ssl/ssl_lib.c

   1 /*
   2  * Copyright 1995-2016 The OpenSSL Project Authors. All Rights Reserved.
   3  * Copyright (c) 2002, Oracle and/or its affiliates. All rights reserved
   4  * Copyright 2005 Nokia. All rights reserved.
   5  *
   6  * Licensed under the OpenSSL license (the "License").  You may not use
   7  * this file except in compliance with the License.  You can obtain a copy
   8  * in the file LICENSE in the source distribution or at
   9  * https://www.openssl.org/source/license.html
  10  */
  11
  12 #include <stdio.h>
  13 #include "ssl_locl.h"
  14 #include <openssl/objects.h>
  15 #include <openssl/lhash.h>
  16 #include <openssl/x509v3.h>
  17 #include <openssl/rand.h>
  18 #include <openssl/ocsp.h>
  19 #include <openssl/dh.h>
  20 #include <openssl/engine.h>
  21 #include <openssl/async.h>
  22 #include <openssl/ct.h>
  23 #include "internal/cryptlib.h"
  24 #include "internal/rand.h"
  25
  26 const char SSL_version_str[] = OPENSSL_VERSION_TEXT;
  27
  28 SSL3_ENC_METHOD ssl3_undef_enc_method = {
  29     /*
  30      * evil casts, but these functions are only called if there's a library
  31      * bug
  32      */
  33     (int (*)(SSL *, SSL3_RECORD *, size_t, int))ssl_undefined_function,
  34     (int (*)(SSL *, SSL3_RECORD *, unsigned char *, int))ssl_undefined_function,
  35     ssl_undefined_function,
  36     (int (*)(SSL *, unsigned char *, unsigned char *, size_t, size_t *))
  37         ssl_undefined_function,
  38     (int (*)(SSL *, int))ssl_undefined_function,
  39     (size_t (*)(SSL *, const char *, size_t, unsigned char *))
  40         ssl_undefined_function,
  41     NULL,                       /* client_finished_label */
  42     0,                          /* client_finished_label_len */
  43     NULL,                       /* server_finished_label */
  44     0,                          /* server_finished_label_len */
  45     (int (*)(int))ssl_undefined_function,
  46     (int (*)(SSL *, unsigned char *, size_t, const char *,
  47              size_t, const unsigned char *, size_t,
  48              int use_context))ssl_undefined_function,
  49 };
  50
  51 struct ssl_async_args {
  52     SSL *s;
  53     void *buf;
  54     size_t num;
  55     enum { READFUNC, WRITEFUNC, OTHERFUNC } type;
  56     union {
  57         int (*func_read) (SSL *, void *, size_t, size_t *);
  58         int (*func_write) (SSL *, const void *, size_t, size_t *);
  59         int (*func_other) (SSL *);
  60     } f;
  61 };
  62
  63 static const struct {
  64     uint8_t mtype;
  65     uint8_t ord;
  66     int nid;
  67 } dane_mds[] = {
  68     {
  69         DANETLS_MATCHING_FULL, 0, NID_undef
  70     },
  71     {
  72         DANETLS_MATCHING_2256, 1, NID_sha256
  73     },
  74     {
  75         DANETLS_MATCHING_2512, 2, NID_sha512
  76     },
  77 };
  78
  79 static int dane_ctx_enable(struct dane_ctx_st *dctx)
  80 {
  81     const EVP_MD **mdevp;
  82     uint8_t *mdord;
  83     uint8_t mdmax = DANETLS_MATCHING_LAST;
  84     int n = ((int)mdmax) + 1;   /* int to handle PrivMatch(255) */
  85     size_t i;
  86
  87     if (dctx->mdevp != NULL)
  88         return 1;
  89
  90     mdevp = OPENSSL_zalloc(n * sizeof(*mdevp));
  91     mdord = OPENSSL_zalloc(n * sizeof(*mdord));
  92
  93     if (mdord == NULL || mdevp == NULL) {
  94         OPENSSL_free(mdord);
  95         OPENSSL_free(mdevp);
  96         SSLerr(SSL_F_DANE_CTX_ENABLE, ERR_R_MALLOC_FAILURE);
  97         return 0;
  98     }
  99
 100     /* Install default entries */
 101     for (i = 0; i < OSSL_NELEM(dane_mds); ++i) {
 102         const EVP_MD *md;
 103
 104         if (dane_mds[i].nid == NID_undef ||
 105             (md = EVP_get_digestbynid(dane_mds[i].nid)) == NULL)
 106             continue;
 107         mdevp[dane_mds[i].mtype] = md;
 108         mdord[dane_mds[i].mtype] = dane_mds[i].ord;
 109     }
 110
 111     dctx->mdevp = mdevp;
 112     dctx->mdord = mdord;
 113     dctx->mdmax = mdmax;
 114
 115     return 1;
 116 }
 117
 118 static void dane_ctx_final(struct dane_ctx_st *dctx)
 119 {
 120     OPENSSL_free(dctx->mdevp);
 121     dctx->mdevp = NULL;
 122
 123     OPENSSL_free(dctx->mdord);
 124     dctx->mdord = NULL;
 125     dctx->mdmax = 0;
 126 }
 127
 128 static void tlsa_free(danetls_record *t)
 129 {
 130     if (t == NULL)
 131         return;
 132     OPENSSL_free(t->data);
 133     EVP_PKEY_free(t->spki);
 134     OPENSSL_free(t);
 135 }
 136
 137 static void dane_final(SSL_DANE *dane)
 138 {
 139     sk_danetls_record_pop_free(dane->trecs, tlsa_free);
 140     dane->trecs = NULL;
 141
 142     sk_X509_pop_free(dane->certs, X509_free);
 143     dane->certs = NULL;
 144
 145     X509_free(dane->mcert);
 146     dane->mcert = NULL;
 147     dane->mtlsa = NULL;
 148     dane->mdpth = -1;
 149     dane->pdpth = -1;
 150 }
 151
 152 /*
 153  * dane_copy - Copy dane configuration, sans verification state.
 154  */
 155 static int ssl_dane_dup(SSL *to, SSL *from)
 156 {
 157     int num;
 158     int i;
 159
 160     if (!DANETLS_ENABLED(&from->dane))
 161         return 1;
 162
 163     dane_final(&to->dane);
 164     to->dane.flags = from->dane.flags;
 165     to->dane.dctx = &to->ctx->dane;
 166     to->dane.trecs = sk_danetls_record_new_null();
 167
 168     if (to->dane.trecs == NULL) {
 169         SSLerr(SSL_F_SSL_DANE_DUP, ERR_R_MALLOC_FAILURE);
 170         return 0;
 171     }
 172
 173     num = sk_danetls_record_num(from->dane.trecs);
 174     for (i = 0; i < num; ++i) {
 175         danetls_record *t = sk_danetls_record_value(from->dane.trecs, i);
 176
 177         if (SSL_dane_tlsa_add(to, t->usage, t->selector, t->mtype,
 178                               t->data, t->dlen) <= 0)
 179             return 0;
 180     }
 181     return 1;
 182 }
 183
 184 static int dane_mtype_set(struct dane_ctx_st *dctx,
 185                           const EVP_MD *md, uint8_t mtype, uint8_t ord)
 186 {
 187     int i;
 188
 189     if (mtype == DANETLS_MATCHING_FULL && md != NULL) {
 190         SSLerr(SSL_F_DANE_MTYPE_SET, SSL_R_DANE_CANNOT_OVERRIDE_MTYPE_FULL);
 191         return 0;
 192     }
 193
 194     if (mtype > dctx->mdmax) {
 195         const EVP_MD **mdevp;
 196         uint8_t *mdord;
 197         int n = ((int)mtype) + 1;
 198
 199         mdevp = OPENSSL_realloc(dctx->mdevp, n * sizeof(*mdevp));
 200         if (mdevp == NULL) {
 201             SSLerr(SSL_F_DANE_MTYPE_SET, ERR_R_MALLOC_FAILURE);
 202             return -1;
 203         }
 204         dctx->mdevp = mdevp;
 205
 206         mdord = OPENSSL_realloc(dctx->mdord, n * sizeof(*mdord));
 207         if (mdord == NULL) {
 208             SSLerr(SSL_F_DANE_MTYPE_SET, ERR_R_MALLOC_FAILURE);
 209             return -1;
 210         }
 211         dctx->mdord = mdord;
 212
 213         /* Zero-fill any gaps */
 214         for (i = dctx->mdmax + 1; i < mtype; ++i) {
 215             mdevp[i] = NULL;
 216             mdord[i] = 0;
 217         }
 218
 219         dctx->mdmax = mtype;
 220     }
 221
 222     dctx->mdevp[mtype] = md;
 223     /* Coerce ordinal of disabled matching types to 0 */
 224     dctx->mdord[mtype] = (md == NULL) ? 0 : ord;
 225
 226     return 1;
 227 }
 228
 229 static const EVP_MD *tlsa_md_get(SSL_DANE *dane, uint8_t mtype)
 230 {
 231     if (mtype > dane->dctx->mdmax)
 232         return NULL;
 233     return dane->dctx->mdevp[mtype];
 234 }
 235
 236 static int dane_tlsa_add(SSL_DANE *dane,
 237                          uint8_t usage,
 238                          uint8_t selector,
 239                          uint8_t mtype, unsigned char *data, size_t dlen)
 240 {
 241     danetls_record *t;
 242     const EVP_MD *md = NULL;
 243     int ilen = (int)dlen;
 244     int i;
 245     int num;
 246
 247     if (dane->trecs == NULL) {
 248         SSLerr(SSL_F_DANE_TLSA_ADD, SSL_R_DANE_NOT_ENABLED);
 249         return -1;
 250     }
 251
 252     if (ilen < 0 || dlen != (size_t)ilen) {
 253         SSLerr(SSL_F_DANE_TLSA_ADD, SSL_R_DANE_TLSA_BAD_DATA_LENGTH);
 254         return 0;
 255     }
 256
 257     if (usage > DANETLS_USAGE_LAST) {
 258         SSLerr(SSL_F_DANE_TLSA_ADD, SSL_R_DANE_TLSA_BAD_CERTIFICATE_USAGE);
 259         return 0;
 260     }
 261
 262     if (selector > DANETLS_SELECTOR_LAST) {
 263         SSLerr(SSL_F_DANE_TLSA_ADD, SSL_R_DANE_TLSA_BAD_SELECTOR);
 264         return 0;
 265     }
 266
 267     if (mtype != DANETLS_MATCHING_FULL) {
 268         md = tlsa_md_get(dane, mtype);
 269         if (md == NULL) {
 270             SSLerr(SSL_F_DANE_TLSA_ADD, SSL_R_DANE_TLSA_BAD_MATCHING_TYPE);
 271             return 0;
 272         }
 273     }
 274
 275     if (md != NULL && dlen != (size_t)EVP_MD_size(md)) {
 276         SSLerr(SSL_F_DANE_TLSA_ADD, SSL_R_DANE_TLSA_BAD_DIGEST_LENGTH);
 277         return 0;
 278     }
 279     if (!data) {
 280         SSLerr(SSL_F_DANE_TLSA_ADD, SSL_R_DANE_TLSA_NULL_DATA);
 281         return 0;
 282     }
 283
 284     if ((t = OPENSSL_zalloc(sizeof(*t))) == NULL) {
 285         SSLerr(SSL_F_DANE_TLSA_ADD, ERR_R_MALLOC_FAILURE);
 286         return -1;
 287     }
 288
 289     t->usage = usage;
 290     t->selector = selector;
 291     t->mtype = mtype;
 292     t->data = OPENSSL_malloc(dlen);
 293     if (t->data == NULL) {
 294         tlsa_free(t);
 295         SSLerr(SSL_F_DANE_TLSA_ADD, ERR_R_MALLOC_FAILURE);
 296         return -1;
 297     }
 298     memcpy(t->data, data, dlen);
 299     t->dlen = dlen;
 300
 301     /* Validate and cache full certificate or public key */
 302     if (mtype == DANETLS_MATCHING_FULL) {
 303         const unsigned char *p = data;
 304         X509 *cert = NULL;
 305         EVP_PKEY *pkey = NULL;
 306
 307         switch (selector) {
 308         case DANETLS_SELECTOR_CERT:
 309             if (!d2i_X509(&cert, &p, ilen) || p < data ||
 310                 dlen != (size_t)(p - data)) {
 311                 tlsa_free(t);
 312                 SSLerr(SSL_F_DANE_TLSA_ADD, SSL_R_DANE_TLSA_BAD_CERTIFICATE);
 313                 return 0;
 314             }
 315             if (X509_get0_pubkey(cert) == NULL) {
 316                 tlsa_free(t);
 317                 SSLerr(SSL_F_DANE_TLSA_ADD, SSL_R_DANE_TLSA_BAD_CERTIFICATE);
 318                 return 0;
 319             }
 320
 321             if ((DANETLS_USAGE_BIT(usage) & DANETLS_TA_MASK) == 0) {
 322                 X509_free(cert);
 323                 break;
 324             }
 325
 326             /*
 327              * For usage DANE-TA(2), we support authentication via "2 0 0" TLSA
 328              * records that contain full certificates of trust-anchors that are
 329              * not present in the wire chain.  For usage PKIX-TA(0), we augment
 330              * the chain with untrusted Full(0) certificates from DNS, in case
 331              * they are missing from the chain.
 332              */
 333             if ((dane->certs == NULL &&
 334                  (dane->certs = sk_X509_new_null()) == NULL) ||
 335                 !sk_X509_push(dane->certs, cert)) {
 336                 SSLerr(SSL_F_DANE_TLSA_ADD, ERR_R_MALLOC_FAILURE);
 337                 X509_free(cert);
 338                 tlsa_free(t);
 339                 return -1;
 340             }
 341             break;
 342
 343         case DANETLS_SELECTOR_SPKI:
 344             if (!d2i_PUBKEY(&pkey, &p, ilen) || p < data ||
 345                 dlen != (size_t)(p - data)) {
 346                 tlsa_free(t);
 347                 SSLerr(SSL_F_DANE_TLSA_ADD, SSL_R_DANE_TLSA_BAD_PUBLIC_KEY);
 348                 return 0;
 349             }
 350
 351             /*
 352              * For usage DANE-TA(2), we support authentication via "2 1 0" TLSA
 353              * records that contain full bare keys of trust-anchors that are
 354              * not present in the wire chain.
 355              */
 356             if (usage == DANETLS_USAGE_DANE_TA)
 357                 t->spki = pkey;
 358             else
 359                 EVP_PKEY_free(pkey);
 360             break;
 361         }
 362     }
 363
 364     /*-
 365      * Find the right insertion point for the new record.
 366      *
 367      * See crypto/x509/x509_vfy.c.  We sort DANE-EE(3) records first, so that
 368      * they can be processed first, as they require no chain building, and no
 369      * expiration or hostname checks.  Because DANE-EE(3) is numerically
 370      * largest, this is accomplished via descending sort by "usage".
 371      *
 372      * We also sort in descending order by matching ordinal to simplify
 373      * the implementation of digest agility in the verification code.
 374      *
 375      * The choice of order for the selector is not significant, so we
 376      * use the same descending order for consistency.
 377      */
 378     num = sk_danetls_record_num(dane->trecs);
 379     for (i = 0; i < num; ++i) {
 380         danetls_record *rec = sk_danetls_record_value(dane->trecs, i);
 381
 382         if (rec->usage > usage)
 383             continue;
 384         if (rec->usage < usage)
 385             break;
 386         if (rec->selector > selector)
 387             continue;
 388         if (rec->selector < selector)
 389             break;
 390         if (dane->dctx->mdord[rec->mtype] > dane->dctx->mdord[mtype])
 391             continue;
 392         break;
 393     }
 394
 395     if (!sk_danetls_record_insert(dane->trecs, t, i)) {
 396         tlsa_free(t);
 397         SSLerr(SSL_F_DANE_TLSA_ADD, ERR_R_MALLOC_FAILURE);
 398         return -1;
 399     }
 400     dane->umask |= DANETLS_USAGE_BIT(usage);
 401
 402     return 1;
 403 }
 404
 405 /*
 406  * Return 0 if there is only one version configured and it was disabled
 407  * at configure time.  Return 1 otherwise.
 408  */
 409 static int ssl_check_allowed_versions(int min_version, int max_version)
 410 {
 411     int minisdtls = 0, maxisdtls = 0;
 412
 413     /* Figure out if we're doing DTLS versions or TLS versions */
 414     if (min_version == DTLS1_BAD_VER
 415         || min_version >> 8 == DTLS1_VERSION_MAJOR)
 416         minisdtls = 1;
 417     if (max_version == DTLS1_BAD_VER
 418         || max_version >> 8 == DTLS1_VERSION_MAJOR)
 419         maxisdtls = 1;
 420     /* A wildcard version of 0 could be DTLS or TLS. */
 421     if ((minisdtls && !maxisdtls && max_version != 0)
 422         || (maxisdtls && !minisdtls && min_version != 0)) {
 423         /* Mixing DTLS and TLS versions will lead to sadness; deny it. */
 424         return 0;
 425     }
 426
 427     if (minisdtls || maxisdtls) {
 428         /* Do DTLS version checks. */
 429         if (min_version == 0)
 430             /* Ignore DTLS1_BAD_VER */
 431             min_version = DTLS1_VERSION;
 432         if (max_version == 0)
 433             max_version = DTLS1_2_VERSION;
 434 #ifdef OPENSSL_NO_DTLS1_2
 435         if (max_version == DTLS1_2_VERSION)
 436             max_version = DTLS1_VERSION;
 437 #endif
 438 #ifdef OPENSSL_NO_DTLS1
 439         if (min_version == DTLS1_VERSION)
 440             min_version = DTLS1_2_VERSION;
 441 #endif
 442         /* Done massaging versions; do the check. */
 443         if (0
 444 #ifdef OPENSSL_NO_DTLS1
 445             || (DTLS_VERSION_GE(min_version, DTLS1_VERSION)
 446                 && DTLS_VERSION_GE(DTLS1_VERSION, max_version))
 447 #endif
 448 #ifdef OPENSSL_NO_DTLS1_2
 449             || (DTLS_VERSION_GE(min_version, DTLS1_2_VERSION)
 450                 && DTLS_VERSION_GE(DTLS1_2_VERSION, max_version))
 451 #endif
 452             )
 453             return 0;
 454     } else {
 455         /* Regular TLS version checks. */
 456         if (min_version == 0)
 457             min_version = SSL3_VERSION;
 458         if (max_version == 0)
 459             max_version = TLS1_3_VERSION;
 460 #ifdef OPENSSL_NO_TLS1_3
 461         if (max_version == TLS1_3_VERSION)
 462             max_version = TLS1_2_VERSION;
 463 #endif
 464 #ifdef OPENSSL_NO_TLS1_2
 465         if (max_version == TLS1_2_VERSION)
 466             max_version = TLS1_1_VERSION;
 467 #endif
 468 #ifdef OPENSSL_NO_TLS1_1
 469         if (max_version == TLS1_1_VERSION)
 470             max_version = TLS1_VERSION;
 471 #endif
 472 #ifdef OPENSSL_NO_TLS1
 473         if (max_version == TLS1_VERSION)
 474             max_version = SSL3_VERSION;
 475 #endif
 476 #ifdef OPENSSL_NO_SSL3
 477         if (min_version == SSL3_VERSION)
 478             min_version = TLS1_VERSION;
 479 #endif
 480 #ifdef OPENSSL_NO_TLS1
 481         if (min_version == TLS1_VERSION)
 482             min_version = TLS1_1_VERSION;
 483 #endif
 484 #ifdef OPENSSL_NO_TLS1_1
 485         if (min_version == TLS1_1_VERSION)
 486             min_version = TLS1_2_VERSION;
 487 #endif
 488 #ifdef OPENSSL_NO_TLS1_2
 489         if (min_version == TLS1_2_VERSION)
 490             min_version = TLS1_3_VERSION;
 491 #endif
 492         /* Done massaging versions; do the check. */
 493         if (0
 494 #ifdef OPENSSL_NO_SSL3
 495             || (min_version <= SSL3_VERSION && SSL3_VERSION <= max_version)
 496 #endif
 497 #ifdef OPENSSL_NO_TLS1
 498             || (min_version <= TLS1_VERSION && TLS1_VERSION <= max_version)
 499 #endif
 500 #ifdef OPENSSL_NO_TLS1_1
 501             || (min_version <= TLS1_1_VERSION && TLS1_1_VERSION <= max_version)
 502 #endif
 503 #ifdef OPENSSL_NO_TLS1_2
 504             || (min_version <= TLS1_2_VERSION && TLS1_2_VERSION <= max_version)
 505 #endif
 506 #ifdef OPENSSL_NO_TLS1_3
 507             || (min_version <= TLS1_3_VERSION && TLS1_3_VERSION <= max_version)
 508 #endif
 509             )
 510             return 0;
 511     }
 512     return 1;
 513 }
 514
 515 static void clear_ciphers(SSL *s)
 516 {
 517     /* clear the current cipher */
 518     ssl_clear_cipher_ctx(s);
 519     ssl_clear_hash_ctx(&s->read_hash);
 520     ssl_clear_hash_ctx(&s->write_hash);
 521 }
 522
 523 int SSL_clear(SSL *s)
 524 {
 525     if (s->method == NULL) {
 526         SSLerr(SSL_F_SSL_CLEAR, SSL_R_NO_METHOD_SPECIFIED);
 527         return 0;
 528     }
 529
 530     if (ssl_clear_bad_session(s)) {
 531         SSL_SESSION_free(s->session);
 532         s->session = NULL;
 533     }
 534     SSL_SESSION_free(s->psksession);
 535     s->psksession = NULL;
 536
 537     s->error = 0;
 538     s->hit = 0;
 539     s->shutdown = 0;
 540
 541     if (s->renegotiate) {
 542         SSLerr(SSL_F_SSL_CLEAR, ERR_R_INTERNAL_ERROR);
 543         return 0;
 544     }
 545
 546     ossl_statem_clear(s);
 547
 548     s->version = s->method->version;
 549     s->client_version = s->version;
 550     s->rwstate = SSL_NOTHING;
 551
 552     BUF_MEM_free(s->init_buf);
 553     s->init_buf = NULL;
 554     clear_ciphers(s);
 555     s->first_packet = 0;
 556
 557     s->key_update = SSL_KEY_UPDATE_NONE;
 558
 559     /* Reset DANE verification result state */
 560     s->dane.mdpth = -1;
 561     s->dane.pdpth = -1;
 562     X509_free(s->dane.mcert);
 563     s->dane.mcert = NULL;
 564     s->dane.mtlsa = NULL;
 565
 566     /* Clear the verification result peername */
 567     X509_VERIFY_PARAM_move_peername(s->param, NULL);
 568
 569     /*
 570      * Check to see if we were changed into a different method, if so, revert
 571      * back.
 572      */
 573     if (s->method != s->ctx->method) {
 574         s->method->ssl_free(s);
 575         s->method = s->ctx->method;
 576         if (!s->method->ssl_new(s))
 577             return 0;
 578     } else {
 579         if (!s->method->ssl_clear(s))
 580             return 0;
 581     }
 582
 583     RECORD_LAYER_clear(&s->rlayer);
 584
 585     return 1;
 586 }
 587
 588 /** Used to change an SSL_CTXs default SSL method type */
 589 int SSL_CTX_set_ssl_version(SSL_CTX *ctx, const SSL_METHOD *meth)
 590 {
 591     STACK_OF(SSL_CIPHER) *sk;
 592
 593     ctx->method = meth;
 594
 595     sk = ssl_create_cipher_list(ctx->method, &(ctx->cipher_list),
 596                                 &(ctx->cipher_list_by_id),
 597                                 SSL_DEFAULT_CIPHER_LIST, ctx->cert);
 598     if ((sk == NULL) || (sk_SSL_CIPHER_num(sk) <= 0)) {
 599         SSLerr(SSL_F_SSL_CTX_SET_SSL_VERSION, SSL_R_SSL_LIBRARY_HAS_NO_CIPHERS);
 600         return (0);
 601     }
 602     return (1);
 603 }
 604
 605 SSL *SSL_new(SSL_CTX *ctx)
 606 {
 607     SSL *s;
 608
 609     if (ctx == NULL) {
 610         SSLerr(SSL_F_SSL_NEW, SSL_R_NULL_SSL_CTX);
 611         return (NULL);
 612     }
 613     if (ctx->method == NULL) {
 614         SSLerr(SSL_F_SSL_NEW, SSL_R_SSL_CTX_HAS_NO_DEFAULT_SSL_VERSION);
 615         return (NULL);
 616     }
 617
 618     s = OPENSSL_zalloc(sizeof(*s));
 619     if (s == NULL)
 620         goto err;
 621
 622     s->lock = CRYPTO_THREAD_lock_new();
 623     if (s->lock == NULL)
 624         goto err;
 625
 626     /*
 627      * If not using the standard RAND (say for fuzzing), then don't use a
 628      * chained DRBG.
 629      */
 630     if (RAND_get_rand_method() == RAND_OpenSSL()) {
 631         s->drbg = RAND_DRBG_new(NID_aes_128_ctr, RAND_DRBG_FLAG_CTR_USE_DF,
 632                                 RAND_DRBG_get0_global());
 633         if (s->drbg == NULL
 634             || RAND_DRBG_instantiate(s->drbg, NULL, 0) == 0) {
 635             CRYPTO_THREAD_lock_free(s->lock);
 636             goto err;
 637         }
 638     }
 639
 640     RECORD_LAYER_init(&s->rlayer, s);
 641
 642     s->options = ctx->options;
 643     s->dane.flags = ctx->dane.flags;
 644     s->min_proto_version = ctx->min_proto_version;
 645     s->max_proto_version = ctx->max_proto_version;
 646     s->mode = ctx->mode;
 647     s->max_cert_list = ctx->max_cert_list;
 648     s->references = 1;
 649     s->max_early_data = ctx->max_early_data;
 650
 651     /*
 652      * Earlier library versions used to copy the pointer to the CERT, not
 653      * its contents; only when setting new parameters for the per-SSL
 654      * copy, ssl_cert_new would be called (and the direct reference to
 655      * the per-SSL_CTX settings would be lost, but those still were
 656      * indirectly accessed for various purposes, and for that reason they
 657      * used to be known as s->ctx->default_cert). Now we don't look at the
 658      * SSL_CTX's CERT after having duplicated it once.
 659      */
 660     s->cert = ssl_cert_dup(ctx->cert);
 661     if (s->cert == NULL)
 662         goto err;
 663
 664     RECORD_LAYER_set_read_ahead(&s->rlayer, ctx->read_ahead);
 665     s->msg_callback = ctx->msg_callback;
 666     s->msg_callback_arg = ctx->msg_callback_arg;
 667     s->verify_mode = ctx->verify_mode;
 668     s->not_resumable_session_cb = ctx->not_resumable_session_cb;
 669     s->record_padding_cb = ctx->record_padding_cb;
 670     s->record_padding_arg = ctx->record_padding_arg;
 671     s->block_padding = ctx->block_padding;
 672     s->sid_ctx_length = ctx->sid_ctx_length;
 673     if (!ossl_assert(s->sid_ctx_length <= sizeof s->sid_ctx))
 674         goto err;
 675     memcpy(&s->sid_ctx, &ctx->sid_ctx, sizeof(s->sid_ctx));
 676     s->verify_callback = ctx->default_verify_callback;
 677     s->generate_session_id = ctx->generate_session_id;
 678
 679     s->param = X509_VERIFY_PARAM_new();
 680     if (s->param == NULL)
 681         goto err;
 682     X509_VERIFY_PARAM_inherit(s->param, ctx->param);
 683     s->quiet_shutdown = ctx->quiet_shutdown;
 684     s->max_send_fragment = ctx->max_send_fragment;
 685     s->split_send_fragment = ctx->split_send_fragment;
 686     s->max_pipelines = ctx->max_pipelines;
 687     if (s->max_pipelines > 1)
 688         RECORD_LAYER_set_read_ahead(&s->rlayer, 1);
 689     if (ctx->default_read_buf_len > 0)
 690         SSL_set_default_read_buffer_len(s, ctx->default_read_buf_len);
 691
 692     SSL_CTX_up_ref(ctx);
 693     s->ctx = ctx;
 694     s->ext.debug_cb = 0;
 695     s->ext.debug_arg = NULL;
 696     s->ext.ticket_expected = 0;
 697     s->ext.status_type = ctx->ext.status_type;
 698     s->ext.status_expected = 0;
 699     s->ext.ocsp.ids = NULL;
 700     s->ext.ocsp.exts = NULL;
 701     s->ext.ocsp.resp = NULL;
 702     s->ext.ocsp.resp_len = 0;
 703     SSL_CTX_up_ref(ctx);
 704     s->session_ctx = ctx;
 705 #ifndef OPENSSL_NO_EC
 706     if (ctx->ext.ecpointformats) {
 707         s->ext.ecpointformats =
 708             OPENSSL_memdup(ctx->ext.ecpointformats,
 709                            ctx->ext.ecpointformats_len);
 710         if (!s->ext.ecpointformats)
 711             goto err;
 712         s->ext.ecpointformats_len =
 713             ctx->ext.ecpointformats_len;
 714     }
 715     if (ctx->ext.supportedgroups) {
 716         s->ext.supportedgroups =
 717             OPENSSL_memdup(ctx->ext.supportedgroups,
 718                            ctx->ext.supportedgroups_len);
 719         if (!s->ext.supportedgroups)
 720             goto err;
 721         s->ext.supportedgroups_len = ctx->ext.supportedgroups_len;
 722     }
 723 #endif
 724 #ifndef OPENSSL_NO_NEXTPROTONEG
 725     s->ext.npn = NULL;
 726 #endif
 727
 728     if (s->ctx->ext.alpn) {
 729         s->ext.alpn = OPENSSL_malloc(s->ctx->ext.alpn_len);
 730         if (s->ext.alpn == NULL)
 731             goto err;
 732         memcpy(s->ext.alpn, s->ctx->ext.alpn, s->ctx->ext.alpn_len);
 733         s->ext.alpn_len = s->ctx->ext.alpn_len;
 734     }
 735
 736     s->verified_chain = NULL;
 737     s->verify_result = X509_V_OK;
 738
 739     s->default_passwd_callback = ctx->default_passwd_callback;
 740     s->default_passwd_callback_userdata = ctx->default_passwd_callback_userdata;
 741
 742     s->method = ctx->method;
 743
 744     s->key_update = SSL_KEY_UPDATE_NONE;
 745
 746     if (!s->method->ssl_new(s))
 747         goto err;
 748
 749     s->server = (ctx->method->ssl_accept == ssl_undefined_function) ? 0 : 1;
 750
 751     if (!SSL_clear(s))
 752         goto err;
 753
 754     if (!CRYPTO_new_ex_data(CRYPTO_EX_INDEX_SSL, s, &s->ex_data))
 755         goto err;
 756
 757 #ifndef OPENSSL_NO_PSK
 758     s->psk_client_callback = ctx->psk_client_callback;
 759     s->psk_server_callback = ctx->psk_server_callback;
 760 #endif
 761     s->psk_find_session_cb = ctx->psk_find_session_cb;
 762     s->psk_use_session_cb = ctx->psk_use_session_cb;
 763
 764     s->job = NULL;
 765
 766 #ifndef OPENSSL_NO_CT
 767     if (!SSL_set_ct_validation_callback(s, ctx->ct_validation_callback,
 768                                         ctx->ct_validation_callback_arg))
 769         goto err;
 770 #endif
 771
 772     return s;
 773  err:
 774     SSL_free(s);
 775     SSLerr(SSL_F_SSL_NEW, ERR_R_MALLOC_FAILURE);
 776     return NULL;
 777 }
 778
 779 int SSL_is_dtls(const SSL *s)
 780 {
 781     return SSL_IS_DTLS(s) ? 1 : 0;
 782 }
 783
 784 int SSL_up_ref(SSL *s)
 785 {
 786     int i;
 787
 788     if (CRYPTO_UP_REF(&s->references, &i, s->lock) <= 0)
 789         return 0;
 790
 791     REF_PRINT_COUNT("SSL", s);
 792     REF_ASSERT_ISNT(i < 2);
 793     return ((i > 1) ? 1 : 0);
 794 }
 795
 796 int SSL_CTX_set_session_id_context(SSL_CTX *ctx, const unsigned char *sid_ctx,
 797                                    unsigned int sid_ctx_len)
 798 {
 799     if (sid_ctx_len > sizeof ctx->sid_ctx) {
 800         SSLerr(SSL_F_SSL_CTX_SET_SESSION_ID_CONTEXT,
 801                SSL_R_SSL_SESSION_ID_CONTEXT_TOO_LONG);
 802         return 0;
 803     }
 804     ctx->sid_ctx_length = sid_ctx_len;
 805     memcpy(ctx->sid_ctx, sid_ctx, sid_ctx_len);
 806
 807     return 1;
 808 }
 809
 810 int SSL_set_session_id_context(SSL *ssl, const unsigned char *sid_ctx,
 811                                unsigned int sid_ctx_len)
 812 {
 813     if (sid_ctx_len > SSL_MAX_SID_CTX_LENGTH) {
 814         SSLerr(SSL_F_SSL_SET_SESSION_ID_CONTEXT,
 815                SSL_R_SSL_SESSION_ID_CONTEXT_TOO_LONG);
 816         return 0;
 817     }
 818     ssl->sid_ctx_length = sid_ctx_len;
 819     memcpy(ssl->sid_ctx, sid_ctx, sid_ctx_len);
 820
 821     return 1;
 822 }
 823
 824 int SSL_CTX_set_generate_session_id(SSL_CTX *ctx, GEN_SESSION_CB cb)
 825 {
 826     CRYPTO_THREAD_write_lock(ctx->lock);
 827     ctx->generate_session_id = cb;
 828     CRYPTO_THREAD_unlock(ctx->lock);
 829     return 1;
 830 }
 831
 832 int SSL_set_generate_session_id(SSL *ssl, GEN_SESSION_CB cb)
 833 {
 834     CRYPTO_THREAD_write_lock(ssl->lock);
 835     ssl->generate_session_id = cb;
 836     CRYPTO_THREAD_unlock(ssl->lock);
 837     return 1;
 838 }
 839
 840 int SSL_has_matching_session_id(const SSL *ssl, const unsigned char *id,
 841                                 unsigned int id_len)
 842 {
 843     /*
 844      * A quick examination of SSL_SESSION_hash and SSL_SESSION_cmp shows how
 845      * we can "construct" a session to give us the desired check - i.e. to
 846      * find if there's a session in the hash table that would conflict with
 847      * any new session built out of this id/id_len and the ssl_version in use
 848      * by this SSL.
 849      */
 850     SSL_SESSION r, *p;
 851
 852     if (id_len > sizeof r.session_id)
 853         return 0;
 854
 855     r.ssl_version = ssl->version;
 856     r.session_id_length = id_len;
 857     memcpy(r.session_id, id, id_len);
 858
 859     CRYPTO_THREAD_read_lock(ssl->session_ctx->lock);
 860     p = lh_SSL_SESSION_retrieve(ssl->session_ctx->sessions, &r);
 861     CRYPTO_THREAD_unlock(ssl->session_ctx->lock);
 862     return (p != NULL);
 863 }
 864
 865 int SSL_CTX_set_purpose(SSL_CTX *s, int purpose)
 866 {
 867     return X509_VERIFY_PARAM_set_purpose(s->param, purpose);
 868 }
 869
 870 int SSL_set_purpose(SSL *s, int purpose)
 871 {
 872     return X509_VERIFY_PARAM_set_purpose(s->param, purpose);
 873 }
 874
 875 int SSL_CTX_set_trust(SSL_CTX *s, int trust)
 876 {
 877     return X509_VERIFY_PARAM_set_trust(s->param, trust);
 878 }
 879
 880 int SSL_set_trust(SSL *s, int trust)
 881 {
 882     return X509_VERIFY_PARAM_set_trust(s->param, trust);
 883 }
 884
 885 int SSL_set1_host(SSL *s, const char *hostname)
 886 {
 887     return X509_VERIFY_PARAM_set1_host(s->param, hostname, 0);
 888 }
 889
 890 int SSL_add1_host(SSL *s, const char *hostname)
 891 {
 892     return X509_VERIFY_PARAM_add1_host(s->param, hostname, 0);
 893 }
 894
 895 void SSL_set_hostflags(SSL *s, unsigned int flags)
 896 {
 897     X509_VERIFY_PARAM_set_hostflags(s->param, flags);
 898 }
 899
 900 const char *SSL_get0_peername(SSL *s)
 901 {
 902     return X509_VERIFY_PARAM_get0_peername(s->param);
 903 }
 904
 905 int SSL_CTX_dane_enable(SSL_CTX *ctx)
 906 {
 907     return dane_ctx_enable(&ctx->dane);
 908 }
 909
 910 unsigned long SSL_CTX_dane_set_flags(SSL_CTX *ctx, unsigned long flags)
 911 {
 912     unsigned long orig = ctx->dane.flags;
 913
 914     ctx->dane.flags |= flags;
 915     return orig;
 916 }
 917
 918 unsigned long SSL_CTX_dane_clear_flags(SSL_CTX *ctx, unsigned long flags)
 919 {
 920     unsigned long orig = ctx->dane.flags;
 921
 922     ctx->dane.flags &= ~flags;
 923     return orig;
 924 }
 925
 926 int SSL_dane_enable(SSL *s, const char *basedomain)
 927 {
 928     SSL_DANE *dane = &s->dane;
 929
 930     if (s->ctx->dane.mdmax == 0) {
 931         SSLerr(SSL_F_SSL_DANE_ENABLE, SSL_R_CONTEXT_NOT_DANE_ENABLED);
 932         return 0;
 933     }
 934     if (dane->trecs != NULL) {
 935         SSLerr(SSL_F_SSL_DANE_ENABLE, SSL_R_DANE_ALREADY_ENABLED);
 936         return 0;
 937     }
 938
 939     /*
 940      * Default SNI name.  This rejects empty names, while set1_host below
 941      * accepts them and disables host name checks.  To avoid side-effects with
 942      * invalid input, set the SNI name first.
 943      */
 944     if (s->ext.hostname == NULL) {
 945         if (!SSL_set_tlsext_host_name(s, basedomain)) {
 946             SSLerr(SSL_F_SSL_DANE_ENABLE, SSL_R_ERROR_SETTING_TLSA_BASE_DOMAIN);
 947             return -1;
 948         }
 949     }
 950
 951     /* Primary RFC6125 reference identifier */
 952     if (!X509_VERIFY_PARAM_set1_host(s->param, basedomain, 0)) {
 953         SSLerr(SSL_F_SSL_DANE_ENABLE, SSL_R_ERROR_SETTING_TLSA_BASE_DOMAIN);
 954         return -1;
 955     }
 956
 957     dane->mdpth = -1;
 958     dane->pdpth = -1;
 959     dane->dctx = &s->ctx->dane;
 960     dane->trecs = sk_danetls_record_new_null();
 961
 962     if (dane->trecs == NULL) {
 963         SSLerr(SSL_F_SSL_DANE_ENABLE, ERR_R_MALLOC_FAILURE);
 964         return -1;
 965     }
 966     return 1;
 967 }
 968
 969 unsigned long SSL_dane_set_flags(SSL *ssl, unsigned long flags)
 970 {
 971     unsigned long orig = ssl->dane.flags;
 972
 973     ssl->dane.flags |= flags;
 974     return orig;
 975 }
 976
 977 unsigned long SSL_dane_clear_flags(SSL *ssl, unsigned long flags)
 978 {
 979     unsigned long orig = ssl->dane.flags;
 980
 981     ssl->dane.flags &= ~flags;
 982     return orig;
 983 }
 984
 985 int SSL_get0_dane_authority(SSL *s, X509 **mcert, EVP_PKEY **mspki)
 986 {
 987     SSL_DANE *dane = &s->dane;
 988
 989     if (!DANETLS_ENABLED(dane) || s->verify_result != X509_V_OK)
 990         return -1;
 991     if (dane->mtlsa) {
 992         if (mcert)
 993             *mcert = dane->mcert;
 994         if (mspki)
 995             *mspki = (dane->mcert == NULL) ? dane->mtlsa->spki : NULL;
 996     }
 997     return dane->mdpth;
 998 }
 999
1000 int SSL_get0_dane_tlsa(SSL *s, uint8_t *usage, uint8_t *selector,
1001                        uint8_t *mtype, unsigned const char **data, size_t *dlen)
1002 {
1003     SSL_DANE *dane = &s->dane;
1004
1005     if (!DANETLS_ENABLED(dane) || s->verify_result != X509_V_OK)
1006         return -1;
1007     if (dane->mtlsa) {
1008         if (usage)
1009             *usage = dane->mtlsa->usage;
1010         if (selector)
1011             *selector = dane->mtlsa->selector;
1012         if (mtype)
1013             *mtype = dane->mtlsa->mtype;
1014         if (data)
1015             *data = dane->mtlsa->data;
1016         if (dlen)
1017             *dlen = dane->mtlsa->dlen;
1018     }
1019     return dane->mdpth;
1020 }
1021
1022 SSL_DANE *SSL_get0_dane(SSL *s)
1023 {
1024     return &s->dane;
1025 }
1026
1027 int SSL_dane_tlsa_add(SSL *s, uint8_t usage, uint8_t selector,
1028                       uint8_t mtype, unsigned char *data, size_t dlen)
1029 {
1030     return dane_tlsa_add(&s->dane, usage, selector, mtype, data, dlen);
1031 }
1032
1033 int SSL_CTX_dane_mtype_set(SSL_CTX *ctx, const EVP_MD *md, uint8_t mtype,
1034                            uint8_t ord)
1035 {
1036     return dane_mtype_set(&ctx->dane, md, mtype, ord);
1037 }
1038
1039 int SSL_CTX_set1_param(SSL_CTX *ctx, X509_VERIFY_PARAM *vpm)
1040 {
1041     return X509_VERIFY_PARAM_set1(ctx->param, vpm);
1042 }
1043
1044 int SSL_set1_param(SSL *ssl, X509_VERIFY_PARAM *vpm)
1045 {
1046     return X509_VERIFY_PARAM_set1(ssl->param, vpm);
1047 }
1048
1049 X509_VERIFY_PARAM *SSL_CTX_get0_param(SSL_CTX *ctx)
1050 {
1051     return ctx->param;
1052 }
1053
1054 X509_VERIFY_PARAM *SSL_get0_param(SSL *ssl)
1055 {
1056     return ssl->param;
1057 }
1058
1059 void SSL_certs_clear(SSL *s)
1060 {
1061     ssl_cert_clear_certs(s->cert);
1062 }
1063
1064 void SSL_free(SSL *s)
1065 {
1066     int i;
1067
1068     if (s == NULL)
1069         return;
1070
1071     CRYPTO_DOWN_REF(&s->references, &i, s->lock);
1072     REF_PRINT_COUNT("SSL", s);
1073     if (i > 0)
1074         return;
1075     REF_ASSERT_ISNT(i < 0);
1076
1077     X509_VERIFY_PARAM_free(s->param);
1078     dane_final(&s->dane);
1079     CRYPTO_free_ex_data(CRYPTO_EX_INDEX_SSL, s, &s->ex_data);
1080
1081     /* Ignore return value */
1082     ssl_free_wbio_buffer(s);
1083
1084     BIO_free_all(s->wbio);
1085     BIO_free_all(s->rbio);
1086
1087     BUF_MEM_free(s->init_buf);
1088
1089     /* add extra stuff */
1090     sk_SSL_CIPHER_free(s->cipher_list);
1091     sk_SSL_CIPHER_free(s->cipher_list_by_id);
1092
1093     /* Make the next call work :-) */
1094     if (s->session != NULL) {
1095         ssl_clear_bad_session(s);
1096         SSL_SESSION_free(s->session);
1097     }
1098     SSL_SESSION_free(s->psksession);
1099
1100     clear_ciphers(s);
1101
1102     ssl_cert_free(s->cert);
1103     /* Free up if allocated */
1104
1105     OPENSSL_free(s->ext.hostname);
1106     SSL_CTX_free(s->session_ctx);
1107 #ifndef OPENSSL_NO_EC
1108     OPENSSL_free(s->ext.ecpointformats);
1109     OPENSSL_free(s->ext.supportedgroups);
1110 #endif                          /* OPENSSL_NO_EC */
1111     sk_X509_EXTENSION_pop_free(s->ext.ocsp.exts, X509_EXTENSION_free);
1112 #ifndef OPENSSL_NO_OCSP
1113     sk_OCSP_RESPID_pop_free(s->ext.ocsp.ids, OCSP_RESPID_free);
1114 #endif
1115 #ifndef OPENSSL_NO_CT
1116     SCT_LIST_free(s->scts);
1117     OPENSSL_free(s->ext.scts);
1118 #endif
1119     OPENSSL_free(s->ext.ocsp.resp);
1120     OPENSSL_free(s->ext.alpn);
1121     OPENSSL_free(s->ext.tls13_cookie);
1122     OPENSSL_free(s->clienthello);
1123
1124     sk_X509_NAME_pop_free(s->ca_names, X509_NAME_free);
1125
1126     sk_X509_pop_free(s->verified_chain, X509_free);
1127
1128     if (s->method != NULL)
1129         s->method->ssl_free(s);
1130
1131     RECORD_LAYER_release(&s->rlayer);
1132
1133     SSL_CTX_free(s->ctx);
1134
1135     ASYNC_WAIT_CTX_free(s->waitctx);
1136
1137 #if !defined(OPENSSL_NO_NEXTPROTONEG)
1138     OPENSSL_free(s->ext.npn);
1139 #endif
1140
1141 #ifndef OPENSSL_NO_SRTP
1142     sk_SRTP_PROTECTION_PROFILE_free(s->srtp_profiles);
1143 #endif
1144
1145     RAND_DRBG_free(s->drbg);
1146     CRYPTO_THREAD_lock_free(s->lock);
1147
1148     OPENSSL_free(s);
1149 }
1150
1151 void SSL_set0_rbio(SSL *s, BIO *rbio)
1152 {
1153     BIO_free_all(s->rbio);
1154     s->rbio = rbio;
1155 }
1156
1157 void SSL_set0_wbio(SSL *s, BIO *wbio)
1158 {
1159     /*
1160      * If the output buffering BIO is still in place, remove it
1161      */
1162     if (s->bbio != NULL)
1163         s->wbio = BIO_pop(s->wbio);
1164
1165     BIO_free_all(s->wbio);
1166     s->wbio = wbio;
1167
1168     /* Re-attach |bbio| to the new |wbio|. */
1169     if (s->bbio != NULL)
1170         s->wbio = BIO_push(s->bbio, s->wbio);
1171 }
1172
1173 void SSL_set_bio(SSL *s, BIO *rbio, BIO *wbio)
1174 {
1175     /*
1176      * For historical reasons, this function has many different cases in
1177      * ownership handling.
1178      */
1179
1180     /* If nothing has changed, do nothing */
1181     if (rbio == SSL_get_rbio(s) && wbio == SSL_get_wbio(s))
1182         return;
1183
1184     /*
1185      * If the two arguments are equal then one fewer reference is granted by the
1186      * caller than we want to take
1187      */
1188     if (rbio != NULL && rbio == wbio)
1189         BIO_up_ref(rbio);
1190
1191     /*
1192      * If only the wbio is changed only adopt one reference.
1193      */
1194     if (rbio == SSL_get_rbio(s)) {
1195         SSL_set0_wbio(s, wbio);
1196         return;
1197     }
1198     /*
1199      * There is an asymmetry here for historical reasons. If only the rbio is
1200      * changed AND the rbio and wbio were originally different, then we only
1201      * adopt one reference.
1202      */
1203     if (wbio == SSL_get_wbio(s) && SSL_get_rbio(s) != SSL_get_wbio(s)) {
1204         SSL_set0_rbio(s, rbio);
1205         return;
1206     }
1207
1208     /* Otherwise, adopt both references. */
1209     SSL_set0_rbio(s, rbio);
1210     SSL_set0_wbio(s, wbio);
1211 }
1212
1213 BIO *SSL_get_rbio(const SSL *s)
1214 {
1215     return s->rbio;
1216 }
1217
1218 BIO *SSL_get_wbio(const SSL *s)
1219 {
1220     if (s->bbio != NULL) {
1221         /*
1222          * If |bbio| is active, the true caller-configured BIO is its
1223          * |next_bio|.
1224          */
1225         return BIO_next(s->bbio);
1226     }
1227     return s->wbio;
1228 }
1229
1230 int SSL_get_fd(const SSL *s)
1231 {
1232     return SSL_get_rfd(s);
1233 }
1234
1235 int SSL_get_rfd(const SSL *s)
1236 {
1237     int ret = -1;
1238     BIO *b, *r;
1239
1240     b = SSL_get_rbio(s);
1241     r = BIO_find_type(b, BIO_TYPE_DESCRIPTOR);
1242     if (r != NULL)
1243         BIO_get_fd(r, &ret);
1244     return (ret);
1245 }
1246
1247 int SSL_get_wfd(const SSL *s)
1248 {
1249     int ret = -1;
1250     BIO *b, *r;
1251
1252     b = SSL_get_wbio(s);
1253     r = BIO_find_type(b, BIO_TYPE_DESCRIPTOR);
1254     if (r != NULL)
1255         BIO_get_fd(r, &ret);
1256     return (ret);
1257 }
1258
1259 #ifndef OPENSSL_NO_SOCK
1260 int SSL_set_fd(SSL *s, int fd)
1261 {
1262     int ret = 0;
1263     BIO *bio = NULL;
1264
1265     bio = BIO_new(BIO_s_socket());
1266
1267     if (bio == NULL) {
1268         SSLerr(SSL_F_SSL_SET_FD, ERR_R_BUF_LIB);
1269         goto err;
1270     }
1271     BIO_set_fd(bio, fd, BIO_NOCLOSE);
1272     SSL_set_bio(s, bio, bio);
1273     ret = 1;
1274  err:
1275     return (ret);
1276 }
1277
1278 int SSL_set_wfd(SSL *s, int fd)
1279 {
1280     BIO *rbio = SSL_get_rbio(s);
1281
1282     if (rbio == NULL || BIO_method_type(rbio) != BIO_TYPE_SOCKET
1283         || (int)BIO_get_fd(rbio, NULL) != fd) {
1284         BIO *bio = BIO_new(BIO_s_socket());
1285
1286         if (bio == NULL) {
1287             SSLerr(SSL_F_SSL_SET_WFD, ERR_R_BUF_LIB);
1288             return 0;
1289         }
1290         BIO_set_fd(bio, fd, BIO_NOCLOSE);
1291         SSL_set0_wbio(s, bio);
1292     } else {
1293         BIO_up_ref(rbio);
1294         SSL_set0_wbio(s, rbio);
1295     }
1296     return 1;
1297 }
1298
1299 int SSL_set_rfd(SSL *s, int fd)
1300 {
1301     BIO *wbio = SSL_get_wbio(s);
1302
1303     if (wbio == NULL || BIO_method_type(wbio) != BIO_TYPE_SOCKET
1304         || ((int)BIO_get_fd(wbio, NULL) != fd)) {
1305         BIO *bio = BIO_new(BIO_s_socket());
1306
1307         if (bio == NULL) {
1308             SSLerr(SSL_F_SSL_SET_RFD, ERR_R_BUF_LIB);
1309             return 0;
1310         }
1311         BIO_set_fd(bio, fd, BIO_NOCLOSE);
1312         SSL_set0_rbio(s, bio);
1313     } else {
1314         BIO_up_ref(wbio);
1315         SSL_set0_rbio(s, wbio);
1316     }
1317
1318     return 1;
1319 }
1320 #endif
1321
1322 /* return length of latest Finished message we sent, copy to 'buf' */
1323 size_t SSL_get_finished(const SSL *s, void *buf, size_t count)
1324 {
1325     size_t ret = 0;
1326
1327     if (s->s3 != NULL) {
1328         ret = s->s3->tmp.finish_md_len;
1329         if (count > ret)
1330             count = ret;
1331         memcpy(buf, s->s3->tmp.finish_md, count);
1332     }
1333     return ret;
1334 }
1335
1336 /* return length of latest Finished message we expected, copy to 'buf' */
1337 size_t SSL_get_peer_finished(const SSL *s, void *buf, size_t count)
1338 {
1339     size_t ret = 0;
1340
1341     if (s->s3 != NULL) {
1342         ret = s->s3->tmp.peer_finish_md_len;
1343         if (count > ret)
1344             count = ret;
1345         memcpy(buf, s->s3->tmp.peer_finish_md, count);
1346     }
1347     return ret;
1348 }
1349
1350 int SSL_get_verify_mode(const SSL *s)
1351 {
1352     return (s->verify_mode);
1353 }
1354
1355 int SSL_get_verify_depth(const SSL *s)
1356 {
1357     return X509_VERIFY_PARAM_get_depth(s->param);
1358 }
1359
1360 int (*SSL_get_verify_callback(const SSL *s)) (int, X509_STORE_CTX *) {
1361     return (s->verify_callback);
1362 }
1363
1364 int SSL_CTX_get_verify_mode(const SSL_CTX *ctx)
1365 {
1366     return (ctx->verify_mode);
1367 }
1368
1369 int SSL_CTX_get_verify_depth(const SSL_CTX *ctx)
1370 {
1371     return X509_VERIFY_PARAM_get_depth(ctx->param);
1372 }
1373
1374 int (*SSL_CTX_get_verify_callback(const SSL_CTX *ctx)) (int, X509_STORE_CTX *) {
1375     return (ctx->default_verify_callback);
1376 }
1377
1378 void SSL_set_verify(SSL *s, int mode,
1379                     int (*callback) (int ok, X509_STORE_CTX *ctx))
1380 {
1381     s->verify_mode = mode;
1382     if (callback != NULL)
1383         s->verify_callback = callback;
1384 }
1385
1386 void SSL_set_verify_depth(SSL *s, int depth)
1387 {
1388     X509_VERIFY_PARAM_set_depth(s->param, depth);
1389 }
1390
1391 void SSL_set_read_ahead(SSL *s, int yes)
1392 {
1393     RECORD_LAYER_set_read_ahead(&s->rlayer, yes);
1394 }
1395
1396 int SSL_get_read_ahead(const SSL *s)
1397 {
1398     return RECORD_LAYER_get_read_ahead(&s->rlayer);
1399 }
1400
1401 int SSL_pending(const SSL *s)
1402 {
1403     size_t pending = s->method->ssl_pending(s);
1404
1405     /*
1406      * SSL_pending cannot work properly if read-ahead is enabled
1407      * (SSL_[CTX_]ctrl(..., SSL_CTRL_SET_READ_AHEAD, 1, NULL)), and it is
1408      * impossible to fix since SSL_pending cannot report errors that may be
1409      * observed while scanning the new data. (Note that SSL_pending() is
1410      * often used as a boolean value, so we'd better not return -1.)
1411      *
1412      * SSL_pending also cannot work properly if the value >INT_MAX. In that case
1413      * we just return INT_MAX.
1414      */
1415     return pending < INT_MAX ? (int)pending : INT_MAX;
1416 }
1417
1418 int SSL_has_pending(const SSL *s)
1419 {
1420     /*
1421      * Similar to SSL_pending() but returns a 1 to indicate that we have
1422      * unprocessed data available or 0 otherwise (as opposed to the number of
1423      * bytes available). Unlike SSL_pending() this will take into account
1424      * read_ahead data. A 1 return simply indicates that we have unprocessed
1425      * data. That data may not result in any application data, or we may fail
1426      * to parse the records for some reason.
1427      */
1428     if (RECORD_LAYER_processed_read_pending(&s->rlayer))
1429         return 1;
1430
1431     return RECORD_LAYER_read_pending(&s->rlayer);
1432 }
1433
1434 X509 *SSL_get_peer_certificate(const SSL *s)
1435 {
1436     X509 *r;
1437
1438     if ((s == NULL) || (s->session == NULL))
1439         r = NULL;
1440     else
1441         r = s->session->peer;
1442
1443     if (r == NULL)
1444         return (r);
1445
1446     X509_up_ref(r);
1447
1448     return (r);
1449 }
1450
1451 STACK_OF(X509) *SSL_get_peer_cert_chain(const SSL *s)
1452 {
1453     STACK_OF(X509) *r;
1454
1455     if ((s == NULL) || (s->session == NULL))
1456         r = NULL;
1457     else
1458         r = s->session->peer_chain;
1459
1460     /*
1461      * If we are a client, cert_chain includes the peer's own certificate; if
1462      * we are a server, it does not.
1463      */
1464
1465     return (r);
1466 }
1467
1468 /*
1469  * Now in theory, since the calling process own 't' it should be safe to
1470  * modify.  We need to be able to read f without being hassled
1471  */
1472 int SSL_copy_session_id(SSL *t, const SSL *f)
1473 {
1474     int i;
1475     /* Do we need to to SSL locking? */
1476     if (!SSL_set_session(t, SSL_get_session(f))) {
1477         return 0;
1478     }
1479
1480     /*
1481      * what if we are setup for one protocol version but want to talk another
1482      */
1483     if (t->method != f->method) {
1484         t->method->ssl_free(t);
1485         t->method = f->method;
1486         if (t->method->ssl_new(t) == 0)
1487             return 0;
1488     }
1489
1490     CRYPTO_UP_REF(&f->cert->references, &i, f->cert->lock);
1491     ssl_cert_free(t->cert);
1492     t->cert = f->cert;
1493     if (!SSL_set_session_id_context(t, f->sid_ctx, (int)f->sid_ctx_length)) {
1494         return 0;
1495     }
1496
1497     return 1;
1498 }
1499
1500 /* Fix this so it checks all the valid key/cert options */
1501 int SSL_CTX_check_private_key(const SSL_CTX *ctx)
1502 {
1503     if ((ctx == NULL) || (ctx->cert->key->x509 == NULL)) {
1504         SSLerr(SSL_F_SSL_CTX_CHECK_PRIVATE_KEY, SSL_R_NO_CERTIFICATE_ASSIGNED);
1505         return (0);
1506     }
1507     if (ctx->cert->key->privatekey == NULL) {
1508         SSLerr(SSL_F_SSL_CTX_CHECK_PRIVATE_KEY, SSL_R_NO_PRIVATE_KEY_ASSIGNED);
1509         return (0);
1510     }
1511     return (X509_check_private_key
1512             (ctx->cert->key->x509, ctx->cert->key->privatekey));
1513 }
1514
1515 /* Fix this function so that it takes an optional type parameter */
1516 int SSL_check_private_key(const SSL *ssl)
1517 {
1518     if (ssl == NULL) {
1519         SSLerr(SSL_F_SSL_CHECK_PRIVATE_KEY, ERR_R_PASSED_NULL_PARAMETER);
1520         return (0);
1521     }
1522     if (ssl->cert->key->x509 == NULL) {
1523         SSLerr(SSL_F_SSL_CHECK_PRIVATE_KEY, SSL_R_NO_CERTIFICATE_ASSIGNED);
1524         return (0);
1525     }
1526     if (ssl->cert->key->privatekey == NULL) {
1527         SSLerr(SSL_F_SSL_CHECK_PRIVATE_KEY, SSL_R_NO_PRIVATE_KEY_ASSIGNED);
1528         return (0);
1529     }
1530     return (X509_check_private_key(ssl->cert->key->x509,
1531                                    ssl->cert->key->privatekey));
1532 }
1533
1534 int SSL_waiting_for_async(SSL *s)
1535 {
1536     if (s->job)
1537         return 1;
1538
1539     return 0;
1540 }
1541
1542 int SSL_get_all_async_fds(SSL *s, OSSL_ASYNC_FD *fds, size_t *numfds)
1543 {
1544     ASYNC_WAIT_CTX *ctx = s->waitctx;
1545
1546     if (ctx == NULL)
1547         return 0;
1548     return ASYNC_WAIT_CTX_get_all_fds(ctx, fds, numfds);
1549 }
1550
1551 int SSL_get_changed_async_fds(SSL *s, OSSL_ASYNC_FD *addfd, size_t *numaddfds,
1552                               OSSL_ASYNC_FD *delfd, size_t *numdelfds)
1553 {
1554     ASYNC_WAIT_CTX *ctx = s->waitctx;
1555
1556     if (ctx == NULL)
1557         return 0;
1558     return ASYNC_WAIT_CTX_get_changed_fds(ctx, addfd, numaddfds, delfd,
1559                                           numdelfds);
1560 }
1561
1562 int SSL_accept(SSL *s)
1563 {
1564     if (s->handshake_func == NULL) {
1565         /* Not properly initialized yet */
1566         SSL_set_accept_state(s);
1567     }
1568
1569     return SSL_do_handshake(s);
1570 }
1571
1572 int SSL_connect(SSL *s)
1573 {
1574     if (s->handshake_func == NULL) {
1575         /* Not properly initialized yet */
1576         SSL_set_connect_state(s);
1577     }
1578
1579     return SSL_do_handshake(s);
1580 }
1581
1582 long SSL_get_default_timeout(const SSL *s)
1583 {
1584     return (s->method->get_timeout());
1585 }
1586
1587 static int ssl_start_async_job(SSL *s, struct ssl_async_args *args,
1588                                int (*func) (void *))
1589 {
1590     int ret;
1591     if (s->waitctx == NULL) {
1592         s->waitctx = ASYNC_WAIT_CTX_new();
1593         if (s->waitctx == NULL)
1594             return -1;
1595     }
1596     switch (ASYNC_start_job(&s->job, s->waitctx, &ret, func, args,
1597                             sizeof(struct ssl_async_args))) {
1598     case ASYNC_ERR:
1599         s->rwstate = SSL_NOTHING;
1600         SSLerr(SSL_F_SSL_START_ASYNC_JOB, SSL_R_FAILED_TO_INIT_ASYNC);
1601         return -1;
1602     case ASYNC_PAUSE:
1603         s->rwstate = SSL_ASYNC_PAUSED;
1604         return -1;
1605     case ASYNC_NO_JOBS:
1606         s->rwstate = SSL_ASYNC_NO_JOBS;
1607         return -1;
1608     case ASYNC_FINISH:
1609         s->job = NULL;
1610         return ret;
1611     default:
1612         s->rwstate = SSL_NOTHING;
1613         SSLerr(SSL_F_SSL_START_ASYNC_JOB, ERR_R_INTERNAL_ERROR);
1614         /* Shouldn't happen */
1615         return -1;
1616     }
1617 }
1618
1619 static int ssl_io_intern(void *vargs)
1620 {
1621     struct ssl_async_args *args;
1622     SSL *s;
1623     void *buf;
1624     size_t num;
1625
1626     args = (struct ssl_async_args *)vargs;
1627     s = args->s;
1628     buf = args->buf;
1629     num = args->num;
1630     switch (args->type) {
1631     case READFUNC:
1632         return args->f.func_read(s, buf, num, &s->asyncrw);
1633     case WRITEFUNC:
1634         return args->f.func_write(s, buf, num, &s->asyncrw);
1635     case OTHERFUNC:
1636         return args->f.func_other(s);
1637     }
1638     return -1;
1639 }
1640
1641 int ssl_read_internal(SSL *s, void *buf, size_t num, size_t *readbytes)
1642 {
1643     if (s->handshake_func == NULL) {
1644         SSLerr(SSL_F_SSL_READ_INTERNAL, SSL_R_UNINITIALIZED);
1645         return -1;
1646     }
1647
1648     if (s->shutdown & SSL_RECEIVED_SHUTDOWN) {
1649         s->rwstate = SSL_NOTHING;
1650         return 0;
1651     }
1652
1653     if (s->early_data_state == SSL_EARLY_DATA_CONNECT_RETRY
1654                 || s->early_data_state == SSL_EARLY_DATA_ACCEPT_RETRY) {
1655         SSLerr(SSL_F_SSL_READ_INTERNAL, ERR_R_SHOULD_NOT_HAVE_BEEN_CALLED);
1656         return 0;
1657     }
1658     /*
1659      * If we are a client and haven't received the ServerHello etc then we
1660      * better do that
1661      */
1662     ossl_statem_check_finish_init(s, 0);
1663
1664     if ((s->mode & SSL_MODE_ASYNC) && ASYNC_get_current_job() == NULL) {
1665         struct ssl_async_args args;
1666         int ret;
1667
1668         args.s = s;
1669         args.buf = buf;
1670         args.num = num;
1671         args.type = READFUNC;
1672         args.f.func_read = s->method->ssl_read;
1673
1674         ret = ssl_start_async_job(s, &args, ssl_io_intern);
1675         *readbytes = s->asyncrw;
1676         return ret;
1677     } else {
1678         return s->method->ssl_read(s, buf, num, readbytes);
1679     }
1680 }
1681
1682 int SSL_read(SSL *s, void *buf, int num)
1683 {
1684     int ret;
1685     size_t readbytes;
1686
1687     if (num < 0) {
1688         SSLerr(SSL_F_SSL_READ, SSL_R_BAD_LENGTH);
1689         return -1;
1690     }
1691
1692     ret = ssl_read_internal(s, buf, (size_t)num, &readbytes);
1693
1694     /*
1695      * The cast is safe here because ret should be <= INT_MAX because num is
1696      * <= INT_MAX
1697      */
1698     if (ret > 0)
1699         ret = (int)readbytes;
1700
1701     return ret;
1702 }
1703
1704 int SSL_read_ex(SSL *s, void *buf, size_t num, size_t *readbytes)
1705 {
1706     int ret = ssl_read_internal(s, buf, num, readbytes);
1707
1708     if (ret < 0)
1709         ret = 0;
1710     return ret;
1711 }
1712
1713 int SSL_read_early_data(SSL *s, void *buf, size_t num, size_t *readbytes)
1714 {
1715     int ret;
1716
1717     if (!s->server) {
1718         SSLerr(SSL_F_SSL_READ_EARLY_DATA, ERR_R_SHOULD_NOT_HAVE_BEEN_CALLED);
1719         return SSL_READ_EARLY_DATA_ERROR;
1720     }
1721
1722     switch (s->early_data_state) {
1723     case SSL_EARLY_DATA_NONE:
1724         if (!SSL_in_before(s)) {
1725             SSLerr(SSL_F_SSL_READ_EARLY_DATA,
1726                    ERR_R_SHOULD_NOT_HAVE_BEEN_CALLED);
1727             return SSL_READ_EARLY_DATA_ERROR;
1728         }
1729         /* fall through */
1730
1731     case SSL_EARLY_DATA_ACCEPT_RETRY:
1732         s->early_data_state = SSL_EARLY_DATA_ACCEPTING;
1733         ret = SSL_accept(s);
1734         if (ret <= 0) {
1735             /* NBIO or error */
1736             s->early_data_state = SSL_EARLY_DATA_ACCEPT_RETRY;
1737             return SSL_READ_EARLY_DATA_ERROR;
1738         }
1739         /* fall through */
1740
1741     case SSL_EARLY_DATA_READ_RETRY:
1742         if (s->ext.early_data == SSL_EARLY_DATA_ACCEPTED) {
1743             s->early_data_state = SSL_EARLY_DATA_READING;
1744             ret = SSL_read_ex(s, buf, num, readbytes);
1745             /*
1746              * State machine will update early_data_state to
1747              * SSL_EARLY_DATA_FINISHED_READING if we get an EndOfEarlyData
1748              * message
1749              */
1750             if (ret > 0 || (ret <= 0 && s->early_data_state
1751                                         != SSL_EARLY_DATA_FINISHED_READING)) {
1752                 s->early_data_state = SSL_EARLY_DATA_READ_RETRY;
1753                 return ret > 0 ? SSL_READ_EARLY_DATA_SUCCESS
1754                                : SSL_READ_EARLY_DATA_ERROR;
1755             }
1756         } else {
1757             s->early_data_state = SSL_EARLY_DATA_FINISHED_READING;
1758         }
1759         *readbytes = 0;
1760         return SSL_READ_EARLY_DATA_FINISH;
1761
1762     default:
1763         SSLerr(SSL_F_SSL_READ_EARLY_DATA, ERR_R_SHOULD_NOT_HAVE_BEEN_CALLED);
1764         return SSL_READ_EARLY_DATA_ERROR;
1765     }
1766 }
1767
1768 int SSL_get_early_data_status(const SSL *s)
1769 {
1770     return s->ext.early_data;
1771 }
1772
1773 static int ssl_peek_internal(SSL *s, void *buf, size_t num, size_t *readbytes)
1774 {
1775     if (s->handshake_func == NULL) {
1776         SSLerr(SSL_F_SSL_PEEK_INTERNAL, SSL_R_UNINITIALIZED);
1777         return -1;
1778     }
1779
1780     if (s->shutdown & SSL_RECEIVED_SHUTDOWN) {
1781         return 0;
1782     }
1783     if ((s->mode & SSL_MODE_ASYNC) && ASYNC_get_current_job() == NULL) {
1784         struct ssl_async_args args;
1785         int ret;
1786
1787         args.s = s;
1788         args.buf = buf;
1789         args.num = num;
1790         args.type = READFUNC;
1791         args.f.func_read = s->method->ssl_peek;
1792
1793         ret = ssl_start_async_job(s, &args, ssl_io_intern);
1794         *readbytes = s->asyncrw;
1795         return ret;
1796     } else {
1797         return s->method->ssl_peek(s, buf, num, readbytes);
1798     }
1799 }
1800
1801 int SSL_peek(SSL *s, void *buf, int num)
1802 {
1803     int ret;
1804     size_t readbytes;
1805
1806     if (num < 0) {
1807         SSLerr(SSL_F_SSL_PEEK, SSL_R_BAD_LENGTH);
1808         return -1;
1809     }
1810
1811     ret = ssl_peek_internal(s, buf, (size_t)num, &readbytes);
1812
1813     /*
1814      * The cast is safe here because ret should be <= INT_MAX because num is
1815      * <= INT_MAX
1816      */
1817     if (ret > 0)
1818         ret = (int)readbytes;
1819
1820     return ret;
1821 }
1822
1823
1824 int SSL_peek_ex(SSL *s, void *buf, size_t num, size_t *readbytes)
1825 {
1826     int ret = ssl_peek_internal(s, buf, num, readbytes);
1827
1828     if (ret < 0)
1829         ret = 0;
1830     return ret;
1831 }
1832
1833 int ssl_write_internal(SSL *s, const void *buf, size_t num, size_t *written)
1834 {
1835     if (s->handshake_func == NULL) {
1836         SSLerr(SSL_F_SSL_WRITE_INTERNAL, SSL_R_UNINITIALIZED);
1837         return -1;
1838     }
1839
1840     if (s->shutdown & SSL_SENT_SHUTDOWN) {
1841         s->rwstate = SSL_NOTHING;
1842         SSLerr(SSL_F_SSL_WRITE_INTERNAL, SSL_R_PROTOCOL_IS_SHUTDOWN);
1843         return -1;
1844     }
1845
1846     if (s->early_data_state == SSL_EARLY_DATA_CONNECT_RETRY
1847                 || s->early_data_state == SSL_EARLY_DATA_ACCEPT_RETRY
1848                 || s->early_data_state == SSL_EARLY_DATA_READ_RETRY) {
1849         SSLerr(SSL_F_SSL_WRITE_INTERNAL, ERR_R_SHOULD_NOT_HAVE_BEEN_CALLED);
1850         return 0;
1851     }
1852     /* If we are a client and haven't sent the Finished we better do that */
1853     ossl_statem_check_finish_init(s, 1);
1854
1855     if ((s->mode & SSL_MODE_ASYNC) && ASYNC_get_current_job() == NULL) {
1856         int ret;
1857         struct ssl_async_args args;
1858
1859         args.s = s;
1860         args.buf = (void *)buf;
1861         args.num = num;
1862         args.type = WRITEFUNC;
1863         args.f.func_write = s->method->ssl_write;
1864
1865         ret = ssl_start_async_job(s, &args, ssl_io_intern);
1866         *written = s->asyncrw;
1867         return ret;
1868     } else {
1869         return s->method->ssl_write(s, buf, num, written);
1870     }
1871 }
1872
1873 int SSL_write(SSL *s, const void *buf, int num)
1874 {
1875     int ret;
1876     size_t written;
1877
1878     if (num < 0) {
1879         SSLerr(SSL_F_SSL_WRITE, SSL_R_BAD_LENGTH);
1880         return -1;
1881     }
1882
1883     ret = ssl_write_internal(s, buf, (size_t)num, &written);
1884
1885     /*
1886      * The cast is safe here because ret should be <= INT_MAX because num is
1887      * <= INT_MAX
1888      */
1889     if (ret > 0)
1890         ret = (int)written;
1891
1892     return ret;
1893 }
1894
1895 int SSL_write_ex(SSL *s, const void *buf, size_t num, size_t *written)
1896 {
1897     int ret = ssl_write_internal(s, buf, num, written);
1898
1899     if (ret < 0)
1900         ret = 0;
1901     return ret;
1902 }
1903
1904 int SSL_write_early_data(SSL *s, const void *buf, size_t num, size_t *written)
1905 {
1906     int ret, early_data_state;
1907
1908     switch (s->early_data_state) {
1909     case SSL_EARLY_DATA_NONE:
1910         if (s->server
1911                 || !SSL_in_before(s)
1912                 || s->session == NULL
1913                 || s->session->ext.max_early_data == 0) {
1914             SSLerr(SSL_F_SSL_WRITE_EARLY_DATA,
1915                    ERR_R_SHOULD_NOT_HAVE_BEEN_CALLED);
1916             return 0;
1917         }
1918         /* fall through */
1919
1920     case SSL_EARLY_DATA_CONNECT_RETRY:
1921         s->early_data_state = SSL_EARLY_DATA_CONNECTING;
1922         ret = SSL_connect(s);
1923         if (ret <= 0) {
1924             /* NBIO or error */
1925             s->early_data_state = SSL_EARLY_DATA_CONNECT_RETRY;
1926             return 0;
1927         }
1928         /* fall through */
1929
1930     case SSL_EARLY_DATA_WRITE_RETRY:
1931         s->early_data_state = SSL_EARLY_DATA_WRITING;
1932         ret = SSL_write_ex(s, buf, num, written);
1933         s->early_data_state = SSL_EARLY_DATA_WRITE_RETRY;
1934         return ret;
1935
1936     case SSL_EARLY_DATA_FINISHED_READING:
1937     case SSL_EARLY_DATA_READ_RETRY:
1938         early_data_state = s->early_data_state;
1939         /* We are a server writing to an unauthenticated client */
1940         s->early_data_state = SSL_EARLY_DATA_UNAUTH_WRITING;
1941         ret = SSL_write_ex(s, buf, num, written);
1942         s->early_data_state = early_data_state;
1943         return ret;
1944
1945     default:
1946         SSLerr(SSL_F_SSL_WRITE_EARLY_DATA, ERR_R_SHOULD_NOT_HAVE_BEEN_CALLED);
1947         return 0;
1948     }
1949 }
1950
1951 int SSL_shutdown(SSL *s)
1952 {
1953     /*
1954      * Note that this function behaves differently from what one might
1955      * expect.  Return values are 0 for no success (yet), 1 for success; but
1956      * calling it once is usually not enough, even if blocking I/O is used
1957      * (see ssl3_shutdown).
1958      */
1959
1960     if (s->handshake_func == NULL) {
1961         SSLerr(SSL_F_SSL_SHUTDOWN, SSL_R_UNINITIALIZED);
1962         return -1;
1963     }
1964
1965     if (!SSL_in_init(s)) {
1966         if ((s->mode & SSL_MODE_ASYNC) && ASYNC_get_current_job() == NULL) {
1967             struct ssl_async_args args;
1968
1969             args.s = s;
1970             args.type = OTHERFUNC;
1971             args.f.func_other = s->method->ssl_shutdown;
1972
1973             return ssl_start_async_job(s, &args, ssl_io_intern);
1974         } else {
1975             return s->method->ssl_shutdown(s);
1976         }
1977     } else {
1978         SSLerr(SSL_F_SSL_SHUTDOWN, SSL_R_SHUTDOWN_WHILE_IN_INIT);
1979         return -1;
1980     }
1981 }
1982
1983 int SSL_key_update(SSL *s, int updatetype)
1984 {
1985     /*
1986      * TODO(TLS1.3): How will applications know whether TLSv1.3 has been
1987      * negotiated, and that it is appropriate to call SSL_key_update() instead
1988      * of SSL_renegotiate().
1989      */
1990     if (!SSL_IS_TLS13(s)) {
1991         SSLerr(SSL_F_SSL_KEY_UPDATE, SSL_R_WRONG_SSL_VERSION);
1992         return 0;
1993     }
1994
1995     if (updatetype != SSL_KEY_UPDATE_NOT_REQUESTED
1996             && updatetype != SSL_KEY_UPDATE_REQUESTED) {
1997         SSLerr(SSL_F_SSL_KEY_UPDATE, SSL_R_INVALID_KEY_UPDATE_TYPE);
1998         return 0;
1999     }
2000
2001     if (!SSL_is_init_finished(s)) {
2002         SSLerr(SSL_F_SSL_KEY_UPDATE, SSL_R_STILL_IN_INIT);
2003         return 0;
2004     }
2005
2006     ossl_statem_set_in_init(s, 1);
2007     s->key_update = updatetype;
2008     return 1;
2009 }
2010
2011 int SSL_get_key_update_type(SSL *s)
2012 {
2013     return s->key_update;
2014 }
2015
2016 int SSL_renegotiate(SSL *s)
2017 {
2018     if (SSL_IS_TLS13(s)) {
2019         SSLerr(SSL_F_SSL_RENEGOTIATE, SSL_R_WRONG_SSL_VERSION);
2020         return 0;
2021     }
2022
2023     if ((s->options & SSL_OP_NO_RENEGOTIATION)) {
2024         SSLerr(SSL_F_SSL_RENEGOTIATE, SSL_R_NO_RENEGOTIATION);
2025         return 0;
2026     }
2027
2028     s->renegotiate = 1;
2029     s->new_session = 1;
2030
2031     return (s->method->ssl_renegotiate(s));
2032 }
2033
2034 int SSL_renegotiate_abbreviated(SSL *s)
2035 {
2036     if (SSL_IS_TLS13(s)) {
2037         SSLerr(SSL_F_SSL_RENEGOTIATE_ABBREVIATED, SSL_R_WRONG_SSL_VERSION);
2038         return 0;
2039     }
2040
2041     if ((s->options & SSL_OP_NO_RENEGOTIATION)) {
2042         SSLerr(SSL_F_SSL_RENEGOTIATE_ABBREVIATED, SSL_R_NO_RENEGOTIATION);
2043         return 0;
2044     }
2045
2046     s->renegotiate = 1;
2047     s->new_session = 0;
2048
2049     return (s->method->ssl_renegotiate(s));
2050 }
2051
2052 int SSL_renegotiate_pending(SSL *s)
2053 {
2054     /*
2055      * becomes true when negotiation is requested; false again once a
2056      * handshake has finished
2057      */
2058     return (s->renegotiate != 0);
2059 }
2060
2061 long SSL_ctrl(SSL *s, int cmd, long larg, void *parg)
2062 {
2063     long l;
2064
2065     switch (cmd) {
2066     case SSL_CTRL_GET_READ_AHEAD:
2067         return (RECORD_LAYER_get_read_ahead(&s->rlayer));
2068     case SSL_CTRL_SET_READ_AHEAD:
2069         l = RECORD_LAYER_get_read_ahead(&s->rlayer);
2070         RECORD_LAYER_set_read_ahead(&s->rlayer, larg);
2071         return (l);
2072
2073     case SSL_CTRL_SET_MSG_CALLBACK_ARG:
2074         s->msg_callback_arg = parg;
2075         return 1;
2076
2077     case SSL_CTRL_MODE:
2078         return (s->mode |= larg);
2079     case SSL_CTRL_CLEAR_MODE:
2080         return (s->mode &= ~larg);
2081     case SSL_CTRL_GET_MAX_CERT_LIST:
2082         return (long)(s->max_cert_list);
2083     case SSL_CTRL_SET_MAX_CERT_LIST:
2084         if (larg < 0)
2085             return 0;
2086         l = (long)s->max_cert_list;
2087         s->max_cert_list = (size_t)larg;
2088         return l;
2089     case SSL_CTRL_SET_MAX_SEND_FRAGMENT:
2090         if (larg < 512 || larg > SSL3_RT_MAX_PLAIN_LENGTH)
2091             return 0;
2092         s->max_send_fragment = larg;
2093         if (s->max_send_fragment < s->split_send_fragment)
2094             s->split_send_fragment = s->max_send_fragment;
2095         return 1;
2096     case SSL_CTRL_SET_SPLIT_SEND_FRAGMENT:
2097         if ((size_t)larg > s->max_send_fragment || larg == 0)
2098             return 0;
2099         s->split_send_fragment = larg;
2100         return 1;
2101     case SSL_CTRL_SET_MAX_PIPELINES:
2102         if (larg < 1 || larg > SSL_MAX_PIPELINES)
2103             return 0;
2104         s->max_pipelines = larg;
2105         if (larg > 1)
2106             RECORD_LAYER_set_read_ahead(&s->rlayer, 1);
2107         return 1;
2108     case SSL_CTRL_GET_RI_SUPPORT:
2109         if (s->s3)
2110             return s->s3->send_connection_binding;
2111         else
2112             return 0;
2113     case SSL_CTRL_CERT_FLAGS:
2114         return (s->cert->cert_flags |= larg);
2115     case SSL_CTRL_CLEAR_CERT_FLAGS:
2116         return (s->cert->cert_flags &= ~larg);
2117
2118     case SSL_CTRL_GET_RAW_CIPHERLIST:
2119         if (parg) {
2120             if (s->s3->tmp.ciphers_raw == NULL)
2121                 return 0;
2122             *(unsigned char **)parg = s->s3->tmp.ciphers_raw;
2123             return (int)s->s3->tmp.ciphers_rawlen;
2124         } else {
2125             return TLS_CIPHER_LEN;
2126         }
2127     case SSL_CTRL_GET_EXTMS_SUPPORT:
2128         if (!s->session || SSL_in_init(s) || ossl_statem_get_in_handshake(s))
2129             return -1;
2130         if (s->session->flags & SSL_SESS_FLAG_EXTMS)
2131             return 1;
2132         else
2133             return 0;
2134     case SSL_CTRL_SET_MIN_PROTO_VERSION:
2135         return ssl_check_allowed_versions(larg, s->max_proto_version)
2136                && ssl_set_version_bound(s->ctx->method->version, (int)larg,
2137                                         &s->min_proto_version);
2138     case SSL_CTRL_SET_MAX_PROTO_VERSION:
2139         return ssl_check_allowed_versions(s->min_proto_version, larg)
2140                && ssl_set_version_bound(s->ctx->method->version, (int)larg,
2141                                         &s->max_proto_version);
2142     default:
2143         return (s->method->ssl_ctrl(s, cmd, larg, parg));
2144     }
2145 }
2146
2147 long SSL_callback_ctrl(SSL *s, int cmd, void (*fp) (void))
2148 {
2149     switch (cmd) {
2150     case SSL_CTRL_SET_MSG_CALLBACK:
2151         s->msg_callback = (void (*)
2152                            (int write_p, int version, int content_type,
2153                             const void *buf, size_t len, SSL *ssl,
2154                             void *arg))(fp);
2155         return 1;
2156
2157     default:
2158         return (s->method->ssl_callback_ctrl(s, cmd, fp));
2159     }
2160 }
2161
2162 LHASH_OF(SSL_SESSION) *SSL_CTX_sessions(SSL_CTX *ctx)
2163 {
2164     return ctx->sessions;
2165 }
2166
2167 long SSL_CTX_ctrl(SSL_CTX *ctx, int cmd, long larg, void *parg)
2168 {
2169     long l;
2170     /* For some cases with ctx == NULL perform syntax checks */
2171     if (ctx == NULL) {
2172         switch (cmd) {
2173 #ifndef OPENSSL_NO_EC
2174         case SSL_CTRL_SET_GROUPS_LIST:
2175             return tls1_set_groups_list(NULL, NULL, parg);
2176 #endif
2177         case SSL_CTRL_SET_SIGALGS_LIST:
2178         case SSL_CTRL_SET_CLIENT_SIGALGS_LIST:
2179             return tls1_set_sigalgs_list(NULL, parg, 0);
2180         default:
2181             return 0;
2182         }
2183     }
2184
2185     switch (cmd) {
2186     case SSL_CTRL_GET_READ_AHEAD:
2187         return (ctx->read_ahead);
2188     case SSL_CTRL_SET_READ_AHEAD:
2189         l = ctx->read_ahead;
2190         ctx->read_ahead = larg;
2191         return (l);
2192
2193     case SSL_CTRL_SET_MSG_CALLBACK_ARG:
2194         ctx->msg_callback_arg = parg;
2195         return 1;
2196
2197     case SSL_CTRL_GET_MAX_CERT_LIST:
2198         return (long)(ctx->max_cert_list);
2199     case SSL_CTRL_SET_MAX_CERT_LIST:
2200         if (larg < 0)
2201             return 0;
2202         l = (long)ctx->max_cert_list;
2203         ctx->max_cert_list = (size_t)larg;
2204         return l;
2205
2206     case SSL_CTRL_SET_SESS_CACHE_SIZE:
2207         if (larg < 0)
2208             return 0;
2209         l = (long)ctx->session_cache_size;
2210         ctx->session_cache_size = (size_t)larg;
2211         return l;
2212     case SSL_CTRL_GET_SESS_CACHE_SIZE:
2213         return (long)(ctx->session_cache_size);
2214     case SSL_CTRL_SET_SESS_CACHE_MODE:
2215         l = ctx->session_cache_mode;
2216         ctx->session_cache_mode = larg;
2217         return (l);
2218     case SSL_CTRL_GET_SESS_CACHE_MODE:
2219         return (ctx->session_cache_mode);
2220
2221     case SSL_CTRL_SESS_NUMBER:
2222         return (lh_SSL_SESSION_num_items(ctx->sessions));
2223     case SSL_CTRL_SESS_CONNECT:
2224         return (ctx->stats.sess_connect);
2225     case SSL_CTRL_SESS_CONNECT_GOOD:
2226         return (ctx->stats.sess_connect_good);
2227     case SSL_CTRL_SESS_CONNECT_RENEGOTIATE:
2228         return (ctx->stats.sess_connect_renegotiate);
2229     case SSL_CTRL_SESS_ACCEPT:
2230         return (ctx->stats.sess_accept);
2231     case SSL_CTRL_SESS_ACCEPT_GOOD:
2232         return (ctx->stats.sess_accept_good);
2233     case SSL_CTRL_SESS_ACCEPT_RENEGOTIATE:
2234         return (ctx->stats.sess_accept_renegotiate);
2235     case SSL_CTRL_SESS_HIT:
2236         return (ctx->stats.sess_hit);
2237     case SSL_CTRL_SESS_CB_HIT:
2238         return (ctx->stats.sess_cb_hit);
2239     case SSL_CTRL_SESS_MISSES:
2240         return (ctx->stats.sess_miss);
2241     case SSL_CTRL_SESS_TIMEOUTS:
2242         return (ctx->stats.sess_timeout);
2243     case SSL_CTRL_SESS_CACHE_FULL:
2244         return (ctx->stats.sess_cache_full);
2245     case SSL_CTRL_MODE:
2246         return (ctx->mode |= larg);
2247     case SSL_CTRL_CLEAR_MODE:
2248         return (ctx->mode &= ~larg);
2249     case SSL_CTRL_SET_MAX_SEND_FRAGMENT:
2250         if (larg < 512 || larg > SSL3_RT_MAX_PLAIN_LENGTH)
2251             return 0;
2252         ctx->max_send_fragment = larg;
2253         if (ctx->max_send_fragment < ctx->split_send_fragment)
2254             ctx->split_send_fragment = ctx->max_send_fragment;
2255         return 1;
2256     case SSL_CTRL_SET_SPLIT_SEND_FRAGMENT:
2257         if ((size_t)larg > ctx->max_send_fragment || larg == 0)
2258             return 0;
2259         ctx->split_send_fragment = larg;
2260         return 1;
2261     case SSL_CTRL_SET_MAX_PIPELINES:
2262         if (larg < 1 || larg > SSL_MAX_PIPELINES)
2263             return 0;
2264         ctx->max_pipelines = larg;
2265         return 1;
2266     case SSL_CTRL_CERT_FLAGS:
2267         return (ctx->cert->cert_flags |= larg);
2268     case SSL_CTRL_CLEAR_CERT_FLAGS:
2269         return (ctx->cert->cert_flags &= ~larg);
2270     case SSL_CTRL_SET_MIN_PROTO_VERSION:
2271         return ssl_check_allowed_versions(larg, ctx->max_proto_version)
2272                && ssl_set_version_bound(ctx->method->version, (int)larg,
2273                                         &ctx->min_proto_version);
2274     case SSL_CTRL_SET_MAX_PROTO_VERSION:
2275         return ssl_check_allowed_versions(ctx->min_proto_version, larg)
2276                && ssl_set_version_bound(ctx->method->version, (int)larg,
2277                                         &ctx->max_proto_version);
2278     default:
2279         return (ctx->method->ssl_ctx_ctrl(ctx, cmd, larg, parg));
2280     }
2281 }
2282
2283 long SSL_CTX_callback_ctrl(SSL_CTX *ctx, int cmd, void (*fp) (void))
2284 {
2285     switch (cmd) {
2286     case SSL_CTRL_SET_MSG_CALLBACK:
2287         ctx->msg_callback = (void (*)
2288                              (int write_p, int version, int content_type,
2289                               const void *buf, size_t len, SSL *ssl,
2290                               void *arg))(fp);
2291         return 1;
2292
2293     default:
2294         return (ctx->method->ssl_ctx_callback_ctrl(ctx, cmd, fp));
2295     }
2296 }
2297
2298 int ssl_cipher_id_cmp(const SSL_CIPHER *a, const SSL_CIPHER *b)
2299 {
2300     if (a->id > b->id)
2301         return 1;
2302     if (a->id < b->id)
2303         return -1;
2304     return 0;
2305 }
2306
2307 int ssl_cipher_ptr_id_cmp(const SSL_CIPHER *const *ap,
2308                           const SSL_CIPHER *const *bp)
2309 {
2310     if ((*ap)->id > (*bp)->id)
2311         return 1;
2312     if ((*ap)->id < (*bp)->id)
2313         return -1;
2314     return 0;
2315 }
2316
2317 /** return a STACK of the ciphers available for the SSL and in order of
2318  * preference */
2319 STACK_OF(SSL_CIPHER) *SSL_get_ciphers(const SSL *s)
2320 {
2321     if (s != NULL) {
2322         if (s->cipher_list != NULL) {
2323             return (s->cipher_list);
2324         } else if ((s->ctx != NULL) && (s->ctx->cipher_list != NULL)) {
2325             return (s->ctx->cipher_list);
2326         }
2327     }
2328     return (NULL);
2329 }
2330
2331 STACK_OF(SSL_CIPHER) *SSL_get_client_ciphers(const SSL *s)
2332 {
2333     if ((s == NULL) || (s->session == NULL) || !s->server)
2334         return NULL;
2335     return s->session->ciphers;
2336 }
2337
2338 STACK_OF(SSL_CIPHER) *SSL_get1_supported_ciphers(SSL *s)
2339 {
2340     STACK_OF(SSL_CIPHER) *sk = NULL, *ciphers;
2341     int i;
2342     ciphers = SSL_get_ciphers(s);
2343     if (!ciphers)
2344         return NULL;
2345     ssl_set_client_disabled(s);
2346     for (i = 0; i < sk_SSL_CIPHER_num(ciphers); i++) {
2347         const SSL_CIPHER *c = sk_SSL_CIPHER_value(ciphers, i);
2348         if (!ssl_cipher_disabled(s, c, SSL_SECOP_CIPHER_SUPPORTED, 0)) {
2349             if (!sk)
2350                 sk = sk_SSL_CIPHER_new_null();
2351             if (!sk)
2352                 return NULL;
2353             if (!sk_SSL_CIPHER_push(sk, c)) {
2354                 sk_SSL_CIPHER_free(sk);
2355                 return NULL;
2356             }
2357         }
2358     }
2359     return sk;
2360 }
2361
2362 /** return a STACK of the ciphers available for the SSL and in order of
2363  * algorithm id */
2364 STACK_OF(SSL_CIPHER) *ssl_get_ciphers_by_id(SSL *s)
2365 {
2366     if (s != NULL) {
2367         if (s->cipher_list_by_id != NULL) {
2368             return (s->cipher_list_by_id);
2369         } else if ((s->ctx != NULL) && (s->ctx->cipher_list_by_id != NULL)) {
2370             return (s->ctx->cipher_list_by_id);
2371         }
2372     }
2373     return (NULL);
2374 }
2375
2376 /** The old interface to get the same thing as SSL_get_ciphers() */
2377 const char *SSL_get_cipher_list(const SSL *s, int n)
2378 {
2379     const SSL_CIPHER *c;
2380     STACK_OF(SSL_CIPHER) *sk;
2381
2382     if (s == NULL)
2383         return (NULL);
2384     sk = SSL_get_ciphers(s);
2385     if ((sk == NULL) || (sk_SSL_CIPHER_num(sk) <= n))
2386         return (NULL);
2387     c = sk_SSL_CIPHER_value(sk, n);
2388     if (c == NULL)
2389         return (NULL);
2390     return (c->name);
2391 }
2392
2393 /** return a STACK of the ciphers available for the SSL_CTX and in order of
2394  * preference */
2395 STACK_OF(SSL_CIPHER) *SSL_CTX_get_ciphers(const SSL_CTX *ctx)
2396 {
2397     if (ctx != NULL)
2398         return ctx->cipher_list;
2399     return NULL;
2400 }
2401
2402 /** specify the ciphers to be used by default by the SSL_CTX */
2403 int SSL_CTX_set_cipher_list(SSL_CTX *ctx, const char *str)
2404 {
2405     STACK_OF(SSL_CIPHER) *sk;
2406
2407     sk = ssl_create_cipher_list(ctx->method, &ctx->cipher_list,
2408                                 &ctx->cipher_list_by_id, str, ctx->cert);
2409     /*
2410      * ssl_create_cipher_list may return an empty stack if it was unable to
2411      * find a cipher matching the given rule string (for example if the rule
2412      * string specifies a cipher which has been disabled). This is not an
2413      * error as far as ssl_create_cipher_list is concerned, and hence
2414      * ctx->cipher_list and ctx->cipher_list_by_id has been updated.
2415      */
2416     if (sk == NULL)
2417         return 0;
2418     else if (sk_SSL_CIPHER_num(sk) == 0) {
2419         SSLerr(SSL_F_SSL_CTX_SET_CIPHER_LIST, SSL_R_NO_CIPHER_MATCH);
2420         return 0;
2421     }
2422     return 1;
2423 }
2424
2425 /** specify the ciphers to be used by the SSL */
2426 int SSL_set_cipher_list(SSL *s, const char *str)
2427 {
2428     STACK_OF(SSL_CIPHER) *sk;
2429
2430     sk = ssl_create_cipher_list(s->ctx->method, &s->cipher_list,
2431                                 &s->cipher_list_by_id, str, s->cert);
2432     /* see comment in SSL_CTX_set_cipher_list */
2433     if (sk == NULL)
2434         return 0;
2435     else if (sk_SSL_CIPHER_num(sk) == 0) {
2436         SSLerr(SSL_F_SSL_SET_CIPHER_LIST, SSL_R_NO_CIPHER_MATCH);
2437         return 0;
2438     }
2439     return 1;
2440 }
2441
2442 char *SSL_get_shared_ciphers(const SSL *s, char *buf, int len)
2443 {
2444     char *p;
2445     STACK_OF(SSL_CIPHER) *sk;
2446     const SSL_CIPHER *c;
2447     int i;
2448
2449     if ((s->session == NULL) || (s->session->ciphers == NULL) || (len < 2))
2450         return (NULL);
2451
2452     p = buf;
2453     sk = s->session->ciphers;
2454
2455     if (sk_SSL_CIPHER_num(sk) == 0)
2456         return NULL;
2457
2458     for (i = 0; i < sk_SSL_CIPHER_num(sk); i++) {
2459         int n;
2460
2461         c = sk_SSL_CIPHER_value(sk, i);
2462         n = strlen(c->name);
2463         if (n + 1 > len) {
2464             if (p != buf)
2465                 --p;
2466             *p = '\0';
2467             return buf;
2468         }
2469         memcpy(p, c->name, n + 1);
2470         p += n;
2471         *(p++) = ':';
2472         len -= n + 1;
2473     }
2474     p[-1] = '\0';
2475     return (buf);
2476 }
2477
2478 /** return a servername extension value if provided in Client Hello, or NULL.
2479  * So far, only host_name types are defined (RFC 3546).
2480  */
2481
2482 const char *SSL_get_servername(const SSL *s, const int type)
2483 {
2484     if (type != TLSEXT_NAMETYPE_host_name)
2485         return NULL;
2486
2487     return s->session && !s->ext.hostname ?
2488         s->session->ext.hostname : s->ext.hostname;
2489 }
2490
2491 int SSL_get_servername_type(const SSL *s)
2492 {
2493     if (s->session
2494         && (!s->ext.hostname ? s->session->
2495             ext.hostname : s->ext.hostname))
2496         return TLSEXT_NAMETYPE_host_name;
2497     return -1;
2498 }
2499
2500 /*
2501  * SSL_select_next_proto implements the standard protocol selection. It is
2502  * expected that this function is called from the callback set by
2503  * SSL_CTX_set_next_proto_select_cb. The protocol data is assumed to be a
2504  * vector of 8-bit, length prefixed byte strings. The length byte itself is
2505  * not included in the length. A byte string of length 0 is invalid. No byte
2506  * string may be truncated. The current, but experimental algorithm for
2507  * selecting the protocol is: 1) If the server doesn't support NPN then this
2508  * is indicated to the callback. In this case, the client application has to
2509  * abort the connection or have a default application level protocol. 2) If
2510  * the server supports NPN, but advertises an empty list then the client
2511  * selects the first protocol in its list, but indicates via the API that this
2512  * fallback case was enacted. 3) Otherwise, the client finds the first
2513  * protocol in the server's list that it supports and selects this protocol.
2514  * This is because it's assumed that the server has better information about
2515  * which protocol a client should use. 4) If the client doesn't support any
2516  * of the server's advertised protocols, then this is treated the same as
2517  * case 2. It returns either OPENSSL_NPN_NEGOTIATED if a common protocol was
2518  * found, or OPENSSL_NPN_NO_OVERLAP if the fallback case was reached.
2519  */
2520 int SSL_select_next_proto(unsigned char **out, unsigned char *outlen,
2521                           const unsigned char *server,
2522                           unsigned int server_len,
2523                           const unsigned char *client, unsigned int client_len)
2524 {
2525     unsigned int i, j;
2526     const unsigned char *result;
2527     int status = OPENSSL_NPN_UNSUPPORTED;
2528
2529     /*
2530      * For each protocol in server preference order, see if we support it.
2531      */
2532     for (i = 0; i < server_len;) {
2533         for (j = 0; j < client_len;) {
2534             if (server[i] == client[j] &&
2535                 memcmp(&server[i + 1], &client[j + 1], server[i]) == 0) {
2536                 /* We found a match */
2537                 result = &server[i];
2538                 status = OPENSSL_NPN_NEGOTIATED;
2539                 goto found;
2540             }
2541             j += client[j];
2542             j++;
2543         }
2544         i += server[i];
2545         i++;
2546     }
2547
2548     /* There's no overlap between our protocols and the server's list. */
2549     result = client;
2550     status = OPENSSL_NPN_NO_OVERLAP;
2551
2552  found:
2553     *out = (unsigned char *)result + 1;
2554     *outlen = result[0];
2555     return status;
2556 }
2557
2558 #ifndef OPENSSL_NO_NEXTPROTONEG
2559 /*
2560  * SSL_get0_next_proto_negotiated sets *data and *len to point to the
2561  * client's requested protocol for this connection and returns 0. If the
2562  * client didn't request any protocol, then *data is set to NULL. Note that
2563  * the client can request any protocol it chooses. The value returned from
2564  * this function need not be a member of the list of supported protocols
2565  * provided by the callback.
2566  */
2567 void SSL_get0_next_proto_negotiated(const SSL *s, const unsigned char **data,
2568                                     unsigned *len)
2569 {
2570     *data = s->ext.npn;
2571     if (!*data) {
2572         *len = 0;
2573     } else {
2574         *len = (unsigned int)s->ext.npn_len;
2575     }
2576 }
2577
2578 /*
2579  * SSL_CTX_set_npn_advertised_cb sets a callback that is called when
2580  * a TLS server needs a list of supported protocols for Next Protocol
2581  * Negotiation. The returned list must be in wire format.  The list is
2582  * returned by setting |out| to point to it and |outlen| to its length. This
2583  * memory will not be modified, but one should assume that the SSL* keeps a
2584  * reference to it. The callback should return SSL_TLSEXT_ERR_OK if it
2585  * wishes to advertise. Otherwise, no such extension will be included in the
2586  * ServerHello.
2587  */
2588 void SSL_CTX_set_npn_advertised_cb(SSL_CTX *ctx,
2589                                    SSL_CTX_npn_advertised_cb_func cb,
2590                                    void *arg)
2591 {
2592     ctx->ext.npn_advertised_cb = cb;
2593     ctx->ext.npn_advertised_cb_arg = arg;
2594 }
2595
2596 /*
2597  * SSL_CTX_set_next_proto_select_cb sets a callback that is called when a
2598  * client needs to select a protocol from the server's provided list. |out|
2599  * must be set to point to the selected protocol (which may be within |in|).
2600  * The length of the protocol name must be written into |outlen|. The
2601  * server's advertised protocols are provided in |in| and |inlen|. The
2602  * callback can assume that |in| is syntactically valid. The client must
2603  * select a protocol. It is fatal to the connection if this callback returns
2604  * a value other than SSL_TLSEXT_ERR_OK.
2605  */
2606 void SSL_CTX_set_npn_select_cb(SSL_CTX *ctx,
2607                                SSL_CTX_npn_select_cb_func cb,
2608                                void *arg)
2609 {
2610     ctx->ext.npn_select_cb = cb;
2611     ctx->ext.npn_select_cb_arg = arg;
2612 }
2613 #endif
2614
2615 /*
2616  * SSL_CTX_set_alpn_protos sets the ALPN protocol list on |ctx| to |protos|.
2617  * |protos| must be in wire-format (i.e. a series of non-empty, 8-bit
2618  * length-prefixed strings). Returns 0 on success.
2619  */
2620 int SSL_CTX_set_alpn_protos(SSL_CTX *ctx, const unsigned char *protos,
2621                             unsigned int protos_len)
2622 {
2623     OPENSSL_free(ctx->ext.alpn);
2624     ctx->ext.alpn = OPENSSL_memdup(protos, protos_len);
2625     if (ctx->ext.alpn == NULL) {
2626         SSLerr(SSL_F_SSL_CTX_SET_ALPN_PROTOS, ERR_R_MALLOC_FAILURE);
2627         return 1;
2628     }
2629     ctx->ext.alpn_len = protos_len;
2630
2631     return 0;
2632 }
2633
2634 /*
2635  * SSL_set_alpn_protos sets the ALPN protocol list on |ssl| to |protos|.
2636  * |protos| must be in wire-format (i.e. a series of non-empty, 8-bit
2637  * length-prefixed strings). Returns 0 on success.
2638  */
2639 int SSL_set_alpn_protos(SSL *ssl, const unsigned char *protos,
2640                         unsigned int protos_len)
2641 {
2642     OPENSSL_free(ssl->ext.alpn);
2643     ssl->ext.alpn = OPENSSL_memdup(protos, protos_len);
2644     if (ssl->ext.alpn == NULL) {
2645         SSLerr(SSL_F_SSL_SET_ALPN_PROTOS, ERR_R_MALLOC_FAILURE);
2646         return 1;
2647     }
2648     ssl->ext.alpn_len = protos_len;
2649
2650     return 0;
2651 }
2652
2653 /*
2654  * SSL_CTX_set_alpn_select_cb sets a callback function on |ctx| that is
2655  * called during ClientHello processing in order to select an ALPN protocol
2656  * from the client's list of offered protocols.
2657  */
2658 void SSL_CTX_set_alpn_select_cb(SSL_CTX *ctx,
2659                                 SSL_CTX_alpn_select_cb_func cb,
2660                                 void *arg)
2661 {
2662     ctx->ext.alpn_select_cb = cb;
2663     ctx->ext.alpn_select_cb_arg = arg;
2664 }
2665
2666 /*
2667  * SSL_get0_alpn_selected gets the selected ALPN protocol (if any) from |ssl|.
2668  * On return it sets |*data| to point to |*len| bytes of protocol name
2669  * (not including the leading length-prefix byte). If the server didn't
2670  * respond with a negotiated protocol then |*len| will be zero.
2671  */
2672 void SSL_get0_alpn_selected(const SSL *ssl, const unsigned char **data,
2673                             unsigned int *len)
2674 {
2675     *data = NULL;
2676     if (ssl->s3)
2677         *data = ssl->s3->alpn_selected;
2678     if (*data == NULL)
2679         *len = 0;
2680     else
2681         *len = (unsigned int)ssl->s3->alpn_selected_len;
2682 }
2683
2684 int SSL_export_keying_material(SSL *s, unsigned char *out, size_t olen,
2685                                const char *label, size_t llen,
2686                                const unsigned char *context, size_t contextlen,
2687                                int use_context)
2688 {
2689     if (s->version < TLS1_VERSION && s->version != DTLS1_BAD_VER)
2690         return -1;
2691
2692     return s->method->ssl3_enc->export_keying_material(s, out, olen, label,
2693                                                        llen, context,
2694                                                        contextlen, use_context);
2695 }
2696
2697 static unsigned long ssl_session_hash(const SSL_SESSION *a)
2698 {
2699     const unsigned char *session_id = a->session_id;
2700     unsigned long l;
2701     unsigned char tmp_storage[4];
2702
2703     if (a->session_id_length < sizeof(tmp_storage)) {
2704         memset(tmp_storage, 0, sizeof(tmp_storage));
2705         memcpy(tmp_storage, a->session_id, a->session_id_length);
2706         session_id = tmp_storage;
2707     }
2708
2709     l = (unsigned long)
2710         ((unsigned long)session_id[0]) |
2711         ((unsigned long)session_id[1] << 8L) |
2712         ((unsigned long)session_id[2] << 16L) |
2713         ((unsigned long)session_id[3] << 24L);
2714     return (l);
2715 }
2716
2717 /*
2718  * NB: If this function (or indeed the hash function which uses a sort of
2719  * coarser function than this one) is changed, ensure
2720  * SSL_CTX_has_matching_session_id() is checked accordingly. It relies on
2721  * being able to construct an SSL_SESSION that will collide with any existing
2722  * session with a matching session ID.
2723  */
2724 static int ssl_session_cmp(const SSL_SESSION *a, const SSL_SESSION *b)
2725 {
2726     if (a->ssl_version != b->ssl_version)
2727         return (1);
2728     if (a->session_id_length != b->session_id_length)
2729         return (1);
2730     return (memcmp(a->session_id, b->session_id, a->session_id_length));
2731 }
2732
2733 /*
2734  * These wrapper functions should remain rather than redeclaring
2735  * SSL_SESSION_hash and SSL_SESSION_cmp for void* types and casting each
2736  * variable. The reason is that the functions aren't static, they're exposed
2737  * via ssl.h.
2738  */
2739
2740 SSL_CTX *SSL_CTX_new(const SSL_METHOD *meth)
2741 {
2742     SSL_CTX *ret = NULL;
2743
2744     if (meth == NULL) {
2745         SSLerr(SSL_F_SSL_CTX_NEW, SSL_R_NULL_SSL_METHOD_PASSED);
2746         return (NULL);
2747     }
2748
2749     if (!OPENSSL_init_ssl(OPENSSL_INIT_LOAD_SSL_STRINGS, NULL))
2750         return NULL;
2751
2752     if (SSL_get_ex_data_X509_STORE_CTX_idx() < 0) {
2753         SSLerr(SSL_F_SSL_CTX_NEW, SSL_R_X509_VERIFICATION_SETUP_PROBLEMS);
2754         goto err;
2755     }
2756     ret = OPENSSL_zalloc(sizeof(*ret));
2757     if (ret == NULL)
2758         goto err;
2759
2760     ret->method = meth;
2761     ret->min_proto_version = 0;
2762     ret->max_proto_version = 0;
2763     ret->session_cache_mode = SSL_SESS_CACHE_SERVER;
2764     ret->session_cache_size = SSL_SESSION_CACHE_MAX_SIZE_DEFAULT;
2765     /* We take the system default. */
2766     ret->session_timeout = meth->get_timeout();
2767     ret->references = 1;
2768     ret->lock = CRYPTO_THREAD_lock_new();
2769     if (ret->lock == NULL) {
2770         SSLerr(SSL_F_SSL_CTX_NEW, ERR_R_MALLOC_FAILURE);
2771         OPENSSL_free(ret);
2772         return NULL;
2773     }
2774     ret->max_cert_list = SSL_MAX_CERT_LIST_DEFAULT;
2775     ret->verify_mode = SSL_VERIFY_NONE;
2776     if ((ret->cert = ssl_cert_new()) == NULL)
2777         goto err;
2778
2779     ret->sessions = lh_SSL_SESSION_new(ssl_session_hash, ssl_session_cmp);
2780     if (ret->sessions == NULL)
2781         goto err;
2782     ret->cert_store = X509_STORE_new();
2783     if (ret->cert_store == NULL)
2784         goto err;
2785 #ifndef OPENSSL_NO_CT
2786     ret->ctlog_store = CTLOG_STORE_new();
2787     if (ret->ctlog_store == NULL)
2788         goto err;
2789 #endif
2790     if (!ssl_create_cipher_list(ret->method,
2791                                 &ret->cipher_list, &ret->cipher_list_by_id,
2792                                 SSL_DEFAULT_CIPHER_LIST, ret->cert)
2793         || sk_SSL_CIPHER_num(ret->cipher_list) <= 0) {
2794         SSLerr(SSL_F_SSL_CTX_NEW, SSL_R_LIBRARY_HAS_NO_CIPHERS);
2795         goto err2;
2796     }
2797
2798     ret->param = X509_VERIFY_PARAM_new();
2799     if (ret->param == NULL)
2800         goto err;
2801
2802     if ((ret->md5 = EVP_get_digestbyname("ssl3-md5")) == NULL) {
2803         SSLerr(SSL_F_SSL_CTX_NEW, SSL_R_UNABLE_TO_LOAD_SSL3_MD5_ROUTINES);
2804         goto err2;
2805     }
2806     if ((ret->sha1 = EVP_get_digestbyname("ssl3-sha1")) == NULL) {
2807         SSLerr(SSL_F_SSL_CTX_NEW, SSL_R_UNABLE_TO_LOAD_SSL3_SHA1_ROUTINES);
2808         goto err2;
2809     }
2810
2811     if ((ret->ca_names = sk_X509_NAME_new_null()) == NULL)
2812         goto err;
2813
2814     if (!CRYPTO_new_ex_data(CRYPTO_EX_INDEX_SSL_CTX, ret, &ret->ex_data))
2815         goto err;
2816
2817     /* No compression for DTLS */
2818     if (!(meth->ssl3_enc->enc_flags & SSL_ENC_FLAG_DTLS))
2819         ret->comp_methods = SSL_COMP_get_compression_methods();
2820
2821     ret->max_send_fragment = SSL3_RT_MAX_PLAIN_LENGTH;
2822     ret->split_send_fragment = SSL3_RT_MAX_PLAIN_LENGTH;
2823
2824     /* Setup RFC5077 ticket keys */
2825     if ((RAND_bytes(ret->ext.tick_key_name,
2826                     sizeof(ret->ext.tick_key_name)) <= 0)
2827         || (RAND_bytes(ret->ext.tick_hmac_key,
2828                        sizeof(ret->ext.tick_hmac_key)) <= 0)
2829         || (RAND_bytes(ret->ext.tick_aes_key,
2830                        sizeof(ret->ext.tick_aes_key)) <= 0))
2831         ret->options |= SSL_OP_NO_TICKET;
2832
2833 #ifndef OPENSSL_NO_SRP
2834     if (!SSL_CTX_SRP_CTX_init(ret))
2835         goto err;
2836 #endif
2837 #ifndef OPENSSL_NO_ENGINE
2838 # ifdef OPENSSL_SSL_CLIENT_ENGINE_AUTO
2839 #  define eng_strx(x)     #x
2840 #  define eng_str(x)      eng_strx(x)
2841     /* Use specific client engine automatically... ignore errors */
2842     {
2843         ENGINE *eng;
2844         eng = ENGINE_by_id(eng_str(OPENSSL_SSL_CLIENT_ENGINE_AUTO));
2845         if (!eng) {
2846             ERR_clear_error();
2847             ENGINE_load_builtin_engines();
2848             eng = ENGINE_by_id(eng_str(OPENSSL_SSL_CLIENT_ENGINE_AUTO));
2849         }
2850         if (!eng || !SSL_CTX_set_client_cert_engine(ret, eng))
2851             ERR_clear_error();
2852     }
2853 # endif
2854 #endif
2855     /*
2856      * Default is to connect to non-RI servers. When RI is more widely
2857      * deployed might change this.
2858      */
2859     ret->options |= SSL_OP_LEGACY_SERVER_CONNECT;
2860     /*
2861      * Disable compression by default to prevent CRIME. Applications can
2862      * re-enable compression by configuring
2863      * SSL_CTX_clear_options(ctx, SSL_OP_NO_COMPRESSION);
2864      * or by using the SSL_CONF library.
2865      */
2866     ret->options |= SSL_OP_NO_COMPRESSION;
2867
2868     ret->ext.status_type = TLSEXT_STATUSTYPE_nothing;
2869
2870     /*
2871      * Default max early data is a fully loaded single record. Could be split
2872      * across multiple records in practice
2873      */
2874     ret->max_early_data = SSL3_RT_MAX_PLAIN_LENGTH;
2875
2876     return ret;
2877  err:
2878     SSLerr(SSL_F_SSL_CTX_NEW, ERR_R_MALLOC_FAILURE);
2879  err2:
2880     SSL_CTX_free(ret);
2881     return NULL;
2882 }
2883
2884 int SSL_CTX_up_ref(SSL_CTX *ctx)
2885 {
2886     int i;
2887
2888     if (CRYPTO_UP_REF(&ctx->references, &i, ctx->lock) <= 0)
2889         return 0;
2890
2891     REF_PRINT_COUNT("SSL_CTX", ctx);
2892     REF_ASSERT_ISNT(i < 2);
2893     return ((i > 1) ? 1 : 0);
2894 }
2895
2896 void SSL_CTX_free(SSL_CTX *a)
2897 {
2898     int i;
2899
2900     if (a == NULL)
2901         return;
2902
2903     CRYPTO_DOWN_REF(&a->references, &i, a->lock);
2904     REF_PRINT_COUNT("SSL_CTX", a);
2905     if (i > 0)
2906         return;
2907     REF_ASSERT_ISNT(i < 0);
2908
2909     X509_VERIFY_PARAM_free(a->param);
2910     dane_ctx_final(&a->dane);
2911
2912     /*
2913      * Free internal session cache. However: the remove_cb() may reference
2914      * the ex_data of SSL_CTX, thus the ex_data store can only be removed
2915      * after the sessions were flushed.
2916      * As the ex_data handling routines might also touch the session cache,
2917      * the most secure solution seems to be: empty (flush) the cache, then
2918      * free ex_data, then finally free the cache.
2919      * (See ticket [openssl.org #212].)
2920      */
2921     if (a->sessions != NULL)
2922         SSL_CTX_flush_sessions(a, 0);
2923
2924     CRYPTO_free_ex_data(CRYPTO_EX_INDEX_SSL_CTX, a, &a->ex_data);
2925     lh_SSL_SESSION_free(a->sessions);
2926     X509_STORE_free(a->cert_store);
2927 #ifndef OPENSSL_NO_CT
2928     CTLOG_STORE_free(a->ctlog_store);
2929 #endif
2930     sk_SSL_CIPHER_free(a->cipher_list);
2931     sk_SSL_CIPHER_free(a->cipher_list_by_id);
2932     ssl_cert_free(a->cert);
2933     sk_X509_NAME_pop_free(a->ca_names, X509_NAME_free);
2934     sk_X509_pop_free(a->extra_certs, X509_free);
2935     a->comp_methods = NULL;
2936 #ifndef OPENSSL_NO_SRTP
2937     sk_SRTP_PROTECTION_PROFILE_free(a->srtp_profiles);
2938 #endif
2939 #ifndef OPENSSL_NO_SRP
2940     SSL_CTX_SRP_CTX_free(a);
2941 #endif
2942 #ifndef OPENSSL_NO_ENGINE
2943     ENGINE_finish(a->client_cert_engine);
2944 #endif
2945
2946 #ifndef OPENSSL_NO_EC
2947     OPENSSL_free(a->ext.ecpointformats);
2948     OPENSSL_free(a->ext.supportedgroups);
2949 #endif
2950     OPENSSL_free(a->ext.alpn);
2951
2952     CRYPTO_THREAD_lock_free(a->lock);
2953
2954     OPENSSL_free(a);
2955 }
2956
2957 void SSL_CTX_set_default_passwd_cb(SSL_CTX *ctx, pem_password_cb *cb)
2958 {
2959     ctx->default_passwd_callback = cb;
2960 }
2961
2962 void SSL_CTX_set_default_passwd_cb_userdata(SSL_CTX *ctx, void *u)
2963 {
2964     ctx->default_passwd_callback_userdata = u;
2965 }
2966
2967 pem_password_cb *SSL_CTX_get_default_passwd_cb(SSL_CTX *ctx)
2968 {
2969     return ctx->default_passwd_callback;
2970 }
2971
2972 void *SSL_CTX_get_default_passwd_cb_userdata(SSL_CTX *ctx)
2973 {
2974     return ctx->default_passwd_callback_userdata;
2975 }
2976
2977 void SSL_set_default_passwd_cb(SSL *s, pem_password_cb *cb)
2978 {
2979     s->default_passwd_callback = cb;
2980 }
2981
2982 void SSL_set_default_passwd_cb_userdata(SSL *s, void *u)
2983 {
2984     s->default_passwd_callback_userdata = u;
2985 }
2986
2987 pem_password_cb *SSL_get_default_passwd_cb(SSL *s)
2988 {
2989     return s->default_passwd_callback;
2990 }
2991
2992 void *SSL_get_default_passwd_cb_userdata(SSL *s)
2993 {
2994     return s->default_passwd_callback_userdata;
2995 }
2996
2997 void SSL_CTX_set_cert_verify_callback(SSL_CTX *ctx,
2998                                       int (*cb) (X509_STORE_CTX *, void *),
2999                                       void *arg)
3000 {
3001     ctx->app_verify_callback = cb;
3002     ctx->app_verify_arg = arg;
3003 }
3004
3005 void SSL_CTX_set_verify(SSL_CTX *ctx, int mode,
3006                         int (*cb) (int, X509_STORE_CTX *))
3007 {
3008     ctx->verify_mode = mode;
3009     ctx->default_verify_callback = cb;
3010 }
3011
3012 void SSL_CTX_set_verify_depth(SSL_CTX *ctx, int depth)
3013 {
3014     X509_VERIFY_PARAM_set_depth(ctx->param, depth);
3015 }
3016
3017 void SSL_CTX_set_cert_cb(SSL_CTX *c, int (*cb) (SSL *ssl, void *arg), void *arg)
3018 {
3019     ssl_cert_set_cert_cb(c->cert, cb, arg);
3020 }
3021
3022 void SSL_set_cert_cb(SSL *s, int (*cb) (SSL *ssl, void *arg), void *arg)
3023 {
3024     ssl_cert_set_cert_cb(s->cert, cb, arg);
3025 }
3026
3027 void ssl_set_masks(SSL *s)
3028 {
3029     CERT *c = s->cert;
3030     uint32_t *pvalid = s->s3->tmp.valid_flags;
3031     int rsa_enc, rsa_sign, dh_tmp, dsa_sign;
3032     unsigned long mask_k, mask_a;
3033 #ifndef OPENSSL_NO_EC
3034     int have_ecc_cert, ecdsa_ok;
3035 #endif
3036     if (c == NULL)
3037         return;
3038
3039 #ifndef OPENSSL_NO_DH
3040     dh_tmp = (c->dh_tmp != NULL || c->dh_tmp_cb != NULL || c->dh_tmp_auto);
3041 #else
3042     dh_tmp = 0;
3043 #endif
3044
3045     rsa_enc = pvalid[SSL_PKEY_RSA] & CERT_PKEY_VALID;
3046     rsa_sign = pvalid[SSL_PKEY_RSA] & CERT_PKEY_VALID;
3047     dsa_sign = pvalid[SSL_PKEY_DSA_SIGN] & CERT_PKEY_VALID;
3048 #ifndef OPENSSL_NO_EC
3049     have_ecc_cert = pvalid[SSL_PKEY_ECC] & CERT_PKEY_VALID;
3050 #endif
3051     mask_k = 0;
3052     mask_a = 0;
3053
3054 #ifdef CIPHER_DEBUG
3055     fprintf(stderr, "dht=%d re=%d rs=%d ds=%d\n",
3056             dh_tmp, rsa_enc, rsa_sign, dsa_sign);
3057 #endif
3058
3059 #ifndef OPENSSL_NO_GOST
3060     if (ssl_has_cert(s, SSL_PKEY_GOST12_512)) {
3061         mask_k |= SSL_kGOST;
3062         mask_a |= SSL_aGOST12;
3063     }
3064     if (ssl_has_cert(s, SSL_PKEY_GOST12_256)) {
3065         mask_k |= SSL_kGOST;
3066         mask_a |= SSL_aGOST12;
3067     }
3068     if (ssl_has_cert(s, SSL_PKEY_GOST01)) {
3069         mask_k |= SSL_kGOST;
3070         mask_a |= SSL_aGOST01;
3071     }
3072 #endif
3073
3074     if (rsa_enc)
3075         mask_k |= SSL_kRSA;
3076
3077     if (dh_tmp)
3078         mask_k |= SSL_kDHE;
3079
3080     if (rsa_enc || rsa_sign) {
3081         mask_a |= SSL_aRSA;
3082     }
3083
3084     if (dsa_sign) {
3085         mask_a |= SSL_aDSS;
3086     }
3087
3088     mask_a |= SSL_aNULL;
3089
3090     /*
3091      * An ECC certificate may be usable for ECDH and/or ECDSA cipher suites
3092      * depending on the key usage extension.
3093      */
3094 #ifndef OPENSSL_NO_EC
3095     if (have_ecc_cert) {
3096         uint32_t ex_kusage;
3097         ex_kusage = X509_get_key_usage(c->pkeys[SSL_PKEY_ECC].x509);
3098         ecdsa_ok = ex_kusage & X509v3_KU_DIGITAL_SIGNATURE;
3099         if (!(pvalid[SSL_PKEY_ECC] & CERT_PKEY_SIGN))
3100             ecdsa_ok = 0;
3101         if (ecdsa_ok)
3102             mask_a |= SSL_aECDSA;
3103     }
3104     /* Allow Ed25519 for TLS 1.2 if peer supports it */
3105     if (!(mask_a & SSL_aECDSA) && ssl_has_cert(s, SSL_PKEY_ED25519)
3106             && pvalid[SSL_PKEY_ED25519] & CERT_PKEY_EXPLICIT_SIGN
3107             && TLS1_get_version(s) == TLS1_2_VERSION)
3108             mask_a |= SSL_aECDSA;
3109 #endif
3110
3111 #ifndef OPENSSL_NO_EC
3112     mask_k |= SSL_kECDHE;
3113 #endif
3114
3115 #ifndef OPENSSL_NO_PSK
3116     mask_k |= SSL_kPSK;
3117     mask_a |= SSL_aPSK;
3118     if (mask_k & SSL_kRSA)
3119         mask_k |= SSL_kRSAPSK;
3120     if (mask_k & SSL_kDHE)
3121         mask_k |= SSL_kDHEPSK;
3122     if (mask_k & SSL_kECDHE)
3123         mask_k |= SSL_kECDHEPSK;
3124 #endif
3125
3126     s->s3->tmp.mask_k = mask_k;
3127     s->s3->tmp.mask_a = mask_a;
3128 }
3129
3130 #ifndef OPENSSL_NO_EC
3131
3132 int ssl_check_srvr_ecc_cert_and_alg(X509 *x, SSL *s)
3133 {
3134     if (s->s3->tmp.new_cipher->algorithm_auth & SSL_aECDSA) {
3135         /* key usage, if present, must allow signing */
3136         if (!(X509_get_key_usage(x) & X509v3_KU_DIGITAL_SIGNATURE)) {
3137             SSLerr(SSL_F_SSL_CHECK_SRVR_ECC_CERT_AND_ALG,
3138                    SSL_R_ECC_CERT_NOT_FOR_SIGNING);
3139             return 0;
3140         }
3141     }
3142     return 1;                   /* all checks are ok */
3143 }
3144
3145 #endif
3146
3147 int ssl_get_server_cert_serverinfo(SSL *s, const unsigned char **serverinfo,
3148                                    size_t *serverinfo_length)
3149 {
3150     CERT_PKEY *cpk = s->s3->tmp.cert;
3151     *serverinfo_length = 0;
3152
3153     if (cpk == NULL || cpk->serverinfo == NULL)
3154         return 0;
3155
3156     *serverinfo = cpk->serverinfo;
3157     *serverinfo_length = cpk->serverinfo_length;
3158     return 1;
3159 }
3160
3161 void ssl_update_cache(SSL *s, int mode)
3162 {
3163     int i;
3164
3165     /*
3166      * If the session_id_length is 0, we are not supposed to cache it, and it
3167      * would be rather hard to do anyway :-)
3168      */
3169     if (s->session->session_id_length == 0)
3170         return;
3171
3172     i = s->session_ctx->session_cache_mode;
3173     if ((i & mode) != 0
3174         && (!s->hit || SSL_IS_TLS13(s))
3175         && ((i & SSL_SESS_CACHE_NO_INTERNAL_STORE) != 0
3176             || SSL_CTX_add_session(s->session_ctx, s->session))
3177         && s->session_ctx->new_session_cb != NULL) {
3178         SSL_SESSION_up_ref(s->session);
3179         if (!s->session_ctx->new_session_cb(s, s->session))
3180             SSL_SESSION_free(s->session);
3181     }
3182
3183     /* auto flush every 255 connections */
3184     if ((!(i & SSL_SESS_CACHE_NO_AUTO_CLEAR)) && ((i & mode) == mode)) {
3185         if ((((mode & SSL_SESS_CACHE_CLIENT)
3186               ? s->session_ctx->stats.sess_connect_good
3187               : s->session_ctx->stats.sess_accept_good) & 0xff) == 0xff) {
3188             SSL_CTX_flush_sessions(s->session_ctx, (unsigned long)time(NULL));
3189         }
3190     }
3191 }
3192
3193 const SSL_METHOD *SSL_CTX_get_ssl_method(SSL_CTX *ctx)
3194 {
3195     return ctx->method;
3196 }
3197
3198 const SSL_METHOD *SSL_get_ssl_method(SSL *s)
3199 {
3200     return (s->method);
3201 }
3202
3203 int SSL_set_ssl_method(SSL *s, const SSL_METHOD *meth)
3204 {
3205     int ret = 1;
3206
3207     if (s->method != meth) {
3208         const SSL_METHOD *sm = s->method;
3209         int (*hf) (SSL *) = s->handshake_func;
3210
3211         if (sm->version == meth->version)
3212             s->method = meth;
3213         else {
3214             sm->ssl_free(s);
3215             s->method = meth;
3216             ret = s->method->ssl_new(s);
3217         }
3218
3219         if (hf == sm->ssl_connect)
3220             s->handshake_func = meth->ssl_connect;
3221         else if (hf == sm->ssl_accept)
3222             s->handshake_func = meth->ssl_accept;
3223     }
3224     return (ret);
3225 }
3226
3227 int SSL_get_error(const SSL *s, int i)
3228 {
3229     int reason;
3230     unsigned long l;
3231     BIO *bio;
3232
3233     if (i > 0)
3234         return (SSL_ERROR_NONE);
3235
3236     /*
3237      * Make things return SSL_ERROR_SYSCALL when doing SSL_do_handshake etc,
3238      * where we do encode the error
3239      */
3240     if ((l = ERR_peek_error()) != 0) {
3241         if (ERR_GET_LIB(l) == ERR_LIB_SYS)
3242             return (SSL_ERROR_SYSCALL);
3243         else
3244             return (SSL_ERROR_SSL);
3245     }
3246
3247     if (SSL_want_read(s)) {
3248         bio = SSL_get_rbio(s);
3249         if (BIO_should_read(bio))
3250             return (SSL_ERROR_WANT_READ);
3251         else if (BIO_should_write(bio))
3252             /*
3253              * This one doesn't make too much sense ... We never try to write
3254              * to the rbio, and an application program where rbio and wbio
3255              * are separate couldn't even know what it should wait for.
3256              * However if we ever set s->rwstate incorrectly (so that we have
3257              * SSL_want_read(s) instead of SSL_want_write(s)) and rbio and
3258              * wbio *are* the same, this test works around that bug; so it
3259              * might be safer to keep it.
3260              */
3261             return (SSL_ERROR_WANT_WRITE);
3262         else if (BIO_should_io_special(bio)) {
3263             reason = BIO_get_retry_reason(bio);
3264             if (reason == BIO_RR_CONNECT)
3265                 return (SSL_ERROR_WANT_CONNECT);
3266             else if (reason == BIO_RR_ACCEPT)
3267                 return (SSL_ERROR_WANT_ACCEPT);
3268             else
3269                 return (SSL_ERROR_SYSCALL); /* unknown */
3270         }
3271     }
3272
3273     if (SSL_want_write(s)) {
3274         /* Access wbio directly - in order to use the buffered bio if present */
3275         bio = s->wbio;
3276         if (BIO_should_write(bio))
3277             return (SSL_ERROR_WANT_WRITE);
3278         else if (BIO_should_read(bio))
3279             /*
3280              * See above (SSL_want_read(s) with BIO_should_write(bio))
3281              */
3282             return (SSL_ERROR_WANT_READ);
3283         else if (BIO_should_io_special(bio)) {
3284             reason = BIO_get_retry_reason(bio);
3285             if (reason == BIO_RR_CONNECT)
3286                 return (SSL_ERROR_WANT_CONNECT);
3287             else if (reason == BIO_RR_ACCEPT)
3288                 return (SSL_ERROR_WANT_ACCEPT);
3289             else
3290                 return (SSL_ERROR_SYSCALL);
3291         }
3292     }
3293     if (SSL_want_x509_lookup(s))
3294         return (SSL_ERROR_WANT_X509_LOOKUP);
3295     if (SSL_want_async(s))
3296         return SSL_ERROR_WANT_ASYNC;
3297     if (SSL_want_async_job(s))
3298         return SSL_ERROR_WANT_ASYNC_JOB;
3299     if (SSL_want_early(s))
3300         return SSL_ERROR_WANT_EARLY;
3301
3302     if ((s->shutdown & SSL_RECEIVED_SHUTDOWN) &&
3303         (s->s3->warn_alert == SSL_AD_CLOSE_NOTIFY))
3304         return (SSL_ERROR_ZERO_RETURN);
3305
3306     return (SSL_ERROR_SYSCALL);
3307 }
3308
3309 static int ssl_do_handshake_intern(void *vargs)
3310 {
3311     struct ssl_async_args *args;
3312     SSL *s;
3313
3314     args = (struct ssl_async_args *)vargs;
3315     s = args->s;
3316
3317     return s->handshake_func(s);
3318 }
3319
3320 int SSL_do_handshake(SSL *s)
3321 {
3322     int ret = 1;
3323
3324     if (s->handshake_func == NULL) {
3325         SSLerr(SSL_F_SSL_DO_HANDSHAKE, SSL_R_CONNECTION_TYPE_NOT_SET);
3326         return -1;
3327     }
3328
3329     ossl_statem_check_finish_init(s, -1);
3330
3331     s->method->ssl_renegotiate_check(s, 0);
3332
3333     if (SSL_is_server(s)) {
3334         /* clear SNI settings at server-side */
3335         OPENSSL_free(s->ext.hostname);
3336         s->ext.hostname = NULL;
3337     }
3338
3339     if (SSL_in_init(s) || SSL_in_before(s)) {
3340         if ((s->mode & SSL_MODE_ASYNC) && ASYNC_get_current_job() == NULL) {
3341             struct ssl_async_args args;
3342
3343             args.s = s;
3344
3345             ret = ssl_start_async_job(s, &args, ssl_do_handshake_intern);
3346         } else {
3347             ret = s->handshake_func(s);
3348         }
3349     }
3350     return ret;
3351 }
3352
3353 void SSL_set_accept_state(SSL *s)
3354 {
3355     s->server = 1;
3356     s->shutdown = 0;
3357     ossl_statem_clear(s);
3358     s->handshake_func = s->method->ssl_accept;
3359     clear_ciphers(s);
3360 }
3361
3362 void SSL_set_connect_state(SSL *s)
3363 {
3364     s->server = 0;
3365     s->shutdown = 0;
3366     ossl_statem_clear(s);
3367     s->handshake_func = s->method->ssl_connect;
3368     clear_ciphers(s);
3369 }
3370
3371 int ssl_undefined_function(SSL *s)
3372 {
3373     SSLerr(SSL_F_SSL_UNDEFINED_FUNCTION, ERR_R_SHOULD_NOT_HAVE_BEEN_CALLED);
3374     return (0);
3375 }
3376
3377 int ssl_undefined_void_function(void)
3378 {
3379     SSLerr(SSL_F_SSL_UNDEFINED_VOID_FUNCTION,
3380            ERR_R_SHOULD_NOT_HAVE_BEEN_CALLED);
3381     return (0);
3382 }
3383
3384 int ssl_undefined_const_function(const SSL *s)
3385 {
3386     return (0);
3387 }
3388
3389 const SSL_METHOD *ssl_bad_method(int ver)
3390 {
3391     SSLerr(SSL_F_SSL_BAD_METHOD, ERR_R_SHOULD_NOT_HAVE_BEEN_CALLED);
3392     return (NULL);
3393 }
3394
3395 const char *ssl_protocol_to_string(int version)
3396 {
3397     switch(version)
3398     {
3399     case TLS1_3_VERSION:
3400         return "TLSv1.3";
3401
3402     case TLS1_2_VERSION:
3403         return "TLSv1.2";
3404
3405     case TLS1_1_VERSION:
3406         return "TLSv1.1";
3407
3408     case TLS1_VERSION:
3409         return "TLSv1";
3410
3411     case SSL3_VERSION:
3412         return "SSLv3";
3413
3414     case DTLS1_BAD_VER:
3415         return "DTLSv0.9";
3416
3417     case DTLS1_VERSION:
3418         return "DTLSv1";
3419
3420     case DTLS1_2_VERSION:
3421         return "DTLSv1.2";
3422
3423     default:
3424         return "unknown";
3425     }
3426 }
3427
3428 const char *SSL_get_version(const SSL *s)
3429 {
3430     return ssl_protocol_to_string(s->version);
3431 }
3432
3433 SSL *SSL_dup(SSL *s)
3434 {
3435     STACK_OF(X509_NAME) *sk;
3436     X509_NAME *xn;
3437     SSL *ret;
3438     int i;
3439
3440     /* If we're not quiescent, just up_ref! */
3441     if (!SSL_in_init(s) || !SSL_in_before(s)) {
3442         CRYPTO_UP_REF(&s->references, &i, s->lock);
3443         return s;
3444     }
3445
3446     /*
3447      * Otherwise, copy configuration state, and session if set.
3448      */
3449     if ((ret = SSL_new(SSL_get_SSL_CTX(s))) == NULL)
3450         return (NULL);
3451
3452     if (s->session != NULL) {
3453         /*
3454          * Arranges to share the same session via up_ref.  This "copies"
3455          * session-id, SSL_METHOD, sid_ctx, and 'cert'
3456          */
3457         if (!SSL_copy_session_id(ret, s))
3458             goto err;
3459     } else {
3460         /*
3461          * No session has been established yet, so we have to expect that
3462          * s->cert or ret->cert will be changed later -- they should not both
3463          * point to the same object, and thus we can't use
3464          * SSL_copy_session_id.
3465          */
3466         if (!SSL_set_ssl_method(ret, s->method))
3467             goto err;
3468
3469         if (s->cert != NULL) {
3470             ssl_cert_free(ret->cert);
3471             ret->cert = ssl_cert_dup(s->cert);
3472             if (ret->cert == NULL)
3473                 goto err;
3474         }
3475
3476         if (!SSL_set_session_id_context(ret, s->sid_ctx,
3477                                         (int)s->sid_ctx_length))
3478             goto err;
3479     }
3480
3481     if (!ssl_dane_dup(ret, s))
3482         goto err;
3483     ret->version = s->version;
3484     ret->options = s->options;
3485     ret->mode = s->mode;
3486     SSL_set_max_cert_list(ret, SSL_get_max_cert_list(s));
3487     SSL_set_read_ahead(ret, SSL_get_read_ahead(s));
3488     ret->msg_callback = s->msg_callback;
3489     ret->msg_callback_arg = s->msg_callback_arg;
3490     SSL_set_verify(ret, SSL_get_verify_mode(s), SSL_get_verify_callback(s));
3491     SSL_set_verify_depth(ret, SSL_get_verify_depth(s));
3492     ret->generate_session_id = s->generate_session_id;
3493
3494     SSL_set_info_callback(ret, SSL_get_info_callback(s));
3495
3496     /* copy app data, a little dangerous perhaps */
3497     if (!CRYPTO_dup_ex_data(CRYPTO_EX_INDEX_SSL, &ret->ex_data, &s->ex_data))
3498         goto err;
3499
3500     /* setup rbio, and wbio */
3501     if (s->rbio != NULL) {
3502         if (!BIO_dup_state(s->rbio, (char *)&ret->rbio))
3503             goto err;
3504     }
3505     if (s->wbio != NULL) {
3506         if (s->wbio != s->rbio) {
3507             if (!BIO_dup_state(s->wbio, (char *)&ret->wbio))
3508                 goto err;
3509         } else {
3510             BIO_up_ref(ret->rbio);
3511             ret->wbio = ret->rbio;
3512         }
3513     }
3514
3515     ret->server = s->server;
3516     if (s->handshake_func) {
3517         if (s->server)
3518             SSL_set_accept_state(ret);
3519         else
3520             SSL_set_connect_state(ret);
3521     }
3522     ret->shutdown = s->shutdown;
3523     ret->hit = s->hit;
3524
3525     ret->default_passwd_callback = s->default_passwd_callback;
3526     ret->default_passwd_callback_userdata = s->default_passwd_callback_userdata;
3527
3528     X509_VERIFY_PARAM_inherit(ret->param, s->param);
3529
3530     /* dup the cipher_list and cipher_list_by_id stacks */
3531     if (s->cipher_list != NULL) {
3532         if ((ret->cipher_list = sk_SSL_CIPHER_dup(s->cipher_list)) == NULL)
3533             goto err;
3534     }
3535     if (s->cipher_list_by_id != NULL)
3536         if ((ret->cipher_list_by_id = sk_SSL_CIPHER_dup(s->cipher_list_by_id))
3537             == NULL)
3538             goto err;
3539
3540     /* Dup the client_CA list */
3541     if (s->ca_names != NULL) {
3542         if ((sk = sk_X509_NAME_dup(s->ca_names)) == NULL)
3543             goto err;
3544         ret->ca_names = sk;
3545         for (i = 0; i < sk_X509_NAME_num(sk); i++) {
3546             xn = sk_X509_NAME_value(sk, i);
3547             if (sk_X509_NAME_set(sk, i, X509_NAME_dup(xn)) == NULL) {
3548                 X509_NAME_free(xn);
3549                 goto err;
3550             }
3551         }
3552     }
3553     return ret;
3554
3555  err:
3556     SSL_free(ret);
3557     return NULL;
3558 }
3559
3560 void ssl_clear_cipher_ctx(SSL *s)
3561 {
3562     if (s->enc_read_ctx != NULL) {
3563         EVP_CIPHER_CTX_free(s->enc_read_ctx);
3564         s->enc_read_ctx = NULL;
3565     }
3566     if (s->enc_write_ctx != NULL) {
3567         EVP_CIPHER_CTX_free(s->enc_write_ctx);
3568         s->enc_write_ctx = NULL;
3569     }
3570 #ifndef OPENSSL_NO_COMP
3571     COMP_CTX_free(s->expand);
3572     s->expand = NULL;
3573     COMP_CTX_free(s->compress);
3574     s->compress = NULL;
3575 #endif
3576 }
3577
3578 X509 *SSL_get_certificate(const SSL *s)
3579 {
3580     if (s->cert != NULL)
3581         return (s->cert->key->x509);
3582     else
3583         return (NULL);
3584 }
3585
3586 EVP_PKEY *SSL_get_privatekey(const SSL *s)
3587 {
3588     if (s->cert != NULL)
3589         return (s->cert->key->privatekey);
3590     else
3591         return (NULL);
3592 }
3593
3594 X509 *SSL_CTX_get0_certificate(const SSL_CTX *ctx)
3595 {
3596     if (ctx->cert != NULL)
3597         return ctx->cert->key->x509;
3598     else
3599         return NULL;
3600 }
3601
3602 EVP_PKEY *SSL_CTX_get0_privatekey(const SSL_CTX *ctx)
3603 {
3604     if (ctx->cert != NULL)
3605         return ctx->cert->key->privatekey;
3606     else
3607         return NULL;
3608 }
3609
3610 const SSL_CIPHER *SSL_get_current_cipher(const SSL *s)
3611 {
3612     if ((s->session != NULL) && (s->session->cipher != NULL))
3613         return (s->session->cipher);
3614     return (NULL);
3615 }
3616
3617 const SSL_CIPHER *SSL_get_pending_cipher(const SSL *s)
3618 {
3619     return s->s3->tmp.new_cipher;
3620 }
3621
3622 const COMP_METHOD *SSL_get_current_compression(SSL *s)
3623 {
3624 #ifndef OPENSSL_NO_COMP
3625     return s->compress ? COMP_CTX_get_method(s->compress) : NULL;
3626 #else
3627     return NULL;
3628 #endif
3629 }
3630
3631 const COMP_METHOD *SSL_get_current_expansion(SSL *s)
3632 {
3633 #ifndef OPENSSL_NO_COMP
3634     return s->expand ? COMP_CTX_get_method(s->expand) : NULL;
3635 #else
3636     return NULL;
3637 #endif
3638 }
3639
3640 int ssl_init_wbio_buffer(SSL *s)
3641 {
3642     BIO *bbio;
3643
3644     if (s->bbio != NULL) {
3645         /* Already buffered. */
3646         return 1;
3647     }
3648
3649     bbio = BIO_new(BIO_f_buffer());
3650     if (bbio == NULL || !BIO_set_read_buffer_size(bbio, 1)) {
3651         BIO_free(bbio);
3652         SSLerr(SSL_F_SSL_INIT_WBIO_BUFFER, ERR_R_BUF_LIB);
3653         return 0;
3654     }
3655     s->bbio = bbio;
3656     s->wbio = BIO_push(bbio, s->wbio);
3657
3658     return 1;
3659 }
3660
3661 int ssl_free_wbio_buffer(SSL *s)
3662 {
3663     /* callers ensure s is never null */
3664     if (s->bbio == NULL)
3665         return 1;
3666
3667     s->wbio = BIO_pop(s->wbio);
3668     if (!ossl_assert(s->wbio != NULL))
3669         return 0;
3670     BIO_free(s->bbio);
3671     s->bbio = NULL;
3672
3673     return 1;
3674 }
3675
3676 void SSL_CTX_set_quiet_shutdown(SSL_CTX *ctx, int mode)
3677 {
3678     ctx->quiet_shutdown = mode;
3679 }
3680
3681 int SSL_CTX_get_quiet_shutdown(const SSL_CTX *ctx)
3682 {
3683     return (ctx->quiet_shutdown);
3684 }
3685
3686 void SSL_set_quiet_shutdown(SSL *s, int mode)
3687 {
3688     s->quiet_shutdown = mode;
3689 }
3690
3691 int SSL_get_quiet_shutdown(const SSL *s)
3692 {
3693     return (s->quiet_shutdown);
3694 }
3695
3696 void SSL_set_shutdown(SSL *s, int mode)
3697 {
3698     s->shutdown = mode;
3699 }
3700
3701 int SSL_get_shutdown(const SSL *s)
3702 {
3703     return s->shutdown;
3704 }
3705
3706 int SSL_version(const SSL *s)
3707 {
3708     return s->version;
3709 }
3710
3711 int SSL_client_version(const SSL *s)
3712 {
3713     return s->client_version;
3714 }
3715
3716 SSL_CTX *SSL_get_SSL_CTX(const SSL *ssl)
3717 {
3718     return ssl->ctx;
3719 }
3720
3721 SSL_CTX *SSL_set_SSL_CTX(SSL *ssl, SSL_CTX *ctx)
3722 {
3723     CERT *new_cert;
3724     if (ssl->ctx == ctx)
3725         return ssl->ctx;
3726     if (ctx == NULL)
3727         ctx = ssl->session_ctx;
3728     new_cert = ssl_cert_dup(ctx->cert);
3729     if (new_cert == NULL) {
3730         return NULL;
3731     }
3732
3733     if (!custom_exts_copy_flags(&new_cert->custext, &ssl->cert->custext)) {
3734         ssl_cert_free(new_cert);
3735         return NULL;
3736     }
3737
3738     ssl_cert_free(ssl->cert);
3739     ssl->cert = new_cert;
3740
3741     /*
3742      * Program invariant: |sid_ctx| has fixed size (SSL_MAX_SID_CTX_LENGTH),
3743      * so setter APIs must prevent invalid lengths from entering the system.
3744      */
3745     if (!ossl_assert(ssl->sid_ctx_length <= sizeof(ssl->sid_ctx)))
3746         return NULL;
3747
3748     /*
3749      * If the session ID context matches that of the parent SSL_CTX,
3750      * inherit it from the new SSL_CTX as well. If however the context does
3751      * not match (i.e., it was set per-ssl with SSL_set_session_id_context),
3752      * leave it unchanged.
3753      */
3754     if ((ssl->ctx != NULL) &&
3755         (ssl->sid_ctx_length == ssl->ctx->sid_ctx_length) &&
3756         (memcmp(ssl->sid_ctx, ssl->ctx->sid_ctx, ssl->sid_ctx_length) == 0)) {
3757         ssl->sid_ctx_length = ctx->sid_ctx_length;
3758         memcpy(&ssl->sid_ctx, &ctx->sid_ctx, sizeof(ssl->sid_ctx));
3759     }
3760
3761     SSL_CTX_up_ref(ctx);
3762     SSL_CTX_free(ssl->ctx);     /* decrement reference count */
3763     ssl->ctx = ctx;
3764
3765     return ssl->ctx;
3766 }
3767
3768 int SSL_CTX_set_default_verify_paths(SSL_CTX *ctx)
3769 {
3770     return (X509_STORE_set_default_paths(ctx->cert_store));
3771 }
3772
3773 int SSL_CTX_set_default_verify_dir(SSL_CTX *ctx)
3774 {
3775     X509_LOOKUP *lookup;
3776
3777     lookup = X509_STORE_add_lookup(ctx->cert_store, X509_LOOKUP_hash_dir());
3778     if (lookup == NULL)
3779         return 0;
3780     X509_LOOKUP_add_dir(lookup, NULL, X509_FILETYPE_DEFAULT);
3781
3782     /* Clear any errors if the default directory does not exist */
3783     ERR_clear_error();
3784
3785     return 1;
3786 }
3787
3788 int SSL_CTX_set_default_verify_file(SSL_CTX *ctx)
3789 {
3790     X509_LOOKUP *lookup;
3791
3792     lookup = X509_STORE_add_lookup(ctx->cert_store, X509_LOOKUP_file());
3793     if (lookup == NULL)
3794         return 0;
3795
3796     X509_LOOKUP_load_file(lookup, NULL, X509_FILETYPE_DEFAULT);
3797
3798     /* Clear any errors if the default file does not exist */
3799     ERR_clear_error();
3800
3801     return 1;
3802 }
3803
3804 int SSL_CTX_load_verify_locations(SSL_CTX *ctx, const char *CAfile,
3805                                   const char *CApath)
3806 {
3807     return (X509_STORE_load_locations(ctx->cert_store, CAfile, CApath));
3808 }
3809
3810 void SSL_set_info_callback(SSL *ssl,
3811                            void (*cb) (const SSL *ssl, int type, int val))
3812 {
3813     ssl->info_callback = cb;
3814 }
3815
3816 /*
3817  * One compiler (Diab DCC) doesn't like argument names in returned function
3818  * pointer.
3819  */
3820 void (*SSL_get_info_callback(const SSL *ssl)) (const SSL * /* ssl */ ,
3821                                                int /* type */ ,
3822                                                int /* val */ ) {
3823     return ssl->info_callback;
3824 }
3825
3826 void SSL_set_verify_result(SSL *ssl, long arg)
3827 {
3828     ssl->verify_result = arg;
3829 }
3830
3831 long SSL_get_verify_result(const SSL *ssl)
3832 {
3833     return (ssl->verify_result);
3834 }
3835
3836 size_t SSL_get_client_random(const SSL *ssl, unsigned char *out, size_t outlen)
3837 {
3838     if (outlen == 0)
3839         return sizeof(ssl->s3->client_random);
3840     if (outlen > sizeof(ssl->s3->client_random))
3841         outlen = sizeof(ssl->s3->client_random);
3842     memcpy(out, ssl->s3->client_random, outlen);
3843     return outlen;
3844 }
3845
3846 size_t SSL_get_server_random(const SSL *ssl, unsigned char *out, size_t outlen)
3847 {
3848     if (outlen == 0)
3849         return sizeof(ssl->s3->server_random);
3850     if (outlen > sizeof(ssl->s3->server_random))
3851         outlen = sizeof(ssl->s3->server_random);
3852     memcpy(out, ssl->s3->server_random, outlen);
3853     return outlen;
3854 }
3855
3856 size_t SSL_SESSION_get_master_key(const SSL_SESSION *session,
3857                                   unsigned char *out, size_t outlen)
3858 {
3859     if (outlen == 0)
3860         return session->master_key_length;
3861     if (outlen > session->master_key_length)
3862         outlen = session->master_key_length;
3863     memcpy(out, session->master_key, outlen);
3864     return outlen;
3865 }
3866
3867 int SSL_SESSION_set1_master_key(SSL_SESSION *sess, const unsigned char *in,
3868                                 size_t len)
3869 {
3870     if (len > sizeof(sess->master_key))
3871         return 0;
3872
3873     memcpy(sess->master_key, in, len);
3874     sess->master_key_length = len;
3875     return 1;
3876 }
3877
3878
3879 int SSL_set_ex_data(SSL *s, int idx, void *arg)
3880 {
3881     return (CRYPTO_set_ex_data(&s->ex_data, idx, arg));
3882 }
3883
3884 void *SSL_get_ex_data(const SSL *s, int idx)
3885 {
3886     return (CRYPTO_get_ex_data(&s->ex_data, idx));
3887 }
3888
3889 int SSL_CTX_set_ex_data(SSL_CTX *s, int idx, void *arg)
3890 {
3891     return (CRYPTO_set_ex_data(&s->ex_data, idx, arg));
3892 }
3893
3894 void *SSL_CTX_get_ex_data(const SSL_CTX *s, int idx)
3895 {
3896     return (CRYPTO_get_ex_data(&s->ex_data, idx));
3897 }
3898
3899 X509_STORE *SSL_CTX_get_cert_store(const SSL_CTX *ctx)
3900 {
3901     return (ctx->cert_store);
3902 }
3903
3904 void SSL_CTX_set_cert_store(SSL_CTX *ctx, X509_STORE *store)
3905 {
3906     X509_STORE_free(ctx->cert_store);
3907     ctx->cert_store = store;
3908 }
3909
3910 void SSL_CTX_set1_cert_store(SSL_CTX *ctx, X509_STORE *store)
3911 {
3912     if (store != NULL)
3913         X509_STORE_up_ref(store);
3914     SSL_CTX_set_cert_store(ctx, store);
3915 }
3916
3917 int SSL_want(const SSL *s)
3918 {
3919     return (s->rwstate);
3920 }
3921
3922 /**
3923  * \brief Set the callback for generating temporary DH keys.
3924  * \param ctx the SSL context.
3925  * \param dh the callback
3926  */
3927
3928 #ifndef OPENSSL_NO_DH
3929 void SSL_CTX_set_tmp_dh_callback(SSL_CTX *ctx,
3930                                  DH *(*dh) (SSL *ssl, int is_export,
3931                                             int keylength))
3932 {
3933     SSL_CTX_callback_ctrl(ctx, SSL_CTRL_SET_TMP_DH_CB, (void (*)(void))dh);
3934 }
3935
3936 void SSL_set_tmp_dh_callback(SSL *ssl, DH *(*dh) (SSL *ssl, int is_export,
3937                                                   int keylength))
3938 {
3939     SSL_callback_ctrl(ssl, SSL_CTRL_SET_TMP_DH_CB, (void (*)(void))dh);
3940 }
3941 #endif
3942
3943 #ifndef OPENSSL_NO_PSK
3944 int SSL_CTX_use_psk_identity_hint(SSL_CTX *ctx, const char *identity_hint)
3945 {
3946     if (identity_hint != NULL && strlen(identity_hint) > PSK_MAX_IDENTITY_LEN) {
3947         SSLerr(SSL_F_SSL_CTX_USE_PSK_IDENTITY_HINT, SSL_R_DATA_LENGTH_TOO_LONG);
3948         return 0;
3949     }
3950     OPENSSL_free(ctx->cert->psk_identity_hint);
3951     if (identity_hint != NULL) {
3952         ctx->cert->psk_identity_hint = OPENSSL_strdup(identity_hint);
3953         if (ctx->cert->psk_identity_hint == NULL)
3954             return 0;
3955     } else
3956         ctx->cert->psk_identity_hint = NULL;
3957     return 1;
3958 }
3959
3960 int SSL_use_psk_identity_hint(SSL *s, const char *identity_hint)
3961 {
3962     if (s == NULL)
3963         return 0;
3964
3965     if (identity_hint != NULL && strlen(identity_hint) > PSK_MAX_IDENTITY_LEN) {
3966         SSLerr(SSL_F_SSL_USE_PSK_IDENTITY_HINT, SSL_R_DATA_LENGTH_TOO_LONG);
3967         return 0;
3968     }
3969     OPENSSL_free(s->cert->psk_identity_hint);
3970     if (identity_hint != NULL) {
3971         s->cert->psk_identity_hint = OPENSSL_strdup(identity_hint);
3972         if (s->cert->psk_identity_hint == NULL)
3973             return 0;
3974     } else
3975         s->cert->psk_identity_hint = NULL;
3976     return 1;
3977 }
3978
3979 const char *SSL_get_psk_identity_hint(const SSL *s)
3980 {
3981     if (s == NULL || s->session == NULL)
3982         return NULL;
3983     return (s->session->psk_identity_hint);
3984 }
3985
3986 const char *SSL_get_psk_identity(const SSL *s)
3987 {
3988     if (s == NULL || s->session == NULL)
3989         return NULL;
3990     return (s->session->psk_identity);
3991 }
3992
3993 void SSL_set_psk_client_callback(SSL *s, SSL_psk_client_cb_func cb)
3994 {
3995     s->psk_client_callback = cb;
3996 }
3997
3998 void SSL_CTX_set_psk_client_callback(SSL_CTX *ctx, SSL_psk_client_cb_func cb)
3999 {
4000     ctx->psk_client_callback = cb;
4001 }
4002
4003 void SSL_set_psk_server_callback(SSL *s, SSL_psk_server_cb_func cb)
4004 {
4005     s->psk_server_callback = cb;
4006 }
4007
4008 void SSL_CTX_set_psk_server_callback(SSL_CTX *ctx, SSL_psk_server_cb_func cb)
4009 {
4010     ctx->psk_server_callback = cb;
4011 }
4012 #endif
4013
4014 void SSL_set_psk_find_session_callback(SSL *s, SSL_psk_find_session_cb_func cb)
4015 {
4016     s->psk_find_session_cb = cb;
4017 }
4018
4019 void SSL_CTX_set_psk_find_session_callback(SSL_CTX *ctx,
4020                                            SSL_psk_find_session_cb_func cb)
4021 {
4022     ctx->psk_find_session_cb = cb;
4023 }
4024
4025 void SSL_set_psk_use_session_callback(SSL *s, SSL_psk_use_session_cb_func cb)
4026 {
4027     s->psk_use_session_cb = cb;
4028 }
4029
4030 void SSL_CTX_set_psk_use_session_callback(SSL_CTX *ctx,
4031                                            SSL_psk_use_session_cb_func cb)
4032 {
4033     ctx->psk_use_session_cb = cb;
4034 }
4035
4036 void SSL_CTX_set_msg_callback(SSL_CTX *ctx,
4037                               void (*cb) (int write_p, int version,
4038                                           int content_type, const void *buf,
4039                                           size_t len, SSL *ssl, void *arg))
4040 {
4041     SSL_CTX_callback_ctrl(ctx, SSL_CTRL_SET_MSG_CALLBACK, (void (*)(void))cb);
4042 }
4043
4044 void SSL_set_msg_callback(SSL *ssl,
4045                           void (*cb) (int write_p, int version,
4046                                       int content_type, const void *buf,
4047                                       size_t len, SSL *ssl, void *arg))
4048 {
4049     SSL_callback_ctrl(ssl, SSL_CTRL_SET_MSG_CALLBACK, (void (*)(void))cb);
4050 }
4051
4052 void SSL_CTX_set_not_resumable_session_callback(SSL_CTX *ctx,
4053                                                 int (*cb) (SSL *ssl,
4054                                                            int
4055                                                            is_forward_secure))
4056 {
4057     SSL_CTX_callback_ctrl(ctx, SSL_CTRL_SET_NOT_RESUMABLE_SESS_CB,
4058                           (void (*)(void))cb);
4059 }
4060
4061 void SSL_set_not_resumable_session_callback(SSL *ssl,
4062                                             int (*cb) (SSL *ssl,
4063                                                        int is_forward_secure))
4064 {
4065     SSL_callback_ctrl(ssl, SSL_CTRL_SET_NOT_RESUMABLE_SESS_CB,
4066                       (void (*)(void))cb);
4067 }
4068
4069 void SSL_CTX_set_record_padding_callback(SSL_CTX *ctx,
4070                                          size_t (*cb) (SSL *ssl, int type,
4071                                                        size_t len, void *arg))
4072 {
4073     ctx->record_padding_cb = cb;
4074 }
4075
4076 void SSL_CTX_set_record_padding_callback_arg(SSL_CTX *ctx, void *arg)
4077 {
4078     ctx->record_padding_arg = arg;
4079 }
4080
4081 void *SSL_CTX_get_record_padding_callback_arg(SSL_CTX *ctx)
4082 {
4083     return ctx->record_padding_arg;
4084 }
4085
4086 int SSL_CTX_set_block_padding(SSL_CTX *ctx, size_t block_size)
4087 {
4088     /* block size of 0 or 1 is basically no padding */
4089     if (block_size == 1)
4090         ctx->block_padding = 0;
4091     else if (block_size <= SSL3_RT_MAX_PLAIN_LENGTH)
4092         ctx->block_padding = block_size;
4093     else
4094         return 0;
4095     return 1;
4096 }
4097
4098 void SSL_set_record_padding_callback(SSL *ssl,
4099                                      size_t (*cb) (SSL *ssl, int type,
4100                                                    size_t len, void *arg))
4101 {
4102     ssl->record_padding_cb = cb;
4103 }
4104
4105 void SSL_set_record_padding_callback_arg(SSL *ssl, void *arg)
4106 {
4107     ssl->record_padding_arg = arg;
4108 }
4109
4110 void *SSL_get_record_padding_callback_arg(SSL *ssl)
4111 {
4112     return ssl->record_padding_arg;
4113 }
4114
4115 int SSL_set_block_padding(SSL *ssl, size_t block_size)
4116 {
4117     /* block size of 0 or 1 is basically no padding */
4118     if (block_size == 1)
4119         ssl->block_padding = 0;
4120     else if (block_size <= SSL3_RT_MAX_PLAIN_LENGTH)
4121         ssl->block_padding = block_size;
4122     else
4123         return 0;
4124     return 1;
4125 }
4126
4127 /*
4128  * Allocates new EVP_MD_CTX and sets pointer to it into given pointer
4129  * variable, freeing EVP_MD_CTX previously stored in that variable, if any.
4130  * If EVP_MD pointer is passed, initializes ctx with this |md|.
4131  * Returns the newly allocated ctx;
4132  */
4133
4134 EVP_MD_CTX *ssl_replace_hash(EVP_MD_CTX **hash, const EVP_MD *md)
4135 {
4136     ssl_clear_hash_ctx(hash);
4137     *hash = EVP_MD_CTX_new();
4138     if (*hash == NULL || (md && EVP_DigestInit_ex(*hash, md, NULL) <= 0)) {
4139         EVP_MD_CTX_free(*hash);
4140         *hash = NULL;
4141         return NULL;
4142     }
4143     return *hash;
4144 }
4145
4146 void ssl_clear_hash_ctx(EVP_MD_CTX **hash)
4147 {
4148
4149     EVP_MD_CTX_free(*hash);
4150     *hash = NULL;
4151 }
4152
4153 /* Retrieve handshake hashes */
4154 int ssl_handshake_hash(SSL *s, unsigned char *out, size_t outlen,
4155                        size_t *hashlen)
4156 {
4157     EVP_MD_CTX *ctx = NULL;
4158     EVP_MD_CTX *hdgst = s->s3->handshake_dgst;
4159     int hashleni = EVP_MD_CTX_size(hdgst);
4160     int ret = 0;
4161
4162     if (hashleni < 0 || (size_t)hashleni > outlen)
4163         goto err;
4164
4165     ctx = EVP_MD_CTX_new();
4166     if (ctx == NULL)
4167         goto err;
4168
4169     if (!EVP_MD_CTX_copy_ex(ctx, hdgst)
4170         || EVP_DigestFinal_ex(ctx, out, NULL) <= 0)
4171         goto err;
4172
4173     *hashlen = hashleni;
4174
4175     ret = 1;
4176  err:
4177     EVP_MD_CTX_free(ctx);
4178     return ret;
4179 }
4180
4181 int SSL_session_reused(SSL *s)
4182 {
4183     return s->hit;
4184 }
4185
4186 int SSL_is_server(const SSL *s)
4187 {
4188     return s->server;
4189 }
4190
4191 #if OPENSSL_API_COMPAT < 0x10100000L
4192 void SSL_set_debug(SSL *s, int debug)
4193 {
4194     /* Old function was do-nothing anyway... */
4195     (void)s;
4196     (void)debug;
4197 }
4198 #endif
4199
4200 void SSL_set_security_level(SSL *s, int level)
4201 {
4202     s->cert->sec_level = level;
4203 }
4204
4205 int SSL_get_security_level(const SSL *s)
4206 {
4207     return s->cert->sec_level;
4208 }
4209
4210 void SSL_set_security_callback(SSL *s,
4211                                int (*cb) (const SSL *s, const SSL_CTX *ctx,
4212                                           int op, int bits, int nid,
4213                                           void *other, void *ex))
4214 {
4215     s->cert->sec_cb = cb;
4216 }
4217
4218 int (*SSL_get_security_callback(const SSL *s)) (const SSL *s,
4219                                                 const SSL_CTX *ctx, int op,
4220                                                 int bits, int nid, void *other,
4221                                                 void *ex) {
4222     return s->cert->sec_cb;
4223 }
4224
4225 void SSL_set0_security_ex_data(SSL *s, void *ex)
4226 {
4227     s->cert->sec_ex = ex;
4228 }
4229
4230 void *SSL_get0_security_ex_data(const SSL *s)
4231 {
4232     return s->cert->sec_ex;
4233 }
4234
4235 void SSL_CTX_set_security_level(SSL_CTX *ctx, int level)
4236 {
4237     ctx->cert->sec_level = level;
4238 }
4239
4240 int SSL_CTX_get_security_level(const SSL_CTX *ctx)
4241 {
4242     return ctx->cert->sec_level;
4243 }
4244
4245 void SSL_CTX_set_security_callback(SSL_CTX *ctx,
4246                                    int (*cb) (const SSL *s, const SSL_CTX *ctx,
4247                                               int op, int bits, int nid,
4248                                               void *other, void *ex))
4249 {
4250     ctx->cert->sec_cb = cb;
4251 }
4252
4253 int (*SSL_CTX_get_security_callback(const SSL_CTX *ctx)) (const SSL *s,
4254                                                           const SSL_CTX *ctx,
4255                                                           int op, int bits,
4256                                                           int nid,
4257                                                           void *other,
4258                                                           void *ex) {
4259     return ctx->cert->sec_cb;
4260 }
4261
4262 void SSL_CTX_set0_security_ex_data(SSL_CTX *ctx, void *ex)
4263 {
4264     ctx->cert->sec_ex = ex;
4265 }
4266
4267 void *SSL_CTX_get0_security_ex_data(const SSL_CTX *ctx)
4268 {
4269     return ctx->cert->sec_ex;
4270 }
4271
4272 /*
4273  * Get/Set/Clear options in SSL_CTX or SSL, formerly macros, now functions that
4274  * can return unsigned long, instead of the generic long return value from the
4275  * control interface.
4276  */
4277 unsigned long SSL_CTX_get_options(const SSL_CTX *ctx)
4278 {
4279     return ctx->options;
4280 }
4281
4282 unsigned long SSL_get_options(const SSL *s)
4283 {
4284     return s->options;
4285 }
4286
4287 unsigned long SSL_CTX_set_options(SSL_CTX *ctx, unsigned long op)
4288 {
4289     return ctx->options |= op;
4290 }
4291
4292 unsigned long SSL_set_options(SSL *s, unsigned long op)
4293 {
4294     return s->options |= op;
4295 }
4296
4297 unsigned long SSL_CTX_clear_options(SSL_CTX *ctx, unsigned long op)
4298 {
4299     return ctx->options &= ~op;
4300 }
4301
4302 unsigned long SSL_clear_options(SSL *s, unsigned long op)
4303 {
4304     return s->options &= ~op;
4305 }
4306
4307 STACK_OF(X509) *SSL_get0_verified_chain(const SSL *s)
4308 {
4309     return s->verified_chain;
4310 }
4311
4312 IMPLEMENT_OBJ_BSEARCH_GLOBAL_CMP_FN(SSL_CIPHER, SSL_CIPHER, ssl_cipher_id);
4313
4314 #ifndef OPENSSL_NO_CT
4315
4316 /*
4317  * Moves SCTs from the |src| stack to the |dst| stack.
4318  * The source of each SCT will be set to |origin|.
4319  * If |dst| points to a NULL pointer, a new stack will be created and owned by
4320  * the caller.
4321  * Returns the number of SCTs moved, or a negative integer if an error occurs.
4322  */
4323 static int ct_move_scts(STACK_OF(SCT) **dst, STACK_OF(SCT) *src,
4324                         sct_source_t origin)
4325 {
4326     int scts_moved = 0;
4327     SCT *sct = NULL;
4328
4329     if (*dst == NULL) {
4330         *dst = sk_SCT_new_null();
4331         if (*dst == NULL) {
4332             SSLerr(SSL_F_CT_MOVE_SCTS, ERR_R_MALLOC_FAILURE);
4333             goto err;
4334         }
4335     }
4336
4337     while ((sct = sk_SCT_pop(src)) != NULL) {
4338         if (SCT_set_source(sct, origin) != 1)
4339             goto err;
4340
4341         if (sk_SCT_push(*dst, sct) <= 0)
4342             goto err;
4343         scts_moved += 1;
4344     }
4345
4346     return scts_moved;
4347  err:
4348     if (sct != NULL)
4349         sk_SCT_push(src, sct);  /* Put the SCT back */
4350     return -1;
4351 }
4352
4353 /*
4354  * Look for data collected during ServerHello and parse if found.
4355  * Returns the number of SCTs extracted.
4356  */
4357 static int ct_extract_tls_extension_scts(SSL *s)
4358 {
4359     int scts_extracted = 0;
4360
4361     if (s->ext.scts != NULL) {
4362         const unsigned char *p = s->ext.scts;
4363         STACK_OF(SCT) *scts = o2i_SCT_LIST(NULL, &p, s->ext.scts_len);
4364
4365         scts_extracted = ct_move_scts(&s->scts, scts, SCT_SOURCE_TLS_EXTENSION);
4366
4367         SCT_LIST_free(scts);
4368     }
4369
4370     return scts_extracted;
4371 }
4372
4373 /*
4374  * Checks for an OCSP response and then attempts to extract any SCTs found if it
4375  * contains an SCT X509 extension. They will be stored in |s->scts|.
4376  * Returns:
4377  * - The number of SCTs extracted, assuming an OCSP response exists.
4378  * - 0 if no OCSP response exists or it contains no SCTs.
4379  * - A negative integer if an error occurs.
4380  */
4381 static int ct_extract_ocsp_response_scts(SSL *s)
4382 {
4383 # ifndef OPENSSL_NO_OCSP
4384     int scts_extracted = 0;
4385     const unsigned char *p;
4386     OCSP_BASICRESP *br = NULL;
4387     OCSP_RESPONSE *rsp = NULL;
4388     STACK_OF(SCT) *scts = NULL;
4389     int i;
4390
4391     if (s->ext.ocsp.resp == NULL || s->ext.ocsp.resp_len == 0)
4392         goto err;
4393
4394     p = s->ext.ocsp.resp;
4395     rsp = d2i_OCSP_RESPONSE(NULL, &p, (int)s->ext.ocsp.resp_len);
4396     if (rsp == NULL)
4397         goto err;
4398
4399     br = OCSP_response_get1_basic(rsp);
4400     if (br == NULL)
4401         goto err;
4402
4403     for (i = 0; i < OCSP_resp_count(br); ++i) {
4404         OCSP_SINGLERESP *single = OCSP_resp_get0(br, i);
4405
4406         if (single == NULL)
4407             continue;
4408
4409         scts =
4410             OCSP_SINGLERESP_get1_ext_d2i(single, NID_ct_cert_scts, NULL, NULL);
4411         scts_extracted =
4412             ct_move_scts(&s->scts, scts, SCT_SOURCE_OCSP_STAPLED_RESPONSE);
4413         if (scts_extracted < 0)
4414             goto err;
4415     }
4416  err:
4417     SCT_LIST_free(scts);
4418     OCSP_BASICRESP_free(br);
4419     OCSP_RESPONSE_free(rsp);
4420     return scts_extracted;
4421 # else
4422     /* Behave as if no OCSP response exists */
4423     return 0;
4424 # endif
4425 }
4426
4427 /*
4428  * Attempts to extract SCTs from the peer certificate.
4429  * Return the number of SCTs extracted, or a negative integer if an error
4430  * occurs.
4431  */
4432 static int ct_extract_x509v3_extension_scts(SSL *s)
4433 {
4434     int scts_extracted = 0;
4435     X509 *cert = s->session != NULL ? s->session->peer : NULL;
4436
4437     if (cert != NULL) {
4438         STACK_OF(SCT) *scts =
4439             X509_get_ext_d2i(cert, NID_ct_precert_scts, NULL, NULL);
4440
4441         scts_extracted =
4442             ct_move_scts(&s->scts, scts, SCT_SOURCE_X509V3_EXTENSION);
4443
4444         SCT_LIST_free(scts);
4445     }
4446
4447     return scts_extracted;
4448 }
4449
4450 /*
4451  * Attempts to find all received SCTs by checking TLS extensions, the OCSP
4452  * response (if it exists) and X509v3 extensions in the certificate.
4453  * Returns NULL if an error occurs.
4454  */
4455 const STACK_OF(SCT) *SSL_get0_peer_scts(SSL *s)
4456 {
4457     if (!s->scts_parsed) {
4458         if (ct_extract_tls_extension_scts(s) < 0 ||
4459             ct_extract_ocsp_response_scts(s) < 0 ||
4460             ct_extract_x509v3_extension_scts(s) < 0)
4461             goto err;
4462
4463         s->scts_parsed = 1;
4464     }
4465     return s->scts;
4466  err:
4467     return NULL;
4468 }
4469
4470 static int ct_permissive(const CT_POLICY_EVAL_CTX * ctx,
4471                          const STACK_OF(SCT) *scts, void *unused_arg)
4472 {
4473     return 1;
4474 }
4475
4476 static int ct_strict(const CT_POLICY_EVAL_CTX * ctx,
4477                      const STACK_OF(SCT) *scts, void *unused_arg)
4478 {
4479     int count = scts != NULL ? sk_SCT_num(scts) : 0;
4480     int i;
4481
4482     for (i = 0; i < count; ++i) {
4483         SCT *sct = sk_SCT_value(scts, i);
4484         int status = SCT_get_validation_status(sct);
4485
4486         if (status == SCT_VALIDATION_STATUS_VALID)
4487             return 1;
4488     }
4489     SSLerr(SSL_F_CT_STRICT, SSL_R_NO_VALID_SCTS);
4490     return 0;
4491 }
4492
4493 int SSL_set_ct_validation_callback(SSL *s, ssl_ct_validation_cb callback,
4494                                    void *arg)
4495 {
4496     /*
4497      * Since code exists that uses the custom extension handler for CT, look
4498      * for this and throw an error if they have already registered to use CT.
4499      */
4500     if (callback != NULL && SSL_CTX_has_client_custom_ext(s->ctx,
4501                                                           TLSEXT_TYPE_signed_certificate_timestamp))
4502     {
4503         SSLerr(SSL_F_SSL_SET_CT_VALIDATION_CALLBACK,
4504                SSL_R_CUSTOM_EXT_HANDLER_ALREADY_INSTALLED);
4505         return 0;
4506     }
4507
4508     if (callback != NULL) {
4509         /*
4510          * If we are validating CT, then we MUST accept SCTs served via OCSP
4511          */
4512         if (!SSL_set_tlsext_status_type(s, TLSEXT_STATUSTYPE_ocsp))
4513             return 0;
4514     }
4515
4516     s->ct_validation_callback = callback;
4517     s->ct_validation_callback_arg = arg;
4518
4519     return 1;
4520 }
4521
4522 int SSL_CTX_set_ct_validation_callback(SSL_CTX *ctx,
4523                                        ssl_ct_validation_cb callback, void *arg)
4524 {
4525     /*
4526      * Since code exists that uses the custom extension handler for CT, look for
4527      * this and throw an error if they have already registered to use CT.
4528      */
4529     if (callback != NULL && SSL_CTX_has_client_custom_ext(ctx,
4530                                                           TLSEXT_TYPE_signed_certificate_timestamp))
4531     {
4532         SSLerr(SSL_F_SSL_CTX_SET_CT_VALIDATION_CALLBACK,
4533                SSL_R_CUSTOM_EXT_HANDLER_ALREADY_INSTALLED);
4534         return 0;
4535     }
4536
4537     ctx->ct_validation_callback = callback;
4538     ctx->ct_validation_callback_arg = arg;
4539     return 1;
4540 }
4541
4542 int SSL_ct_is_enabled(const SSL *s)
4543 {
4544     return s->ct_validation_callback != NULL;
4545 }
4546
4547 int SSL_CTX_ct_is_enabled(const SSL_CTX *ctx)
4548 {
4549     return ctx->ct_validation_callback != NULL;
4550 }
4551
4552 int ssl_validate_ct(SSL *s)
4553 {
4554     int ret = 0;
4555     X509 *cert = s->session != NULL ? s->session->peer : NULL;
4556     X509 *issuer;
4557     SSL_DANE *dane = &s->dane;
4558     CT_POLICY_EVAL_CTX *ctx = NULL;
4559     const STACK_OF(SCT) *scts;
4560
4561     /*
4562      * If no callback is set, the peer is anonymous, or its chain is invalid,
4563      * skip SCT validation - just return success.  Applications that continue
4564      * handshakes without certificates, with unverified chains, or pinned leaf
4565      * certificates are outside the scope of the WebPKI and CT.
4566      *
4567      * The above exclusions notwithstanding the vast majority of peers will
4568      * have rather ordinary certificate chains validated by typical
4569      * applications that perform certificate verification and therefore will
4570      * process SCTs when enabled.
4571      */
4572     if (s->ct_validation_callback == NULL || cert == NULL ||
4573         s->verify_result != X509_V_OK ||
4574         s->verified_chain == NULL || sk_X509_num(s->verified_chain) <= 1)
4575         return 1;
4576
4577     /*
4578      * CT not applicable for chains validated via DANE-TA(2) or DANE-EE(3)
4579      * trust-anchors.  See https://tools.ietf.org/html/rfc7671#section-4.2
4580      */
4581     if (DANETLS_ENABLED(dane) && dane->mtlsa != NULL) {
4582         switch (dane->mtlsa->usage) {
4583         case DANETLS_USAGE_DANE_TA:
4584         case DANETLS_USAGE_DANE_EE:
4585             return 1;
4586         }
4587     }
4588
4589     ctx = CT_POLICY_EVAL_CTX_new();
4590     if (ctx == NULL) {
4591         SSLerr(SSL_F_SSL_VALIDATE_CT, ERR_R_MALLOC_FAILURE);
4592         goto end;
4593     }
4594
4595     issuer = sk_X509_value(s->verified_chain, 1);
4596     CT_POLICY_EVAL_CTX_set1_cert(ctx, cert);
4597     CT_POLICY_EVAL_CTX_set1_issuer(ctx, issuer);
4598     CT_POLICY_EVAL_CTX_set_shared_CTLOG_STORE(ctx, s->ctx->ctlog_store);
4599     CT_POLICY_EVAL_CTX_set_time(
4600             ctx, (uint64_t)SSL_SESSION_get_time(SSL_get0_session(s)) * 1000);
4601
4602     scts = SSL_get0_peer_scts(s);
4603
4604     /*
4605      * This function returns success (> 0) only when all the SCTs are valid, 0
4606      * when some are invalid, and < 0 on various internal errors (out of
4607      * memory, etc.).  Having some, or even all, invalid SCTs is not sufficient
4608      * reason to abort the handshake, that decision is up to the callback.
4609      * Therefore, we error out only in the unexpected case that the return
4610      * value is negative.
4611      *
4612      * XXX: One might well argue that the return value of this function is an
4613      * unfortunate design choice.  Its job is only to determine the validation
4614      * status of each of the provided SCTs.  So long as it correctly separates
4615      * the wheat from the chaff it should return success.  Failure in this case
4616      * ought to correspond to an inability to carry out its duties.
4617      */
4618     if (SCT_LIST_validate(scts, ctx) < 0) {
4619         SSLerr(SSL_F_SSL_VALIDATE_CT, SSL_R_SCT_VERIFICATION_FAILED);
4620         goto end;
4621     }
4622
4623     ret = s->ct_validation_callback(ctx, scts, s->ct_validation_callback_arg);
4624     if (ret < 0)
4625         ret = 0;                /* This function returns 0 on failure */
4626
4627  end:
4628     CT_POLICY_EVAL_CTX_free(ctx);
4629     /*
4630      * With SSL_VERIFY_NONE the session may be cached and re-used despite a
4631      * failure return code here.  Also the application may wish the complete
4632      * the handshake, and then disconnect cleanly at a higher layer, after
4633      * checking the verification status of the completed connection.
4634      *
4635      * We therefore force a certificate verification failure which will be
4636      * visible via SSL_get_verify_result() and cached as part of any resumed
4637      * session.
4638      *
4639      * Note: the permissive callback is for information gathering only, always
4640      * returns success, and does not affect verification status.  Only the
4641      * strict callback or a custom application-specified callback can trigger
4642      * connection failure or record a verification error.
4643      */
4644     if (ret <= 0)
4645         s->verify_result = X509_V_ERR_NO_VALID_SCTS;
4646     return ret;
4647 }
4648
4649 int SSL_CTX_enable_ct(SSL_CTX *ctx, int validation_mode)
4650 {
4651     switch (validation_mode) {
4652     default:
4653         SSLerr(SSL_F_SSL_CTX_ENABLE_CT, SSL_R_INVALID_CT_VALIDATION_TYPE);
4654         return 0;
4655     case SSL_CT_VALIDATION_PERMISSIVE:
4656         return SSL_CTX_set_ct_validation_callback(ctx, ct_permissive, NULL);
4657     case SSL_CT_VALIDATION_STRICT:
4658         return SSL_CTX_set_ct_validation_callback(ctx, ct_strict, NULL);
4659     }
4660 }
4661
4662 int SSL_enable_ct(SSL *s, int validation_mode)
4663 {
4664     switch (validation_mode) {
4665     default:
4666         SSLerr(SSL_F_SSL_ENABLE_CT, SSL_R_INVALID_CT_VALIDATION_TYPE);
4667         return 0;
4668     case SSL_CT_VALIDATION_PERMISSIVE:
4669         return SSL_set_ct_validation_callback(s, ct_permissive, NULL);
4670     case SSL_CT_VALIDATION_STRICT:
4671         return SSL_set_ct_validation_callback(s, ct_strict, NULL);
4672     }
4673 }
4674
4675 int SSL_CTX_set_default_ctlog_list_file(SSL_CTX *ctx)
4676 {
4677     return CTLOG_STORE_load_default_file(ctx->ctlog_store);
4678 }
4679
4680 int SSL_CTX_set_ctlog_list_file(SSL_CTX *ctx, const char *path)
4681 {
4682     return CTLOG_STORE_load_file(ctx->ctlog_store, path);
4683 }
4684
4685 void SSL_CTX_set0_ctlog_store(SSL_CTX *ctx, CTLOG_STORE * logs)
4686 {
4687     CTLOG_STORE_free(ctx->ctlog_store);
4688     ctx->ctlog_store = logs;
4689 }
4690
4691 const CTLOG_STORE *SSL_CTX_get0_ctlog_store(const SSL_CTX *ctx)
4692 {
4693     return ctx->ctlog_store;
4694 }
4695
4696 #endif  /* OPENSSL_NO_CT */
4697
4698 void SSL_CTX_set_early_cb(SSL_CTX *c, SSL_early_cb_fn cb, void *arg)
4699 {
4700     c->early_cb = cb;
4701     c->early_cb_arg = arg;
4702 }
4703
4704 int SSL_early_isv2(SSL *s)
4705 {
4706     if (s->clienthello == NULL)
4707         return 0;
4708     return s->clienthello->isv2;
4709 }
4710
4711 unsigned int SSL_early_get0_legacy_version(SSL *s)
4712 {
4713     if (s->clienthello == NULL)
4714         return 0;
4715     return s->clienthello->legacy_version;
4716 }
4717
4718 size_t SSL_early_get0_random(SSL *s, const unsigned char **out)
4719 {
4720     if (s->clienthello == NULL)
4721         return 0;
4722     if (out != NULL)
4723         *out = s->clienthello->random;
4724     return SSL3_RANDOM_SIZE;
4725 }
4726
4727 size_t SSL_early_get0_session_id(SSL *s, const unsigned char **out)
4728 {
4729     if (s->clienthello == NULL)
4730         return 0;
4731     if (out != NULL)
4732         *out = s->clienthello->session_id;
4733     return s->clienthello->session_id_len;
4734 }
4735
4736 size_t SSL_early_get0_ciphers(SSL *s, const unsigned char **out)
4737 {
4738     if (s->clienthello == NULL)
4739         return 0;
4740     if (out != NULL)
4741         *out = PACKET_data(&s->clienthello->ciphersuites);
4742     return PACKET_remaining(&s->clienthello->ciphersuites);
4743 }
4744
4745 size_t SSL_early_get0_compression_methods(SSL *s, const unsigned char **out)
4746 {
4747     if (s->clienthello == NULL)
4748         return 0;
4749     if (out != NULL)
4750         *out = s->clienthello->compressions;
4751     return s->clienthello->compressions_len;
4752 }
4753
4754 int SSL_early_get1_extensions_present(SSL *s, int **out, size_t *outlen)
4755 {
4756     RAW_EXTENSION *ext;
4757     int *present;
4758     size_t num = 0, i;
4759
4760     if (s->clienthello == NULL || out == NULL || outlen == NULL)
4761         return 0;
4762     for (i = 0; i < s->clienthello->pre_proc_exts_len; i++) {
4763         ext = s->clienthello->pre_proc_exts + i;
4764         if (ext->present)
4765             num++;
4766     }
4767     present = OPENSSL_malloc(sizeof(*present) * num);
4768     if (present == NULL)
4769         return 0;
4770     for (i = 0; i < s->clienthello->pre_proc_exts_len; i++) {
4771         ext = s->clienthello->pre_proc_exts + i;
4772         if (ext->present) {
4773             if (ext->received_order >= num)
4774                 goto err;
4775             present[ext->received_order] = ext->type;
4776         }
4777     }
4778     *out = present;
4779     *outlen = num;
4780     return 1;
4781  err:
4782     OPENSSL_free(present);
4783     return 0;
4784 }
4785
4786 int SSL_early_get0_ext(SSL *s, unsigned int type, const unsigned char **out,
4787                        size_t *outlen)
4788 {
4789     size_t i;
4790     RAW_EXTENSION *r;
4791
4792     if (s->clienthello == NULL)
4793         return 0;
4794     for (i = 0; i < s->clienthello->pre_proc_exts_len; ++i) {
4795         r = s->clienthello->pre_proc_exts + i;
4796         if (r->present && r->type == type) {
4797             if (out != NULL)
4798                 *out = PACKET_data(&r->data);
4799             if (outlen != NULL)
4800                 *outlen = PACKET_remaining(&r->data);
4801             return 1;
4802         }
4803     }
4804     return 0;
4805 }
4806
4807 int SSL_free_buffers(SSL *ssl)
4808 {
4809     RECORD_LAYER *rl = &ssl->rlayer;
4810
4811     if (RECORD_LAYER_read_pending(rl) || RECORD_LAYER_write_pending(rl))
4812         return 0;
4813
4814     RECORD_LAYER_release(rl);
4815     return 1;
4816 }
4817
4818 int SSL_alloc_buffers(SSL *ssl)
4819 {
4820     return ssl3_setup_buffers(ssl);
4821 }
4822
4823 void SSL_CTX_set_keylog_callback(SSL_CTX *ctx, SSL_CTX_keylog_cb_func cb)
4824 {
4825     ctx->keylog_callback = cb;
4826 }
4827
4828 SSL_CTX_keylog_cb_func SSL_CTX_get_keylog_callback(const SSL_CTX *ctx)
4829 {
4830     return ctx->keylog_callback;
4831 }
4832
4833 static int nss_keylog_int(const char *prefix,
4834                           SSL *ssl,
4835                           const uint8_t *parameter_1,
4836                           size_t parameter_1_len,
4837                           const uint8_t *parameter_2,
4838                           size_t parameter_2_len)
4839 {
4840     char *out = NULL;
4841     char *cursor = NULL;
4842     size_t out_len = 0;
4843     size_t i;
4844     size_t prefix_len;
4845
4846     if (ssl->ctx->keylog_callback == NULL) return 1;
4847
4848     /*
4849      * Our output buffer will contain the following strings, rendered with
4850      * space characters in between, terminated by a NULL character: first the
4851      * prefix, then the first parameter, then the second parameter. The
4852      * meaning of each parameter depends on the specific key material being
4853      * logged. Note that the first and second parameters are encoded in
4854      * hexadecimal, so we need a buffer that is twice their lengths.
4855      */
4856     prefix_len = strlen(prefix);
4857     out_len = prefix_len + (2*parameter_1_len) + (2*parameter_2_len) + 3;
4858     if ((out = cursor = OPENSSL_malloc(out_len)) == NULL) {
4859         SSLerr(SSL_F_NSS_KEYLOG_INT, ERR_R_MALLOC_FAILURE);
4860         return 0;
4861     }
4862
4863     strcpy(cursor, prefix);
4864     cursor += prefix_len;
4865     *cursor++ = ' ';
4866
4867     for (i = 0; i < parameter_1_len; i++) {
4868         sprintf(cursor, "%02x", parameter_1[i]);
4869         cursor += 2;
4870     }
4871     *cursor++ = ' ';
4872
4873     for (i = 0; i < parameter_2_len; i++) {
4874         sprintf(cursor, "%02x", parameter_2[i]);
4875         cursor += 2;
4876     }
4877     *cursor = '\0';
4878
4879     ssl->ctx->keylog_callback(ssl, (const char *)out);
4880     OPENSSL_free(out);
4881     return 1;
4882
4883 }
4884
4885 int ssl_log_rsa_client_key_exchange(SSL *ssl,
4886                                     const uint8_t *encrypted_premaster,
4887                                     size_t encrypted_premaster_len,
4888                                     const uint8_t *premaster,
4889                                     size_t premaster_len)
4890 {
4891     if (encrypted_premaster_len < 8) {
4892         SSLerr(SSL_F_SSL_LOG_RSA_CLIENT_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
4893         return 0;
4894     }
4895
4896     /* We only want the first 8 bytes of the encrypted premaster as a tag. */
4897     return nss_keylog_int("RSA",
4898                           ssl,
4899                           encrypted_premaster,
4900                           8,
4901                           premaster,
4902                           premaster_len);
4903 }
4904
4905 int ssl_log_secret(SSL *ssl,
4906                    const char *label,
4907                    const uint8_t *secret,
4908                    size_t secret_len)
4909 {
4910     return nss_keylog_int(label,
4911                           ssl,
4912                           ssl->s3->client_random,
4913                           SSL3_RANDOM_SIZE,
4914                           secret,
4915                           secret_len);
4916 }
4917
4918 #define SSLV2_CIPHER_LEN    3
4919
4920 int ssl_cache_cipherlist(SSL *s, PACKET *cipher_suites, int sslv2format,
4921                          int *al)
4922 {
4923     int n;
4924
4925     n = sslv2format ? SSLV2_CIPHER_LEN : TLS_CIPHER_LEN;
4926
4927     if (PACKET_remaining(cipher_suites) == 0) {
4928         SSLerr(SSL_F_SSL_CACHE_CIPHERLIST, SSL_R_NO_CIPHERS_SPECIFIED);
4929         *al = SSL_AD_ILLEGAL_PARAMETER;
4930         return 0;
4931     }
4932
4933     if (PACKET_remaining(cipher_suites) % n != 0) {
4934         SSLerr(SSL_F_SSL_CACHE_CIPHERLIST,
4935                SSL_R_ERROR_IN_RECEIVED_CIPHER_LIST);
4936         *al = SSL_AD_DECODE_ERROR;
4937         return 0;
4938     }
4939
4940     OPENSSL_free(s->s3->tmp.ciphers_raw);
4941     s->s3->tmp.ciphers_raw = NULL;
4942     s->s3->tmp.ciphers_rawlen = 0;
4943
4944     if (sslv2format) {
4945         size_t numciphers = PACKET_remaining(cipher_suites) / n;
4946         PACKET sslv2ciphers = *cipher_suites;
4947         unsigned int leadbyte;
4948         unsigned char *raw;
4949
4950         /*
4951          * We store the raw ciphers list in SSLv3+ format so we need to do some
4952          * preprocessing to convert the list first. If there are any SSLv2 only
4953          * ciphersuites with a non-zero leading byte then we are going to
4954          * slightly over allocate because we won't store those. But that isn't a
4955          * problem.
4956          */
4957         raw = OPENSSL_malloc(numciphers * TLS_CIPHER_LEN);
4958         s->s3->tmp.ciphers_raw = raw;
4959         if (raw == NULL) {
4960             *al = SSL_AD_INTERNAL_ERROR;
4961             goto err;
4962         }
4963         for (s->s3->tmp.ciphers_rawlen = 0;
4964              PACKET_remaining(&sslv2ciphers) > 0;
4965              raw += TLS_CIPHER_LEN) {
4966             if (!PACKET_get_1(&sslv2ciphers, &leadbyte)
4967                     || (leadbyte == 0
4968                         && !PACKET_copy_bytes(&sslv2ciphers, raw,
4969                                               TLS_CIPHER_LEN))
4970                     || (leadbyte != 0
4971                         && !PACKET_forward(&sslv2ciphers, TLS_CIPHER_LEN))) {
4972                 *al = SSL_AD_DECODE_ERROR;
4973                 OPENSSL_free(s->s3->tmp.ciphers_raw);
4974                 s->s3->tmp.ciphers_raw = NULL;
4975                 s->s3->tmp.ciphers_rawlen = 0;
4976                 goto err;
4977             }
4978             if (leadbyte == 0)
4979                 s->s3->tmp.ciphers_rawlen += TLS_CIPHER_LEN;
4980         }
4981     } else if (!PACKET_memdup(cipher_suites, &s->s3->tmp.ciphers_raw,
4982                            &s->s3->tmp.ciphers_rawlen)) {
4983         *al = SSL_AD_INTERNAL_ERROR;
4984         goto err;
4985     }
4986     return 1;
4987  err:
4988     return 0;
4989 }
4990
4991 int SSL_bytes_to_cipher_list(SSL *s, const unsigned char *bytes, size_t len,
4992                              int isv2format, STACK_OF(SSL_CIPHER) **sk,
4993                              STACK_OF(SSL_CIPHER) **scsvs)
4994 {
4995     int alert;
4996     PACKET pkt;
4997
4998     if (!PACKET_buf_init(&pkt, bytes, len))
4999         return 0;
5000     return bytes_to_cipher_list(s, &pkt, sk, scsvs, isv2format, &alert);
5001 }
5002
5003 int bytes_to_cipher_list(SSL *s, PACKET *cipher_suites,
5004                          STACK_OF(SSL_CIPHER) **skp,
5005                          STACK_OF(SSL_CIPHER) **scsvs_out,
5006                          int sslv2format, int *al)
5007 {
5008     const SSL_CIPHER *c;
5009     STACK_OF(SSL_CIPHER) *sk = NULL;
5010     STACK_OF(SSL_CIPHER) *scsvs = NULL;
5011     int n;
5012     /* 3 = SSLV2_CIPHER_LEN > TLS_CIPHER_LEN = 2. */
5013     unsigned char cipher[SSLV2_CIPHER_LEN];
5014
5015     n = sslv2format ? SSLV2_CIPHER_LEN : TLS_CIPHER_LEN;
5016
5017     if (PACKET_remaining(cipher_suites) == 0) {
5018         SSLerr(SSL_F_BYTES_TO_CIPHER_LIST, SSL_R_NO_CIPHERS_SPECIFIED);
5019         *al = SSL_AD_ILLEGAL_PARAMETER;
5020         return 0;
5021     }
5022
5023     if (PACKET_remaining(cipher_suites) % n != 0) {
5024         SSLerr(SSL_F_BYTES_TO_CIPHER_LIST,
5025                SSL_R_ERROR_IN_RECEIVED_CIPHER_LIST);
5026         *al = SSL_AD_DECODE_ERROR;
5027         return 0;
5028     }
5029
5030     sk = sk_SSL_CIPHER_new_null();
5031     scsvs = sk_SSL_CIPHER_new_null();
5032     if (sk == NULL || scsvs == NULL) {
5033         SSLerr(SSL_F_BYTES_TO_CIPHER_LIST, ERR_R_MALLOC_FAILURE);
5034         *al = SSL_AD_INTERNAL_ERROR;
5035         goto err;
5036     }
5037
5038     while (PACKET_copy_bytes(cipher_suites, cipher, n)) {
5039         /*
5040          * SSLv3 ciphers wrapped in an SSLv2-compatible ClientHello have the
5041          * first byte set to zero, while true SSLv2 ciphers have a non-zero
5042          * first byte. We don't support any true SSLv2 ciphers, so skip them.
5043          */
5044         if (sslv2format && cipher[0] != '\0')
5045             continue;
5046
5047         /* For SSLv2-compat, ignore leading 0-byte. */
5048         c = ssl_get_cipher_by_char(s, sslv2format ? &cipher[1] : cipher, 1);
5049         if (c != NULL) {
5050             if ((c->valid && !sk_SSL_CIPHER_push(sk, c)) ||
5051                 (!c->valid && !sk_SSL_CIPHER_push(scsvs, c))) {
5052                 SSLerr(SSL_F_BYTES_TO_CIPHER_LIST, ERR_R_MALLOC_FAILURE);
5053                 *al = SSL_AD_INTERNAL_ERROR;
5054                 goto err;
5055             }
5056         }
5057     }
5058     if (PACKET_remaining(cipher_suites) > 0) {
5059         *al = SSL_AD_DECODE_ERROR;
5060         SSLerr(SSL_F_BYTES_TO_CIPHER_LIST, SSL_R_BAD_LENGTH);
5061         goto err;
5062     }
5063
5064     if (skp != NULL)
5065         *skp = sk;
5066     else
5067         sk_SSL_CIPHER_free(sk);
5068     if (scsvs_out != NULL)
5069         *scsvs_out = scsvs;
5070     else
5071         sk_SSL_CIPHER_free(scsvs);
5072     return 1;
5073  err:
5074     sk_SSL_CIPHER_free(sk);
5075     sk_SSL_CIPHER_free(scsvs);
5076     return 0;
5077 }
5078
5079 int SSL_CTX_set_max_early_data(SSL_CTX *ctx, uint32_t max_early_data)
5080 {
5081     ctx->max_early_data = max_early_data;
5082
5083     return 1;
5084 }
5085
5086 uint32_t SSL_CTX_get_max_early_data(const SSL_CTX *ctx)
5087 {
5088     return ctx->max_early_data;
5089 }
5090
5091 int SSL_set_max_early_data(SSL *s, uint32_t max_early_data)
5092 {
5093     s->max_early_data = max_early_data;
5094
5095     return 1;
5096 }
5097
5098 uint32_t SSL_get_max_early_data(const SSL *s)
5099 {
5100     return s->max_early_data;
5101 }
5102
5103 int ssl_randbytes(SSL *s, unsigned char *rnd, size_t size)
5104 {
5105     if (s->drbg != NULL)
5106         return RAND_DRBG_generate(s->drbg, rnd, size, 0, NULL, 0);
5107     return RAND_bytes(rnd, (int)size);
5108 }