crypto/store/store_result.c

   1 /*
   2  * Copyright 2020-2021 The OpenSSL Project Authors. All Rights Reserved.
   3  *
   4  * Licensed under the Apache License 2.0 (the "License").  You may not use
   5  * this file except in compliance with the License.  You can obtain a copy
   6  * in the file LICENSE in the source distribution or at
   7  * https://www.openssl.org/source/license.html
   8  */
   9
  10 #include "e_os.h"
  11 #include <string.h>
  12
  13 #include <openssl/core.h>
  14 #include <openssl/core_names.h>
  15 #include <openssl/core_object.h>
  16 #include <openssl/err.h>
  17 #include <openssl/pkcs12.h>
  18 #include <openssl/provider.h>
  19 #include <openssl/decoder.h>
  20 #include <openssl/store.h>
  21 #include "internal/provider.h"
  22 #include "internal/passphrase.h"
  23 #include "crypto/evp.h"
  24 #include "crypto/x509.h"
  25 #include "store_local.h"
  26
  27 #ifndef OSSL_OBJECT_PKCS12
  28 /*
  29  * The object abstraction doesn't know PKCS#12, but we want to indicate
  30  * it anyway, so we create our own.  Since the public macros use positive
  31  * numbers, negative ones should be fine.  They must never slip out from
  32  * this translation unit anyway.
  33  */
  34 # define OSSL_OBJECT_PKCS12 -1
  35 #endif
  36
  37 /*
  38  * ossl_store_handle_load_result() is initially written to be a companion
  39  * to our 'file:' scheme provider implementation, but has been made generic
  40  * to serve others as well.
  41  *
  42  * This result handler takes any object abstraction (see provider-object(7))
  43  * and does the best it can with it.  If the object is passed by value (not
  44  * by reference), the contents are currently expected to be DER encoded.
  45  * If an object type is specified, that will be respected; otherwise, this
  46  * handler will guess the contents, by trying the following in order:
  47  *
  48  * 1.  Decode it into an EVP_PKEY, using OSSL_DECODER.
  49  * 2.  Decode it into an X.509 certificate, using d2i_X509 / d2i_X509_AUX.
  50  * 3.  Decode it into an X.509 CRL, using d2i_X509_CRL.
  51  * 4.  Decode it into a PKCS#12 structure, using d2i_PKCS12 (*).
  52  *
  53  * For the 'file:' scheme implementation, this is division of labor.  Since
  54  * the libcrypto <-> provider interface currently doesn't support certain
  55  * structures as first class objects, they must be unpacked from DER here
  56  * rather than in the provider.  The current exception is asymmetric keys,
  57  * which can reside within the provider boundary, most of all thanks to
  58  * OSSL_FUNC_keymgmt_load(), which allows loading the key material by
  59  * reference.
  60  */
  61
  62 struct extracted_param_data_st {
  63     int object_type;
  64     const char *data_type;
  65     const char *data_structure;
  66     const char *utf8_data;
  67     const void *octet_data;
  68     size_t octet_data_size;
  69     const void *ref;
  70     size_t ref_size;
  71     const char *desc;
  72 };
  73
  74 static int try_name(struct extracted_param_data_st *, OSSL_STORE_INFO **);
  75 static int try_key(struct extracted_param_data_st *, OSSL_STORE_INFO **,
  76                    OSSL_STORE_CTX *, const OSSL_PROVIDER *,
  77                    OSSL_LIB_CTX *, const char *);
  78 static int try_cert(struct extracted_param_data_st *, OSSL_STORE_INFO **,
  79                     OSSL_LIB_CTX *, const char *);
  80 static int try_crl(struct extracted_param_data_st *, OSSL_STORE_INFO **,
  81                    OSSL_LIB_CTX *, const char *);
  82 static int try_pkcs12(struct extracted_param_data_st *, OSSL_STORE_INFO **,
  83                       OSSL_STORE_CTX *, OSSL_LIB_CTX *, const char *);
  84
  85 int ossl_store_handle_load_result(const OSSL_PARAM params[], void *arg)
  86 {
  87     struct ossl_load_result_data_st *cbdata = arg;
  88     OSSL_STORE_INFO **v = &cbdata->v;
  89     OSSL_STORE_CTX *ctx = cbdata->ctx;
  90     const OSSL_PROVIDER *provider =
  91         OSSL_STORE_LOADER_get0_provider(ctx->fetched_loader);
  92     OSSL_LIB_CTX *libctx = ossl_provider_libctx(provider);
  93     const char *propq = ctx->properties;
  94     const OSSL_PARAM *p;
  95     struct extracted_param_data_st helper_data;
  96
  97     memset(&helper_data, 0, sizeof(helper_data));
  98     helper_data.object_type = OSSL_OBJECT_UNKNOWN;
  99
 100     if ((p = OSSL_PARAM_locate_const(params, OSSL_OBJECT_PARAM_TYPE)) != NULL
 101         && !OSSL_PARAM_get_int(p, &helper_data.object_type))
 102         return 0;
 103     p = OSSL_PARAM_locate_const(params, OSSL_OBJECT_PARAM_DATA_TYPE);
 104     if (p != NULL
 105         && !OSSL_PARAM_get_utf8_string_ptr(p, &helper_data.data_type))
 106         return 0;
 107     p = OSSL_PARAM_locate_const(params, OSSL_OBJECT_PARAM_DATA);
 108     if (p != NULL
 109         && !OSSL_PARAM_get_octet_string_ptr(p, &helper_data.octet_data,
 110                                             &helper_data.octet_data_size)
 111         && !OSSL_PARAM_get_utf8_string_ptr(p, &helper_data.utf8_data))
 112         return 0;
 113     p = OSSL_PARAM_locate_const(params, OSSL_OBJECT_PARAM_DATA_STRUCTURE);
 114     if (p != NULL
 115         && !OSSL_PARAM_get_utf8_string_ptr(p, &helper_data.data_structure))
 116         return 0;
 117     p = OSSL_PARAM_locate_const(params, OSSL_OBJECT_PARAM_REFERENCE);
 118     if (p != NULL && !OSSL_PARAM_get_octet_string_ptr(p, &helper_data.ref,
 119                                                       &helper_data.ref_size))
 120         return 0;
 121     p = OSSL_PARAM_locate_const(params, OSSL_OBJECT_PARAM_DESC);
 122     if (p != NULL && !OSSL_PARAM_get_utf8_string_ptr(p, &helper_data.desc))
 123         return 0;
 124
 125     /*
 126      * The helper functions return 0 on actual errors, otherwise 1, even if
 127      * they didn't fill out |*v|.
 128      */
 129     ERR_set_mark();
 130     if (*v == NULL && !try_name(&helper_data, v))
 131         goto err;
 132     ERR_pop_to_mark();
 133     ERR_set_mark();
 134     if (*v == NULL && !try_key(&helper_data, v, ctx, provider, libctx, propq))
 135         goto err;
 136     ERR_pop_to_mark();
 137     ERR_set_mark();
 138     if (*v == NULL && !try_cert(&helper_data, v, libctx, propq))
 139         goto err;
 140     ERR_pop_to_mark();
 141     ERR_set_mark();
 142     if (*v == NULL && !try_crl(&helper_data, v, libctx, propq))
 143         goto err;
 144     ERR_pop_to_mark();
 145     ERR_set_mark();
 146     if (*v == NULL && !try_pkcs12(&helper_data, v, ctx, libctx, propq))
 147         goto err;
 148     ERR_pop_to_mark();
 149
 150     if (*v == NULL)
 151         ERR_raise(ERR_LIB_OSSL_STORE, ERR_R_UNSUPPORTED);
 152
 153     return (*v != NULL);
 154  err:
 155     ERR_clear_last_mark();
 156     return 0;
 157 }
 158
 159 static int try_name(struct extracted_param_data_st *data, OSSL_STORE_INFO **v)
 160 {
 161     if (data->object_type == OSSL_OBJECT_NAME) {
 162         char *newname = NULL, *newdesc = NULL;
 163
 164         if (data->utf8_data == NULL)
 165             return 0;
 166         if ((newname = OPENSSL_strdup(data->utf8_data)) == NULL
 167             || (data->desc != NULL
 168                 && (newdesc = OPENSSL_strdup(data->desc)) == NULL)
 169             || (*v = OSSL_STORE_INFO_new_NAME(newname)) == NULL) {
 170             OPENSSL_free(newname);
 171             OPENSSL_free(newdesc);
 172             return 0;
 173         }
 174         OSSL_STORE_INFO_set0_NAME_description(*v, newdesc);
 175     }
 176     return 1;
 177 }
 178
 179 /*
 180  * For the rest of the object types, the provider code may not know what
 181  * type of data it gave us, so we may need to figure that out on our own.
 182  * Therefore, we do check for OSSL_OBJECT_UNKNOWN everywhere below, and
 183  * only return 0 on error if the object type is known.
 184  */
 185
 186 static EVP_PKEY *try_key_ref(struct extracted_param_data_st *data,
 187                              OSSL_STORE_CTX *ctx,
 188                              const OSSL_PROVIDER *provider,
 189                              OSSL_LIB_CTX *libctx, const char *propq)
 190 {
 191     EVP_PKEY *pk = NULL;
 192     EVP_KEYMGMT *keymgmt = NULL;
 193     void *keydata = NULL;
 194
 195     /* If we have an object reference, we must have a data type */
 196     if (data->data_type == NULL)
 197         return 0;
 198
 199     keymgmt = EVP_KEYMGMT_fetch(libctx, data->data_type, propq);
 200     if (keymgmt != NULL) {
 201         /*
 202          * There are two possible cases
 203          *
 204          * 1.  The keymgmt is from the same provider as the loader,
 205          *     so we can use evp_keymgmt_load()
 206          * 2.  The keymgmt is from another provider, then we must
 207          *     do the export/import dance.
 208          */
 209         if (EVP_KEYMGMT_get0_provider(keymgmt) == provider) {
 210             keydata = evp_keymgmt_load(keymgmt, data->ref, data->ref_size);
 211         } else {
 212             struct evp_keymgmt_util_try_import_data_st import_data;
 213             OSSL_FUNC_store_export_object_fn *export_object =
 214                 ctx->fetched_loader->p_export_object;
 215
 216             import_data.keymgmt = keymgmt;
 217             import_data.keydata = NULL;
 218             import_data.selection = OSSL_KEYMGMT_SELECT_ALL;
 219
 220             if (export_object != NULL) {
 221                 /*
 222                  * No need to check for errors here, the value of
 223                  * |import_data.keydata| is as much an indicator.
 224                  */
 225                 (void)export_object(ctx->loader_ctx,
 226                                     data->ref, data->ref_size,
 227                                     &evp_keymgmt_util_try_import,
 228                                     &import_data);
 229             }
 230
 231             keydata = import_data.keydata;
 232         }
 233     }
 234     if (keydata != NULL)
 235         pk = evp_keymgmt_util_make_pkey(keymgmt, keydata);
 236     EVP_KEYMGMT_free(keymgmt);
 237
 238     return pk;
 239 }
 240
 241 static EVP_PKEY *try_key_value(struct extracted_param_data_st *data,
 242                                OSSL_STORE_CTX *ctx,
 243                                OSSL_PASSPHRASE_CALLBACK *cb, void *cbarg,
 244                                OSSL_LIB_CTX *libctx, const char *propq)
 245 {
 246     EVP_PKEY *pk = NULL;
 247     OSSL_DECODER_CTX *decoderctx = NULL;
 248     const unsigned char *pdata = data->octet_data;
 249     size_t pdatalen = data->octet_data_size;
 250     int selection = 0;
 251
 252     switch (ctx->expected_type) {
 253     case 0:
 254         break;
 255     case OSSL_STORE_INFO_PARAMS:
 256         selection = OSSL_KEYMGMT_SELECT_ALL_PARAMETERS;
 257         break;
 258     case OSSL_STORE_INFO_PUBKEY:
 259         selection =
 260             OSSL_KEYMGMT_SELECT_PUBLIC_KEY
 261             | OSSL_KEYMGMT_SELECT_ALL_PARAMETERS;
 262         break;
 263     case OSSL_STORE_INFO_PKEY:
 264         selection = OSSL_KEYMGMT_SELECT_ALL;
 265         break;
 266     default:
 267         return NULL;
 268     }
 269
 270     decoderctx =
 271         OSSL_DECODER_CTX_new_for_pkey(&pk, NULL, data->data_structure,
 272                                       data->data_type, selection, libctx,
 273                                       propq);
 274     (void)OSSL_DECODER_CTX_set_passphrase_cb(decoderctx, cb, cbarg);
 275
 276     /* No error if this couldn't be decoded */
 277     (void)OSSL_DECODER_from_data(decoderctx, &pdata, &pdatalen);
 278
 279     OSSL_DECODER_CTX_free(decoderctx);
 280
 281     return pk;
 282 }
 283
 284 typedef OSSL_STORE_INFO *store_info_new_fn(EVP_PKEY *);
 285
 286 static EVP_PKEY *try_key_value_legacy(struct extracted_param_data_st *data,
 287                                       store_info_new_fn **store_info_new,
 288                                       OSSL_STORE_CTX *ctx,
 289                                       OSSL_PASSPHRASE_CALLBACK *cb, void *cbarg,
 290                                       OSSL_LIB_CTX *libctx, const char *propq)
 291 {
 292     EVP_PKEY *pk = NULL;
 293     const unsigned char *der = data->octet_data, *derp;
 294     long der_len = (long)data->octet_data_size;
 295
 296     /* Try PUBKEY first, that's a real easy target */
 297     if (ctx->expected_type == 0
 298         || ctx->expected_type == OSSL_STORE_INFO_PUBKEY) {
 299         derp = der;
 300         pk = d2i_PUBKEY_ex(NULL, &derp, der_len, libctx, propq);
 301
 302         if (pk != NULL)
 303             *store_info_new = OSSL_STORE_INFO_new_PUBKEY;
 304     }
 305
 306     /* Try private keys next */
 307     if (pk == NULL
 308         && (ctx->expected_type == 0
 309             || ctx->expected_type == OSSL_STORE_INFO_PKEY)) {
 310         unsigned char *new_der = NULL;
 311         X509_SIG *p8 = NULL;
 312         PKCS8_PRIV_KEY_INFO *p8info = NULL;
 313
 314         /* See if it's an encrypted PKCS#8 and decrypt it. */
 315         derp = der;
 316         p8 = d2i_X509_SIG(NULL, &derp, der_len);
 317
 318         if (p8 != NULL) {
 319             char pbuf[PEM_BUFSIZE];
 320             size_t plen = 0;
 321
 322             if (!cb(pbuf, sizeof(pbuf), &plen, NULL, cbarg)) {
 323                 ERR_raise(ERR_LIB_OSSL_STORE, OSSL_STORE_R_BAD_PASSWORD_READ);
 324             } else {
 325                 const X509_ALGOR *alg = NULL;
 326                 const ASN1_OCTET_STRING *oct = NULL;
 327                 int len = 0;
 328
 329                 X509_SIG_get0(p8, &alg, &oct);
 330
 331                 /*
 332                  * No need to check the returned value, |new_der|
 333                  * will be NULL on error anyway.
 334                  */
 335                 PKCS12_pbe_crypt(alg, pbuf, plen,
 336                                  oct->data, oct->length,
 337                                  &new_der, &len, 0);
 338                 der_len = len;
 339                 der = new_der;
 340             }
 341             X509_SIG_free(p8);
 342         }
 343
 344         /*
 345          * If the encrypted PKCS#8 couldn't be decrypted,
 346          * |der| is NULL
 347          */
 348         if (der != NULL) {
 349             /* Try to unpack an unencrypted PKCS#8, that's easy */
 350             derp = der;
 351             p8info = d2i_PKCS8_PRIV_KEY_INFO(NULL, &derp, der_len);
 352
 353             if (p8info != NULL) {
 354                 pk = EVP_PKCS82PKEY_ex(p8info, libctx, propq);
 355                 PKCS8_PRIV_KEY_INFO_free(p8info);
 356             }
 357         }
 358
 359         if (pk != NULL)
 360             *store_info_new = OSSL_STORE_INFO_new_PKEY;
 361
 362         OPENSSL_free(new_der);
 363     }
 364
 365     return pk;
 366 }
 367
 368 static int try_key(struct extracted_param_data_st *data, OSSL_STORE_INFO **v,
 369                    OSSL_STORE_CTX *ctx, const OSSL_PROVIDER *provider,
 370                    OSSL_LIB_CTX *libctx, const char *propq)
 371 {
 372     store_info_new_fn *store_info_new = NULL;
 373
 374     if (data->object_type == OSSL_OBJECT_UNKNOWN
 375         || data->object_type == OSSL_OBJECT_PKEY) {
 376         EVP_PKEY *pk = NULL;
 377
 378         /* Prefer key by reference than key by value */
 379         if (data->object_type == OSSL_OBJECT_PKEY && data->ref != NULL) {
 380             pk = try_key_ref(data, ctx, provider, libctx, propq);
 381
 382             /*
 383              * If for some reason we couldn't get a key, it's an error.
 384              * It indicates that while decoders could make a key reference,
 385              * the keymgmt somehow couldn't handle it, or doesn't have a
 386              * OSSL_FUNC_keymgmt_load function.
 387              */
 388             if (pk == NULL)
 389                 return 0;
 390         } else if (data->octet_data != NULL) {
 391             OSSL_PASSPHRASE_CALLBACK *cb = ossl_pw_passphrase_callback_dec;
 392             void *cbarg = &ctx->pwdata;
 393
 394             pk = try_key_value(data, ctx, cb, cbarg, libctx, propq);
 395
 396             /*
 397              * Desperate last maneuver, in case the decoders don't support
 398              * the data we have, then we try on our own to at least get an
 399              * engine provided legacy key.
 400              * This is the same as der2key_decode() does, but in a limited
 401              * way and within the walls of libcrypto.
 402              */
 403             if (pk == NULL)
 404                 pk = try_key_value_legacy(data, &store_info_new, ctx,
 405                                           cb, cbarg, libctx, propq);
 406         }
 407
 408         if (pk != NULL) {
 409             data->object_type = OSSL_OBJECT_PKEY;
 410
 411             if (store_info_new == NULL) {
 412                 /*
 413                  * We determined the object type for OSSL_STORE_INFO, which
 414                  * makes an explicit difference between an EVP_PKEY with just
 415                  * (domain) parameters and an EVP_PKEY with actual key
 416                  * material.
 417                  * The logic is that an EVP_PKEY with actual key material
 418                  * always has the public half.
 419                  */
 420                 if (evp_keymgmt_util_has(pk, OSSL_KEYMGMT_SELECT_PRIVATE_KEY))
 421                     store_info_new = OSSL_STORE_INFO_new_PKEY;
 422                 else if (evp_keymgmt_util_has(pk,
 423                                               OSSL_KEYMGMT_SELECT_PUBLIC_KEY))
 424                     store_info_new = OSSL_STORE_INFO_new_PUBKEY;
 425                 else
 426                     store_info_new = OSSL_STORE_INFO_new_PARAMS;
 427             }
 428             *v = store_info_new(pk);
 429         }
 430
 431         if (*v == NULL)
 432             EVP_PKEY_free(pk);
 433     }
 434
 435     return 1;
 436 }
 437
 438 static int try_cert(struct extracted_param_data_st *data, OSSL_STORE_INFO **v,
 439                     OSSL_LIB_CTX *libctx, const char *propq)
 440 {
 441     if (data->object_type == OSSL_OBJECT_UNKNOWN
 442         || data->object_type == OSSL_OBJECT_CERT) {
 443         /*
 444          * In most cases, we can try to interpret the serialized
 445          * data as a trusted cert (X509 + X509_AUX) and fall back
 446          * to reading it as a normal cert (just X509), but if
 447          * |data_type| (the PEM name) specifically declares it as a
 448          * trusted cert, then no fallback should be engaged.
 449          * |ignore_trusted| tells if the fallback can be used (1)
 450          * or not (0).
 451          */
 452         int ignore_trusted = 1;
 453         X509 *cert = X509_new_ex(libctx, propq);
 454
 455         if (cert == NULL)
 456             return 0;
 457
 458         /* If we have a data type, it should be a PEM name */
 459         if (data->data_type != NULL
 460             && (strcasecmp(data->data_type, PEM_STRING_X509_TRUSTED) == 0))
 461             ignore_trusted = 0;
 462
 463         if (d2i_X509_AUX(&cert, (const unsigned char **)&data->octet_data,
 464                          data->octet_data_size) == NULL
 465             && (!ignore_trusted
 466                 || d2i_X509(&cert, (const unsigned char **)&data->octet_data,
 467                             data->octet_data_size) == NULL)) {
 468             X509_free(cert);
 469             cert = NULL;
 470         }
 471
 472         if (cert != NULL) {
 473             /* We determined the object type */
 474             data->object_type = OSSL_OBJECT_CERT;
 475             *v = OSSL_STORE_INFO_new_CERT(cert);
 476             if (*v == NULL)
 477                 X509_free(cert);
 478         }
 479     }
 480
 481     return 1;
 482 }
 483
 484 static int try_crl(struct extracted_param_data_st *data, OSSL_STORE_INFO **v,
 485                    OSSL_LIB_CTX *libctx, const char *propq)
 486 {
 487     if (data->object_type == OSSL_OBJECT_UNKNOWN
 488         || data->object_type == OSSL_OBJECT_CRL) {
 489         X509_CRL *crl;
 490
 491         crl = d2i_X509_CRL(NULL, (const unsigned char **)&data->octet_data,
 492                            data->octet_data_size);
 493
 494         if (crl != NULL)
 495             /* We determined the object type */
 496             data->object_type = OSSL_OBJECT_CRL;
 497
 498         if (crl != NULL && !ossl_x509_crl_set0_libctx(crl, libctx, propq)) {
 499             X509_CRL_free(crl);
 500             crl = NULL;
 501         }
 502
 503         if (crl != NULL)
 504             *v = OSSL_STORE_INFO_new_CRL(crl);
 505         if (*v == NULL)
 506             X509_CRL_free(crl);
 507     }
 508
 509     return 1;
 510 }
 511
 512 static int try_pkcs12(struct extracted_param_data_st *data, OSSL_STORE_INFO **v,
 513                       OSSL_STORE_CTX *ctx,
 514                       OSSL_LIB_CTX *libctx, const char *propq)
 515 {
 516     int ok = 1;
 517
 518     /* There is no specific object type for PKCS12 */
 519     if (data->object_type == OSSL_OBJECT_UNKNOWN) {
 520         /* Initial parsing */
 521         PKCS12 *p12;
 522
 523         p12 = d2i_PKCS12(NULL, (const unsigned char **)&data->octet_data,
 524                          data->octet_data_size);
 525
 526         if (p12 != NULL) {
 527             char *pass = NULL;
 528             char tpass[PEM_BUFSIZE];
 529             size_t tpass_len;
 530             EVP_PKEY *pkey = NULL;
 531             X509 *cert = NULL;
 532             STACK_OF(X509) *chain = NULL;
 533
 534             data->object_type = OSSL_OBJECT_PKCS12;
 535
 536             ok = 0;              /* Assume decryption or parse error */
 537
 538             if (PKCS12_verify_mac(p12, "", 0)
 539                 || PKCS12_verify_mac(p12, NULL, 0)) {
 540                 pass = "";
 541             } else {
 542                 static char prompt_info[] = "PKCS12 import pass phrase";
 543                 OSSL_PARAM pw_params[] = {
 544                     OSSL_PARAM_utf8_string(OSSL_PASSPHRASE_PARAM_INFO,
 545                                            prompt_info,
 546                                            sizeof(prompt_info) - 1),
 547                     OSSL_PARAM_END
 548                 };
 549
 550                 if (!ossl_pw_get_passphrase(tpass, sizeof(tpass), &tpass_len,
 551                                             pw_params, 0, &ctx->pwdata)) {
 552                     ERR_raise(ERR_LIB_OSSL_STORE,
 553                               OSSL_STORE_R_PASSPHRASE_CALLBACK_ERROR);
 554                     goto p12_end;
 555                 }
 556                 pass = tpass;
 557                 if (!PKCS12_verify_mac(p12, pass, strlen(pass))) {
 558                     ERR_raise_data(ERR_LIB_OSSL_STORE,
 559                                    OSSL_STORE_R_ERROR_VERIFYING_PKCS12_MAC,
 560                                    strlen(pass) == 0 ? "empty password" :
 561                                    "maybe wrong password");
 562                     goto p12_end;
 563                 }
 564             }
 565
 566             if (PKCS12_parse(p12, pass, &pkey, &cert, &chain)) {
 567                 STACK_OF(OSSL_STORE_INFO) *infos = NULL;
 568                 OSSL_STORE_INFO *osi_pkey = NULL;
 569                 OSSL_STORE_INFO *osi_cert = NULL;
 570                 OSSL_STORE_INFO *osi_ca = NULL;
 571
 572                 ok = 1;          /* Parsing went through correctly! */
 573
 574                 if ((infos = sk_OSSL_STORE_INFO_new_null()) != NULL) {
 575                     if (pkey != NULL) {
 576                         if ((osi_pkey = OSSL_STORE_INFO_new_PKEY(pkey)) != NULL
 577                             /* clearing pkey here avoids case distinctions */
 578                             && (pkey = NULL) == NULL
 579                             && sk_OSSL_STORE_INFO_push(infos, osi_pkey) != 0)
 580                             osi_pkey = NULL;
 581                         else
 582                             ok = 0;
 583                     }
 584                     if (ok && cert != NULL) {
 585                         if ((osi_cert = OSSL_STORE_INFO_new_CERT(cert)) != NULL
 586                             /* clearing cert here avoids case distinctions */
 587                             && (cert = NULL) == NULL
 588                             && sk_OSSL_STORE_INFO_push(infos, osi_cert) != 0)
 589                             osi_cert = NULL;
 590                         else
 591                             ok = 0;
 592                     }
 593                     while (ok && sk_X509_num(chain) > 0) {
 594                         X509 *ca = sk_X509_value(chain, 0);
 595
 596                         if ((osi_ca = OSSL_STORE_INFO_new_CERT(ca)) != NULL
 597                             && sk_X509_shift(chain) != NULL
 598                             && sk_OSSL_STORE_INFO_push(infos, osi_ca) != 0)
 599                             osi_ca = NULL;
 600                         else
 601                             ok = 0;
 602                     }
 603                 }
 604                 EVP_PKEY_free(pkey);
 605                 X509_free(cert);
 606                 sk_X509_pop_free(chain, X509_free);
 607                 OSSL_STORE_INFO_free(osi_pkey);
 608                 OSSL_STORE_INFO_free(osi_cert);
 609                 OSSL_STORE_INFO_free(osi_ca);
 610                 if (!ok) {
 611                     sk_OSSL_STORE_INFO_pop_free(infos, OSSL_STORE_INFO_free);
 612                     infos = NULL;
 613                 }
 614                 ctx->cached_info = infos;
 615             }
 616         }
 617      p12_end:
 618         PKCS12_free(p12);
 619         *v = sk_OSSL_STORE_INFO_shift(ctx->cached_info);
 620     }
 621
 622     return ok;
 623 }