *   For extended master secret flag is set if the extension is present.
2926  *
2927  */
2928 int tls_check_serverhello_tlsext_early(SSL *s, const PACKET *ext,
2929                                        const PACKET *session_id,
2930                                        SSL_SESSION **ret)
2931 {
2932     unsigned int i;
2933     PACKET local_ext = *ext;
2934     int retv = -1;
2935
2936     int have_ticket = 0;
2937     int use_ticket = tls_use_ticket(s);
2938
2939     *ret = NULL;
2940     s->tlsext_ticket_expected = 0;
2941     s->s3->flags &= ~TLS1_FLAGS_RECEIVED_EXTMS;
2942
2943     /*
2944      * If tickets disabled behave as if no ticket present to permit stateful
2945      * resumption.
2946      */
2947     if ((s->version <= SSL3_VERSION))
2948         return 0;
2949
2950     if (!PACKET_get_net_2(&local_ext, &i)) {
2951         retv = 0;
2952         goto end;
2953     }
2954     while (PACKET_remaining(&local_ext) >= 4) {
2955         unsigned int type, size;
2956
2957         if (!PACKET_get_net_2(&local_ext, &type)
2958                 || !PACKET_get_net_2(&local_ext, &size)) {
2959             /* Shouldn't ever happen */
2960             retv = -1;
2961             goto end;
2962         }
2963         if (PACKET_remaining(&local_ext) < size) {
2964             retv = 0;
2965             goto end;
2966         }
2967         if (type == TLSEXT_TYPE_session_ticket && use_ticket) {
2968             int r;
2969             unsigned char *etick;
2970
2971             /* Duplicate extension */
2972             if (have_ticket != 0) {
2973                 retv = -1;
2974                 goto end;
2975             }
2976             have_ticket = 1;
2977
2978             if (size == 0) {
2979                 /*
2980                  * The client will accept a ticket but doesn't currently have
2981                  * one.
2982                  */
2983                 s->tlsext_ticket_expected = 1;
2984                 retv = 1;
2985                 continue;
2986             }
2987             if (s->tls_session_secret_cb) {
2988                 /*
2989                  * Indicate that the ticket couldn't be decrypted rather than
2990                  * generating the session from ticket now, trigger
2991                  * abbreviated handshake based on external mechanism to
2992                  * calculate the master secret later.
2993                  */
2994                 retv = 2;
2995                 continue;
2996             }
2997             if (!PACKET_get_bytes(&local_ext, &etick, size)) {
2998                 /* Shouldn't ever happen */
2999                 retv = -1;
3000                 goto end;
3001             }
3002             r = tls_decrypt_ticket(s, etick, size, PACKET_data(session_id),
3003                                    PACKET_remaining(session_id), ret);
3004             switch (r) {
3005             case 2:            /* ticket couldn't be decrypted */
3006                 s->tlsext_ticket_expected = 1;
3007                 retv = 2;
3008                 break;
3009             case 3:            /* ticket was decrypted */
3010                 retv = r;
3011                 break;
3012             case 4:            /* ticket decrypted but need to renew */
3013                 s->tlsext_ticket_expected = 1;
3014                 retv = 3;
3015                 break;
3016             default:           /* fatal error */
3017                 retv = -1;
3018                 break;
3019             }
3020             continue;
3021         } else {
3022             if (type == TLSEXT_TYPE_extended_master_secret)
3023                 s->s3->flags |= TLS1_FLAGS_RECEIVED_EXTMS;
3024             if (!PACKET_forward(&local_ext, size)) {
3025                 retv = -1;
3026                 goto end;
3027             }
3028         }
3029     }
3030     if (have_ticket == 0)
3031         retv = 0;
3032 end:
3033     return retv;
3034 }
3035
3036 /*-
3037  * tls_decrypt_ticket attempts to decrypt a session ticket.
3038  *
3039  *   etick: points to the body of the session ticket extension.
3040  *   eticklen: the length of the session tickets extenion.
3041  *   sess_id: points at the session ID.
3042  *   sesslen: the length of the session ID.
3043  *   psess: (output) on return, if a ticket was decrypted, then this is set to
3044  *       point to the resulting session.
3045  *
3046  * Returns:
3047  *   -2: fatal error, malloc failure.
3048  *   -1: fatal error, either from parsing or decrypting the ticket.
3049  *    2: the ticket couldn't be decrypted.
3050  *    3: a ticket was successfully decrypted and *psess was set.
3051  *    4: same as 3, but the ticket needs to be renewed.
3052  */
3053 static int tls_decrypt_ticket(SSL *s, const unsigned char *etick,
3054                               int eticklen, const unsigned char *sess_id,
3055                               int sesslen, SSL_SESSION **psess)
3056 {
3057     SSL_SESSION *sess;
3058     unsigned char *sdec;
3059     const unsigned char *p;
3060     int slen, mlen, renew_ticket = 0;
3061     unsigned char tick_hmac[EVP_MAX_MD_SIZE];
3062     HMAC_CTX *hctx = NULL;
3063     EVP_CIPHER_CTX ctx;
3064     SSL_CTX *tctx = s->initial_ctx;
3065     /* Need at least keyname + iv + some encrypted data */
3066     if (eticklen < 48)
3067         return 2;
3068     /* Initialize session ticket encryption and HMAC contexts */
3069     hctx = HMAC_CTX_new();
3070     if (hctx == NULL)
3071         return -2;
3072     EVP_CIPHER_CTX_init(&ctx);
3073     if (tctx->tlsext_ticket_key_cb) {
3074         unsigned char *nctick = (unsigned char *)etick;
3075         int rv = tctx->tlsext_ticket_key_cb(s, nctick, nctick + 16,
3076                                             &ctx, hctx, 0);
3077         if (rv < 0)
3078             return -1;
3079         if (rv == 0)
3080             return 2;
3081         if (rv == 2)
3082             renew_ticket = 1;
3083     } else {
3084         /* Check key name matches */
3085         if (memcmp(etick, tctx->tlsext_tick_key_name, 16))
3086             return 2;
3087         if (HMAC_Init_ex(hctx, tctx->tlsext_tick_hmac_key, 16,
3088                          EVP_sha256(), NULL) <= 0
3089                 || EVP_DecryptInit_ex(&ctx, EVP_aes_128_cbc(), NULL,
3090                                       tctx->tlsext_tick_aes_key,
3091                                       etick + 16) <= 0) {
3092             goto err;
3093        }
3094     }
3095     /*
3096      * Attempt to process session ticket, first conduct sanity and integrity
3097      * checks on ticket.
3098      */
3099     mlen = HMAC_size(hctx);
3100     if (mlen < 0) {
3101         goto err;
3102     }
3103     eticklen -= mlen;
3104     /* Check HMAC of encrypted ticket */
3105     if (HMAC_Update(hctx, etick, eticklen) <= 0
3106             || HMAC_Final(hctx, tick_hmac, NULL) <= 0) {
3107         goto err;
3108     }
3109     HMAC_CTX_free(hctx);
3110     if (CRYPTO_memcmp(tick_hmac, etick + eticklen, mlen)) {
3111         EVP_CIPHER_CTX_cleanup(&ctx);
3112         return 2;
3113     }
3114     /* Attempt to decrypt session data */
3115     /* Move p after IV to start of encrypted ticket, update length */
3116     p = etick + 16 + EVP_CIPHER_CTX_iv_length(&ctx);
3117     eticklen -= 16 + EVP_CIPHER_CTX_iv_length(&ctx);
3118     sdec = OPENSSL_malloc(eticklen);
3119     if (sdec == NULL
3120             || EVP_DecryptUpdate(&ctx, sdec, &slen, p, eticklen) <= 0) {
3121         EVP_CIPHER_CTX_cleanup(&ctx);
3122         return -1;
3123     }
3124     if (EVP_DecryptFinal(&ctx, sdec + slen, &mlen) <= 0) {
3125         EVP_CIPHER_CTX_cleanup(&ctx);
3126         OPENSSL_free(sdec);
3127         return 2;
3128     }
3129     slen += mlen;
3130     EVP_CIPHER_CTX_cleanup(&ctx);
3131     p = sdec;
3132
3133     sess = d2i_SSL_SESSION(NULL, &p, slen);
3134     OPENSSL_free(sdec);
3135     if (sess) {
3136         /*
3137          * The session ID, if non-empty, is used by some clients to detect
3138          * that the ticket has been accepted. So we copy it to the session
3139          * structure. If it is empty set length to zero as required by
3140          * standard.
3141          */
3142         if (sesslen)
3143             memcpy(sess->session_id, sess_id, sesslen);
3144         sess->session_id_length = sesslen;
3145         *psess = sess;
3146         if (renew_ticket)
3147             return 4;
3148         else
3149             return 3;
3150     }
3151     ERR_clear_error();
3152     /*
3153      * For session parse failure, indicate that we need to send a new ticket.
3154      */
3155     return 2;
3156 err:
3157     EVP_CIPHER_CTX_cleanup(&ctx);
3158     HMAC_CTX_free(hctx);
3159     return -1;
3160 }
3161
3162 /* Tables to translate from NIDs to TLS v1.2 ids */
3163
3164 typedef struct {
3165     int nid;
3166     int id;
3167 } tls12_lookup;
3168
3169 static const tls12_lookup tls12_md[] = {
3170     {NID_md5, TLSEXT_hash_md5},
3171     {NID_sha1, TLSEXT_hash_sha1},
3172     {NID_sha224, TLSEXT_hash_sha224},
3173     {NID_sha256, TLSEXT_hash_sha256},
3174     {NID_sha384, TLSEXT_hash_sha384},
3175     {NID_sha512, TLSEXT_hash_sha512},
3176     {NID_id_GostR3411_94, TLSEXT_hash_gostr3411},
3177     {NID_id_GostR3411_2012_256, TLSEXT_hash_gostr34112012_256},
3178     {NID_id_GostR3411_2012_512, TLSEXT_hash_gostr34112012_512},
3179 };
3180
3181 static const tls12_lookup tls12_sig[] = {
3182     {EVP_PKEY_RSA, TLSEXT_signature_rsa},
3183     {EVP_PKEY_DSA, TLSEXT_signature_dsa},
3184     {EVP_PKEY_EC, TLSEXT_signature_ecdsa},
3185     {NID_id_GostR3410_2001, TLSEXT_signature_gostr34102001},
3186     {NID_id_GostR3410_2012_256, TLSEXT_signature_gostr34102012_256},
3187     {NID_id_GostR3410_2012_512, TLSEXT_signature_gostr34102012_512}
3188 };
3189
3190 static int tls12_find_id(int nid, const tls12_lookup *table, size_t tlen)
3191 {
3192     size_t i;
3193     for (i = 0; i < tlen; i++) {
3194         if (table[i].nid == nid)
3195             return table[i].id;
3196     }
3197     return -1;
3198 }
3199
3200 static int tls12_find_nid(int id, const tls12_lookup *table, size_t tlen)
3201 {
3202     size_t i;
3203     for (i = 0; i < tlen; i++) {
3204         if ((table[i].id) == id)
3205             return table[i].nid;
3206     }
3207     return NID_undef;
3208 }
3209
3210 int tls12_get_sigandhash(unsigned char *p, const EVP_PKEY *pk,
3211                          const EVP_MD *md)
3212 {
3213     int sig_id, md_id;
3214     if (!md)
3215         return 0;
3216     md_id = tls12_find_id(EVP_MD_type(md), tls12_md, OSSL_NELEM(tls12_md));
3217     if (md_id == -1)
3218         return 0;
3219     sig_id = tls12_get_sigid(pk);
3220     if (sig_id == -1)
3221         return 0;
3222     p[0] = (unsigned char)md_id;
3223     p[1] = (unsigned char)sig_id;
3224     return 1;
3225 }
3226
3227 int tls12_get_sigid(const EVP_PKEY *pk)
3228 {
3229     return tls12_find_id(pk->type, tls12_sig, OSSL_NELEM(tls12_sig));
3230 }
3231
3232 typedef struct {
3233     int nid;
3234     int secbits;
3235     int md_idx;
3236     unsigned char tlsext_hash;
3237 } tls12_hash_info;
3238
3239 static const tls12_hash_info tls12_md_info[] = {
3240     {NID_md5, 64, SSL_MD_MD5_IDX, TLSEXT_hash_md5},
3241     {NID_sha1, 80, SSL_MD_SHA1_IDX, TLSEXT_hash_sha1},
3242     {NID_sha224, 112, SSL_MD_SHA224_IDX, TLSEXT_hash_sha224},
3243     {NID_sha256, 128, SSL_MD_SHA256_IDX, TLSEXT_hash_sha256},
3244     {NID_sha384, 192, SSL_MD_SHA384_IDX, TLSEXT_hash_sha384},
3245     {NID_sha512, 256, SSL_MD_SHA512_IDX, TLSEXT_hash_sha512},
3246     {NID_id_GostR3411_94,       128, SSL_MD_GOST94_IDX, TLSEXT_hash_gostr3411},
3247     {NID_id_GostR3411_2012_256, 128, SSL_MD_GOST12_256_IDX, TLSEXT_hash_gostr34112012_256},
3248     {NID_id_GostR3411_2012_512, 256, SSL_MD_GOST12_512_IDX, TLSEXT_hash_gostr34112012_512},
3249 };
3250
3251 static const tls12_hash_info *tls12_get_hash_info(unsigned char hash_alg)
3252 {
3253     unsigned int i;
3254     if (hash_alg == 0)
3255         return NULL;
3256
3257     for (i=0; i < OSSL_NELEM(tls12_md_info); i++)
3258     {
3259         if (tls12_md_info[i].tlsext_hash == hash_alg)
3260             return tls12_md_info + i;
3261     }
3262
3263     return NULL;
3264 }
3265
3266 const EVP_MD *tls12_get_hash(unsigned char hash_alg)
3267 {
3268     const tls12_hash_info *inf;
3269     if (hash_alg == TLSEXT_hash_md5 && FIPS_mode())
3270         return NULL;
3271     inf = tls12_get_hash_info(hash_alg);
3272     if (!inf)
3273         return NULL;
3274     return ssl_md(inf->md_idx);
3275 }
3276
3277 static int tls12_get_pkey_idx(unsigned char sig_alg)
3278 {
3279     switch (sig_alg) {
3280 #ifndef OPENSSL_NO_RSA
3281     case TLSEXT_signature_rsa:
3282         return SSL_PKEY_RSA_SIGN;
3283 #endif
3284 #ifndef OPENSSL_NO_DSA
3285     case TLSEXT_signature_dsa:
3286         return SSL_PKEY_DSA_SIGN;
3287 #endif
3288 #ifndef OPENSSL_NO_EC
3289     case TLSEXT_signature_ecdsa:
3290         return SSL_PKEY_ECC;
3291 #endif
3292 # ifndef OPENSSL_NO_GOST
3293     case TLSEXT_signature_gostr34102001:
3294         return SSL_PKEY_GOST01;
3295
3296     case TLSEXT_signature_gostr34102012_256:
3297         return SSL_PKEY_GOST12_256;
3298
3299     case TLSEXT_signature_gostr34102012_512:
3300         return SSL_PKEY_GOST12_512;
3301 # endif
3302     }
3303     return -1;
3304 }
3305
3306 /* Convert TLS 1.2 signature algorithm extension values into NIDs */
3307 static void tls1_lookup_sigalg(int *phash_nid, int *psign_nid,
3308                                int *psignhash_nid, const unsigned char *data)
3309 {
3310     int sign_nid = NID_undef, hash_nid = NID_undef;
3311     if (!phash_nid && !psign_nid && !psignhash_nid)
3312         return;
3313     if (phash_nid || psignhash_nid) {
3314         hash_nid = tls12_find_nid(data[0], tls12_md, OSSL_NELEM(tls12_md));
3315         if (phash_nid)
3316             *phash_nid = hash_nid;
3317     }
3318     if (psign_nid || psignhash_nid) {
3319         sign_nid = tls12_find_nid(data[1], tls12_sig, OSSL_NELEM(tls12_sig));
3320         if (psign_nid)
3321             *psign_nid = sign_nid;
3322     }
3323     if (psignhash_nid) {
3324         if (sign_nid == NID_undef || hash_nid == NID_undef
3325                 || OBJ_find_sigid_by_algs(psignhash_nid, hash_nid,
3326                                           sign_nid) <= 0)
3327             *psignhash_nid = NID_undef;
3328     }
3329 }
3330
3331 /* Check to see if a signature algorithm is allowed */
3332 static int tls12_sigalg_allowed(SSL *s, int op, const unsigned char *ptmp)
3333 {
3334     /* See if we have an entry in the hash table and it is enabled */
3335     const tls12_hash_info *hinf = tls12_get_hash_info(ptmp[0]);
3336     if (hinf == NULL || ssl_md(hinf->md_idx) == NULL)
3337         return 0;
3338     /* See if public key algorithm allowed */
3339     if (tls12_get_pkey_idx(ptmp[1]) == -1)
3340         return 0;
3341     /* Finally see if security callback allows it */
3342     return ssl_security(s, op, hinf->secbits, hinf->nid, (void *)ptmp);
3343 }
3344
3345 /*
3346  * Get a mask of disabled public key algorithms based on supported signature
3347  * algorithms. For example if no signature algorithm supports RSA then RSA is
3348  * disabled.
3349  */
3350
3351 void ssl_set_sig_mask(uint32_t *pmask_a, SSL *s, int op)
3352 {
3353     const unsigned char *sigalgs;
3354     size_t i, sigalgslen;
3355     int have_rsa = 0, have_dsa = 0, have_ecdsa = 0;
3356     /*
3357      * Now go through all signature algorithms seeing if we support any for
3358      * RSA, DSA, ECDSA. Do this for all versions not just TLS 1.2. To keep
3359      * down calls to security callback only check if we have to.
3360      */
3361     sigalgslen = tls12_get_psigalgs(s, &sigalgs);
3362     for (i = 0; i < sigalgslen; i += 2, sigalgs += 2) {
3363         switch (sigalgs[1]) {
3364 #ifndef OPENSSL_NO_RSA
3365         case TLSEXT_signature_rsa:
3366             if (!have_rsa && tls12_sigalg_allowed(s, op, sigalgs))
3367                 have_rsa = 1;
3368             break;
3369 #endif
3370 #ifndef OPENSSL_NO_DSA
3371         case TLSEXT_signature_dsa:
3372             if (!have_dsa && tls12_sigalg_allowed(s, op, sigalgs))
3373                 have_dsa = 1;
3374             break;
3375 #endif
3376 #ifndef OPENSSL_NO_EC
3377         case TLSEXT_signature_ecdsa:
3378             if (!have_ecdsa && tls12_sigalg_allowed(s, op, sigalgs))
3379                 have_ecdsa = 1;
3380             break;
3381 #endif
3382         }
3383     }
3384     if (!have_rsa)
3385         *pmask_a |= SSL_aRSA;
3386     if (!have_dsa)
3387         *pmask_a |= SSL_aDSS;
3388     if (!have_ecdsa)
3389         *pmask_a |= SSL_aECDSA;
3390 }
3391
3392 size_t tls12_copy_sigalgs(SSL *s, unsigned char *out,
3393                           const unsigned char *psig, size_t psiglen)
3394 {
3395     unsigned char *tmpout = out;
3396     size_t i;
3397     for (i = 0; i < psiglen; i += 2, psig += 2) {
3398         if (tls12_sigalg_allowed(s, SSL_SECOP_SIGALG_SUPPORTED, psig)) {
3399             *tmpout++ = psig[0];
3400             *tmpout++ = psig[1];
3401         }
3402     }
3403     return tmpout - out;
3404 }
3405
3406 /* Given preference and allowed sigalgs set shared sigalgs */
3407 static int tls12_shared_sigalgs(SSL *s, TLS_SIGALGS *shsig,
3408                                 const unsigned char *pref, size_t preflen,
3409                                 const unsigned char *allow, size_t allowlen)
3410 {
3411     const unsigned char *ptmp, *atmp;
3412     size_t i, j, nmatch = 0;
3413     for (i = 0, ptmp = pref; i < preflen; i += 2, ptmp += 2) {
3414         /* Skip disabled hashes or signature algorithms */
3415         if (!tls12_sigalg_allowed(s, SSL_SECOP_SIGALG_SHARED, ptmp))
3416             continue;
3417         for (j = 0, atmp = allow; j < allowlen; j += 2, atmp += 2) {
3418             if (ptmp[0] == atmp[0] && ptmp[1] == atmp[1]) {
3419                 nmatch++;
3420                 if (shsig) {
3421                     shsig->rhash = ptmp[0];
3422                     shsig->rsign = ptmp[1];
3423                     tls1_lookup_sigalg(&shsig->hash_nid,
3424                                        &shsig->sign_nid,
3425                                        &shsig->signandhash_nid, ptmp);
3426                     shsig++;
3427                 }
3428                 break;
3429             }
3430         }
3431     }
3432     return nmatch;
3433 }
3434
3435 /* Set shared signature algorithms for SSL structures */
3436 static int tls1_set_shared_sigalgs(SSL *s)
3437 {
3438     const unsigned char *pref, *allow, *conf;
3439     size_t preflen, allowlen, conflen;
3440     size_t nmatch;
3441     TLS_SIGALGS *salgs = NULL;
3442     CERT *c = s->cert;
3443     unsigned int is_suiteb = tls1_suiteb(s);
3444
3445     OPENSSL_free(c->shared_sigalgs);
3446     c->shared_sigalgs = NULL;
3447     c->shared_sigalgslen = 0;
3448     /* If client use client signature algorithms if not NULL */
3449     if (!s->server && c->client_sigalgs && !is_suiteb) {
3450         conf = c->client_sigalgs;
3451         conflen = c->client_sigalgslen;
3452     } else if (c->conf_sigalgs && !is_suiteb) {
3453         conf = c->conf_sigalgs;
3454         conflen = c->conf_sigalgslen;
3455     } else
3456         conflen = tls12_get_psigalgs(s, &conf);
3457     if (s->options & SSL_OP_CIPHER_SERVER_PREFERENCE || is_suiteb) {
3458         pref = conf;
3459         preflen = conflen;
3460         allow = s->s3->tmp.peer_sigalgs;
3461         allowlen = s->s3->tmp.peer_sigalgslen;
3462     } else {
3463         allow = conf;
3464         allowlen = conflen;
3465         pref = s->s3->tmp.peer_sigalgs;
3466         preflen = s->s3->tmp.peer_sigalgslen;
3467     }
3468     nmatch = tls12_shared_sigalgs(s, NULL, pref, preflen, allow, allowlen);
3469     if (nmatch) {
3470         salgs = OPENSSL_malloc(nmatch * sizeof(TLS_SIGALGS));
3471         if (salgs == NULL)
3472             return 0;
3473         nmatch = tls12_shared_sigalgs(s, salgs, pref, preflen, allow, allowlen);
3474     } else {
3475         salgs = NULL;
3476     }
3477     c->shared_sigalgs = salgs;
3478     c->shared_sigalgslen = nmatch;
3479     return 1;
3480 }
3481
3482 /* Set preferred digest for each key type */
3483
3484 int tls1_save_sigalgs(SSL *s, const unsigned char *data, int dsize)
3485 {
3486     CERT *c = s->cert;
3487     /* Extension ignored for inappropriate versions */
3488     if (!SSL_USE_SIGALGS(s))
3489         return 1;
3490     /* Should never happen */
3491     if (!c)
3492         return 0;
3493
3494     OPENSSL_free(s->s3->tmp.peer_sigalgs);
3495     s->s3->tmp.peer_sigalgs = OPENSSL_malloc(dsize);
3496     if (s->s3->tmp.peer_sigalgs == NULL)
3497         return 0;
3498     s->s3->tmp.peer_sigalgslen = dsize;
3499     memcpy(s->s3->tmp.peer_sigalgs, data, dsize);
3500     return 1;
3501 }
3502
3503 int tls1_process_sigalgs(SSL *s)
3504 {
3505     int idx;
3506     size_t i;
3507     const EVP_MD *md;
3508     const EVP_MD **pmd = s->s3->tmp.md;
3509     uint32_t *pvalid = s->s3->tmp.valid_flags;
3510     CERT *c = s->cert;
3511     TLS_SIGALGS *sigptr;
3512     if (!tls1_set_shared_sigalgs(s))
3513         return 0;
3514
3515 #ifdef OPENSSL_SSL_DEBUG_BROKEN_PROTOCOL
3516     if (s->cert->cert_flags & SSL_CERT_FLAG_BROKEN_PROTOCOL) {
3517         /*
3518          * Use first set signature preference to force message digest,
3519          * ignoring any peer preferences.
3520          */
3521         const unsigned char *sigs = NULL;
3522         if (s->server)
3523             sigs = c->conf_sigalgs;
3524         else
3525             sigs = c->client_sigalgs;
3526         if (sigs) {
3527             idx = tls12_get_pkey_idx(sigs[1]);
3528             md = tls12_get_hash(sigs[0]);
3529             pmd[idx] = md;
3530             pvalid[idx] = CERT_PKEY_EXPLICIT_SIGN;
3531             if (idx == SSL_PKEY_RSA_SIGN) {
3532                 pvalid[SSL_PKEY_RSA_ENC] = CERT_PKEY_EXPLICIT_SIGN;
3533                 pmd[SSL_PKEY_RSA_ENC] = md;
3534             }
3535         }
3536     }
3537 #endif
3538
3539     for (i = 0, sigptr = c->shared_sigalgs;
3540          i < c->shared_sigalgslen; i++, sigptr++) {
3541         idx = tls12_get_pkey_idx(sigptr->rsign);
3542         if (idx > 0 && pmd[idx] == NULL) {
3543             md = tls12_get_hash(sigptr->rhash);
3544             pmd[idx] = md;
3545             pvalid[idx] = CERT_PKEY_EXPLICIT_SIGN;
3546             if (idx == SSL_PKEY_RSA_SIGN) {
3547                 pvalid[SSL_PKEY_RSA_ENC] = CERT_PKEY_EXPLICIT_SIGN;
3548                 pmd[SSL_PKEY_RSA_ENC] = md;
3549             }
3550         }
3551
3552     }
3553     /*
3554      * In strict mode leave unset digests as NULL to indicate we can't use
3555      * the certificate for signing.
3556      */
3557     if (!(s->cert->cert_flags & SSL_CERT_FLAGS_CHECK_TLS_STRICT)) {
3558         /*
3559          * Set any remaining keys to default values. NOTE: if alg is not
3560          * supported it stays as NULL.
3561          */
3562 #ifndef OPENSSL_NO_DSA
3563         if (pmd[SSL_PKEY_DSA_SIGN] == NULL)
3564             pmd[SSL_PKEY_DSA_SIGN] = EVP_sha1();
3565 #endif
3566 #ifndef OPENSSL_NO_RSA
3567         if (pmd[SSL_PKEY_RSA_SIGN] == NULL) {
3568             pmd[SSL_PKEY_RSA_SIGN] = EVP_sha1();
3569             pmd[SSL_PKEY_RSA_ENC] = EVP_sha1();
3570         }
3571 #endif
3572 #ifndef OPENSSL_NO_EC
3573         if (pmd[SSL_PKEY_ECC] == NULL)
3574             pmd[SSL_PKEY_ECC] = EVP_sha1();
3575 #endif
3576 # ifndef OPENSSL_NO_GOST
3577         if (pmd[SSL_PKEY_GOST01] == NULL)
3578             pmd[SSL_PKEY_GOST01] = EVP_get_digestbynid(NID_id_GostR3411_94);
3579         if (pmd[SSL_PKEY_GOST12_256] == NULL)
3580             pmd[SSL_PKEY_GOST12_256] = EVP_get_digestbynid(NID_id_GostR3411_2012_256);
3581         if (pmd[SSL_PKEY_GOST12_512] == NULL)
3582             pmd[SSL_PKEY_GOST12_512] = EVP_get_digestbynid(NID_id_GostR3411_2012_512);
3583 # endif
3584     }
3585     return 1;
3586 }
3587
3588 int SSL_get_sigalgs(SSL *s, int idx,
3589                     int *psign, int *phash, int *psignhash,
3590                     unsigned char *rsig, unsigned char *rhash)
3591 {
3592     const unsigned char *psig = s->s3->tmp.peer_sigalgs;
3593     if (psig == NULL)
3594         return 0;
3595     if (idx >= 0) {
3596         idx <<= 1;
3597         if (idx >= (int)s->s3->tmp.peer_sigalgslen)
3598             return 0;
3599         psig += idx;
3600         if (rhash)
3601             *rhash = psig[0];
3602         if (rsig)
3603             *rsig = psig[1];
3604         tls1_lookup_sigalg(phash, psign, psignhash, psig);
3605     }
3606     return s->s3->tmp.peer_sigalgslen / 2;
3607 }
3608
3609 int SSL_get_shared_sigalgs(SSL *s, int idx,
3610                            int *psign, int *phash, int *psignhash,
3611                            unsigned char *rsig, unsigned char *rhash)
3612 {
3613     TLS_SIGALGS *shsigalgs = s->cert->shared_sigalgs;
3614     if (!shsigalgs || idx >= (int)s->cert->shared_sigalgslen)
3615         return 0;
3616     shsigalgs += idx;
3617     if (phash)
3618         *phash = shsigalgs->hash_nid;
3619     if (psign)
3620         *psign = shsigalgs->sign_nid;
3621     if (psignhash)
3622         *psignhash = shsigalgs->signandhash_nid;
3623     if (rsig)
3624         *rsig = shsigalgs->rsign;
3625     if (rhash)
3626         *rhash = shsigalgs->rhash;
3627     return s->cert->shared_sigalgslen;
3628 }
3629
3630 #ifndef OPENSSL_NO_HEARTBEATS
3631 int tls1_process_heartbeat(SSL *s, unsigned char *p, unsigned int length)
3632 {
3633     unsigned char *pl;
3634     unsigned short hbtype;
3635     unsigned int payload;
3636     unsigned int padding = 16;  /* Use minimum padding */
3637
3638     if (s->msg_callback)
3639         s->msg_callback(0, s->version, TLS1_RT_HEARTBEAT,
3640                         p, length,
3641                         s, s->msg_callback_arg);
3642
3643     /* Read type and payload length first */
3644     if (1 + 2 + 16 > length)
3645         return 0;               /* silently discard */
3646     hbtype = *p++;
3647     n2s(p, payload);
3648     if (1 + 2 + payload + 16 > length)
3649         return 0;               /* silently discard per RFC 6520 sec. 4 */
3650     pl = p;
3651
3652     if (hbtype == TLS1_HB_REQUEST) {
3653         unsigned char *buffer, *bp;
3654         int r;
3655
3656         /*
3657          * Allocate memory for the response, size is 1 bytes message type,
3658          * plus 2 bytes payload length, plus payload, plus padding
3659          */
3660         buffer = OPENSSL_malloc(1 + 2 + payload + padding);
3661         if (buffer == NULL) {
3662             SSLerr(SSL_F_TLS1_PROCESS_HEARTBEAT, ERR_R_MALLOC_FAILURE);
3663             return -1;
3664         }
3665         bp = buffer;
3666
3667         /* Enter response type, length and copy payload */
3668         *bp++ = TLS1_HB_RESPONSE;
3669         s2n(payload, bp);
3670         memcpy(bp, pl, payload);
3671         bp += payload;
3672         /* Random padding */
3673         if (RAND_bytes(bp, padding) <= 0) {
3674             OPENSSL_free(buffer);
3675             return -1;
3676         }
3677
3678         r = ssl3_write_bytes(s, TLS1_RT_HEARTBEAT, buffer,
3679                              3 + payload + padding);
3680
3681         if (r >= 0 && s->msg_callback)
3682             s->msg_callback(1, s->version, TLS1_RT_HEARTBEAT,
3683                             buffer, 3 + payload + padding,
3684                        &n