ssl/statem/statem_clnt.c

   1 /*
   2  * Copyright 1995-2016 The OpenSSL Project Authors. All Rights Reserved.
   3  *
   4  * Licensed under the OpenSSL license (the "License").  You may not use
   5  * this file except in compliance with the License.  You can obtain a copy
   6  * in the file LICENSE in the source distribution or at
   7  * https://www.openssl.org/source/license.html
   8  */
   9
  10 /* ====================================================================
  11  * Copyright 2002 Sun Microsystems, Inc. ALL RIGHTS RESERVED.
  12  *
  13  * Portions of the attached software ("Contribution") are developed by
  14  * SUN MICROSYSTEMS, INC., and are contributed to the OpenSSL project.
  15  *
  16  * The Contribution is licensed pursuant to the OpenSSL open source
  17  * license provided above.
  18  *
  19  * ECC cipher suite support in OpenSSL originally written by
  20  * Vipul Gupta and Sumit Gupta of Sun Microsystems Laboratories.
  21  *
  22  */
  23 /* ====================================================================
  24  * Copyright 2005 Nokia. All rights reserved.
  25  *
  26  * The portions of the attached software ("Contribution") is developed by
  27  * Nokia Corporation and is licensed pursuant to the OpenSSL open source
  28  * license.
  29  *
  30  * The Contribution, originally written by Mika Kousa and Pasi Eronen of
  31  * Nokia Corporation, consists of the "PSK" (Pre-Shared Key) ciphersuites
  32  * support (see RFC 4279) to OpenSSL.
  33  *
  34  * No patent licenses or other rights except those expressly stated in
  35  * the OpenSSL open source license shall be deemed granted or received
  36  * expressly, by implication, estoppel, or otherwise.
  37  *
  38  * No assurances are provided by Nokia that the Contribution does not
  39  * infringe the patent or other intellectual property rights of any third
  40  * party or that the license provides you with all the necessary rights
  41  * to make use of the Contribution.
  42  *
  43  * THE SOFTWARE IS PROVIDED "AS IS" WITHOUT WARRANTY OF ANY KIND. IN
  44  * ADDITION TO THE DISCLAIMERS INCLUDED IN THE LICENSE, NOKIA
  45  * SPECIFICALLY DISCLAIMS ANY LIABILITY FOR CLAIMS BROUGHT BY YOU OR ANY
  46  * OTHER ENTITY BASED ON INFRINGEMENT OF INTELLECTUAL PROPERTY RIGHTS OR
  47  * OTHERWISE.
  48  */
  49
  50 #include <stdio.h>
  51 #include <time.h>
  52 #include "../ssl_locl.h"
  53 #include "statem_locl.h"
  54 #include <openssl/buffer.h>
  55 #include <openssl/rand.h>
  56 #include <openssl/objects.h>
  57 #include <openssl/evp.h>
  58 #include <openssl/md5.h>
  59 #include <openssl/dh.h>
  60 #include <openssl/bn.h>
  61 #include <openssl/engine.h>
  62
  63 static MSG_PROCESS_RETURN tls_process_hello_retry_request(SSL *s, PACKET *pkt);
  64 static MSG_PROCESS_RETURN tls_process_encrypted_extensions(SSL *s, PACKET *pkt);
  65
  66 static ossl_inline int cert_req_allowed(SSL *s);
  67 static int key_exchange_expected(SSL *s);
  68 static int ssl_cipher_list_to_bytes(SSL *s, STACK_OF(SSL_CIPHER) *sk,
  69                                     WPACKET *pkt);
  70
  71 /*
  72  * Is a CertificateRequest message allowed at the moment or not?
  73  *
  74  *  Return values are:
  75  *  1: Yes
  76  *  0: No
  77  */
  78 static ossl_inline int cert_req_allowed(SSL *s)
  79 {
  80     /* TLS does not like anon-DH with client cert */
  81     if ((s->version > SSL3_VERSION
  82          && (s->s3->tmp.new_cipher->algorithm_auth & SSL_aNULL))
  83         || (s->s3->tmp.new_cipher->algorithm_auth & (SSL_aSRP | SSL_aPSK)))
  84         return 0;
  85
  86     return 1;
  87 }
  88
  89 /*
  90  * Should we expect the ServerKeyExchange message or not?
  91  *
  92  *  Return values are:
  93  *  1: Yes
  94  *  0: No
  95  */
  96 static int key_exchange_expected(SSL *s)
  97 {
  98     long alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
  99
 100     /*
 101      * Can't skip server key exchange if this is an ephemeral
 102      * ciphersuite or for SRP
 103      */
 104     if (alg_k & (SSL_kDHE | SSL_kECDHE | SSL_kDHEPSK | SSL_kECDHEPSK
 105                  | SSL_kSRP)) {
 106         return 1;
 107     }
 108
 109     return 0;
 110 }
 111
 112 /*
 113  * ossl_statem_client_read_transition() encapsulates the logic for the allowed
 114  * handshake state transitions when a TLS1.3 client is reading messages from the
 115  * server. The message type that the server has sent is provided in |mt|. The
 116  * current state is in |s->statem.hand_state|.
 117  *
 118  * Return values are 1 for success (transition allowed) and  0 on error
 119  * (transition not allowed)
 120  */
 121 static int ossl_statem_client13_read_transition(SSL *s, int mt)
 122 {
 123     OSSL_STATEM *st = &s->statem;
 124
 125     /*
 126      * Note: There is no case for TLS_ST_CW_CLNT_HELLO, because we haven't
 127      * yet negotiated TLSv1.3 at that point so that is handled by
 128      * ossl_statem_client_read_transition()
 129      */
 130
 131     switch (st->hand_state) {
 132     default:
 133         break;
 134
 135     case TLS_ST_CW_CLNT_HELLO:
 136         /*
 137          * This must a ClientHello following a HelloRetryRequest, so the only
 138          * thing we can get now is a ServerHello.
 139          */
 140         if (mt == SSL3_MT_SERVER_HELLO) {
 141             st->hand_state = TLS_ST_CR_SRVR_HELLO;
 142             return 1;
 143         }
 144         break;
 145
 146     case TLS_ST_CR_SRVR_HELLO:
 147         if (mt == SSL3_MT_ENCRYPTED_EXTENSIONS) {
 148             st->hand_state = TLS_ST_CR_ENCRYPTED_EXTENSIONS;
 149             return 1;
 150         }
 151         break;
 152
 153     case TLS_ST_CR_ENCRYPTED_EXTENSIONS:
 154         if (s->hit) {
 155             if (mt == SSL3_MT_FINISHED) {
 156                 st->hand_state = TLS_ST_CR_FINISHED;
 157                 return 1;
 158             }
 159         } else {
 160             if (mt == SSL3_MT_CERTIFICATE_REQUEST) {
 161                 st->hand_state = TLS_ST_CR_CERT_REQ;
 162                 return 1;
 163             }
 164             if (mt == SSL3_MT_CERTIFICATE) {
 165                 st->hand_state = TLS_ST_CR_CERT;
 166                 return 1;
 167             }
 168         }
 169         break;
 170
 171     case TLS_ST_CR_CERT_REQ:
 172         if (mt == SSL3_MT_CERTIFICATE) {
 173             st->hand_state = TLS_ST_CR_CERT;
 174             return 1;
 175         }
 176         break;
 177
 178     case TLS_ST_CR_CERT:
 179         if (mt == SSL3_MT_CERTIFICATE_VERIFY) {
 180             st->hand_state = TLS_ST_CR_CERT_VRFY;
 181             return 1;
 182         }
 183         break;
 184
 185     case TLS_ST_CR_CERT_VRFY:
 186         if (mt == SSL3_MT_FINISHED) {
 187             st->hand_state = TLS_ST_CR_FINISHED;
 188             return 1;
 189         }
 190         break;
 191
 192     case TLS_ST_OK:
 193         if (mt == SSL3_MT_NEWSESSION_TICKET) {
 194             st->hand_state = TLS_ST_CR_SESSION_TICKET;
 195             return 1;
 196         }
 197         if (mt == SSL3_MT_KEY_UPDATE) {
 198             st->hand_state = TLS_ST_CR_KEY_UPDATE;
 199             return 1;
 200         }
 201         break;
 202     }
 203
 204     /* No valid transition found */
 205     return 0;
 206 }
 207
 208 /*
 209  * ossl_statem_client_read_transition() encapsulates the logic for the allowed
 210  * handshake state transitions when the client is reading messages from the
 211  * server. The message type that the server has sent is provided in |mt|. The
 212  * current state is in |s->statem.hand_state|.
 213  *
 214  * Return values are 1 for success (transition allowed) and  0 on error
 215  * (transition not allowed)
 216  */
 217 int ossl_statem_client_read_transition(SSL *s, int mt)
 218 {
 219     OSSL_STATEM *st = &s->statem;
 220     int ske_expected;
 221
 222     /*
 223      * Note that after writing the first ClientHello we don't know what version
 224      * we are going to negotiate yet, so we don't take this branch until later.
 225      */
 226     if (SSL_IS_TLS13(s)) {
 227         if (!ossl_statem_client13_read_transition(s, mt))
 228             goto err;
 229         return 1;
 230     }
 231
 232     switch (st->hand_state) {
 233     default:
 234         break;
 235
 236     case TLS_ST_CW_CLNT_HELLO:
 237         if (mt == SSL3_MT_SERVER_HELLO) {
 238             st->hand_state = TLS_ST_CR_SRVR_HELLO;
 239             return 1;
 240         }
 241
 242         if (SSL_IS_DTLS(s)) {
 243             if (mt == DTLS1_MT_HELLO_VERIFY_REQUEST) {
 244                 st->hand_state = DTLS_ST_CR_HELLO_VERIFY_REQUEST;
 245                 return 1;
 246             }
 247         } else {
 248             if (mt == SSL3_MT_HELLO_RETRY_REQUEST) {
 249                 st->hand_state = TLS_ST_CR_HELLO_RETRY_REQUEST;
 250                 return 1;
 251             }
 252         }
 253         break;
 254
 255     case TLS_ST_EARLY_DATA:
 256         /*
 257          * We've not actually selected TLSv1.3 yet, but we have sent early
 258          * data. The only thing allowed now is a ServerHello or a
 259          * HelloRetryRequest.
 260          */
 261         if (mt == SSL3_MT_SERVER_HELLO) {
 262             st->hand_state = TLS_ST_CR_SRVR_HELLO;
 263             return 1;
 264         }
 265         if (mt == SSL3_MT_HELLO_RETRY_REQUEST) {
 266             st->hand_state = TLS_ST_CR_HELLO_RETRY_REQUEST;
 267             return 1;
 268         }
 269         break;
 270
 271     case TLS_ST_CR_SRVR_HELLO:
 272         if (s->hit) {
 273             if (s->ext.ticket_expected) {
 274                 if (mt == SSL3_MT_NEWSESSION_TICKET) {
 275                     st->hand_state = TLS_ST_CR_SESSION_TICKET;
 276                     return 1;
 277                 }
 278             } else if (mt == SSL3_MT_CHANGE_CIPHER_SPEC) {
 279                 st->hand_state = TLS_ST_CR_CHANGE;
 280                 return 1;
 281             }
 282         } else {
 283             if (SSL_IS_DTLS(s) && mt == DTLS1_MT_HELLO_VERIFY_REQUEST) {
 284                 st->hand_state = DTLS_ST_CR_HELLO_VERIFY_REQUEST;
 285                 return 1;
 286             } else if (s->version >= TLS1_VERSION
 287                        && s->ext.session_secret_cb != NULL
 288                        && s->session->ext.tick != NULL
 289                        && mt == SSL3_MT_CHANGE_CIPHER_SPEC) {
 290                 /*
 291                  * Normally, we can tell if the server is resuming the session
 292                  * from the session ID. EAP-FAST (RFC 4851), however, relies on
 293                  * the next server message after the ServerHello to determine if
 294                  * the server is resuming.
 295                  */
 296                 s->hit = 1;
 297                 st->hand_state = TLS_ST_CR_CHANGE;
 298                 return 1;
 299             } else if (!(s->s3->tmp.new_cipher->algorithm_auth
 300                          & (SSL_aNULL | SSL_aSRP | SSL_aPSK))) {
 301                 if (mt == SSL3_MT_CERTIFICATE) {
 302                     st->hand_state = TLS_ST_CR_CERT;
 303                     return 1;
 304                 }
 305             } else {
 306                 ske_expected = key_exchange_expected(s);
 307                 /* SKE is optional for some PSK ciphersuites */
 308                 if (ske_expected
 309                     || ((s->s3->tmp.new_cipher->algorithm_mkey & SSL_PSK)
 310                         && mt == SSL3_MT_SERVER_KEY_EXCHANGE)) {
 311                     if (mt == SSL3_MT_SERVER_KEY_EXCHANGE) {
 312                         st->hand_state = TLS_ST_CR_KEY_EXCH;
 313                         return 1;
 314                     }
 315                 } else if (mt == SSL3_MT_CERTIFICATE_REQUEST
 316                            && cert_req_allowed(s)) {
 317                     st->hand_state = TLS_ST_CR_CERT_REQ;
 318                     return 1;
 319                 } else if (mt == SSL3_MT_SERVER_DONE) {
 320                     st->hand_state = TLS_ST_CR_SRVR_DONE;
 321                     return 1;
 322                 }
 323             }
 324         }
 325         break;
 326
 327     case TLS_ST_CR_CERT:
 328         /*
 329          * The CertificateStatus message is optional even if
 330          * |ext.status_expected| is set
 331          */
 332         if (s->ext.status_expected && mt == SSL3_MT_CERTIFICATE_STATUS) {
 333             st->hand_state = TLS_ST_CR_CERT_STATUS;
 334             return 1;
 335         }
 336         /* Fall through */
 337
 338     case TLS_ST_CR_CERT_STATUS:
 339         ske_expected = key_exchange_expected(s);
 340         /* SKE is optional for some PSK ciphersuites */
 341         if (ske_expected || ((s->s3->tmp.new_cipher->algorithm_mkey & SSL_PSK)
 342                              && mt == SSL3_MT_SERVER_KEY_EXCHANGE)) {
 343             if (mt == SSL3_MT_SERVER_KEY_EXCHANGE) {
 344                 st->hand_state = TLS_ST_CR_KEY_EXCH;
 345                 return 1;
 346             }
 347             goto err;
 348         }
 349         /* Fall through */
 350
 351     case TLS_ST_CR_KEY_EXCH:
 352         if (mt == SSL3_MT_CERTIFICATE_REQUEST) {
 353             if (cert_req_allowed(s)) {
 354                 st->hand_state = TLS_ST_CR_CERT_REQ;
 355                 return 1;
 356             }
 357             goto err;
 358         }
 359         /* Fall through */
 360
 361     case TLS_ST_CR_CERT_REQ:
 362         if (mt == SSL3_MT_SERVER_DONE) {
 363             st->hand_state = TLS_ST_CR_SRVR_DONE;
 364             return 1;
 365         }
 366         break;
 367
 368     case TLS_ST_CW_FINISHED:
 369         if (s->ext.ticket_expected) {
 370             if (mt == SSL3_MT_NEWSESSION_TICKET) {
 371                 st->hand_state = TLS_ST_CR_SESSION_TICKET;
 372                 return 1;
 373             }
 374         } else if (mt == SSL3_MT_CHANGE_CIPHER_SPEC) {
 375             st->hand_state = TLS_ST_CR_CHANGE;
 376             return 1;
 377         }
 378         break;
 379
 380     case TLS_ST_CR_SESSION_TICKET:
 381         if (mt == SSL3_MT_CHANGE_CIPHER_SPEC) {
 382             st->hand_state = TLS_ST_CR_CHANGE;
 383             return 1;
 384         }
 385         break;
 386
 387     case TLS_ST_CR_CHANGE:
 388         if (mt == SSL3_MT_FINISHED) {
 389             st->hand_state = TLS_ST_CR_FINISHED;
 390             return 1;
 391         }
 392         break;
 393
 394     case TLS_ST_OK:
 395         if (mt == SSL3_MT_HELLO_REQUEST) {
 396             st->hand_state = TLS_ST_CR_HELLO_REQ;
 397             return 1;
 398         }
 399         break;
 400     }
 401
 402  err:
 403     /* No valid transition found */
 404     ssl3_send_alert(s, SSL3_AL_FATAL, SSL3_AD_UNEXPECTED_MESSAGE);
 405     SSLerr(SSL_F_OSSL_STATEM_CLIENT_READ_TRANSITION, SSL_R_UNEXPECTED_MESSAGE);
 406     return 0;
 407 }
 408
 409 /*
 410  * ossl_statem_client13_write_transition() works out what handshake state to
 411  * move to next when the TLSv1.3 client is writing messages to be sent to the
 412  * server.
 413  */
 414 static WRITE_TRAN ossl_statem_client13_write_transition(SSL *s)
 415 {
 416     OSSL_STATEM *st = &s->statem;
 417
 418     /*
 419      * Note: There are no cases for TLS_ST_BEFORE because we haven't negotiated
 420      * TLSv1.3 yet at that point. They are handled by
 421      * ossl_statem_client_write_transition().
 422      */
 423     switch (st->hand_state) {
 424     default:
 425         /* Shouldn't happen */
 426         return WRITE_TRAN_ERROR;
 427
 428     case TLS_ST_CW_CLNT_HELLO:
 429         /* We only hit this in the case of HelloRetryRequest */
 430         return WRITE_TRAN_FINISHED;
 431
 432     case TLS_ST_CR_HELLO_RETRY_REQUEST:
 433         st->hand_state = TLS_ST_CW_CLNT_HELLO;
 434         return WRITE_TRAN_CONTINUE;
 435
 436     case TLS_ST_CR_FINISHED:
 437         if (s->early_data_state == SSL_EARLY_DATA_WRITE_RETRY
 438                 || s->early_data_state == SSL_EARLY_DATA_FINISHED_WRITING)
 439             st->hand_state = TLS_ST_PENDING_EARLY_DATA_END;
 440         else
 441             st->hand_state = (s->s3->tmp.cert_req != 0) ? TLS_ST_CW_CERT
 442                                                         : TLS_ST_CW_FINISHED;
 443         return WRITE_TRAN_CONTINUE;
 444
 445     case TLS_ST_PENDING_EARLY_DATA_END:
 446         if (s->ext.early_data == SSL_EARLY_DATA_ACCEPTED) {
 447             st->hand_state = TLS_ST_CW_END_OF_EARLY_DATA;
 448             return WRITE_TRAN_CONTINUE;
 449         }
 450         /* Fall through */
 451
 452     case TLS_ST_CW_END_OF_EARLY_DATA:
 453         st->hand_state = (s->s3->tmp.cert_req != 0) ? TLS_ST_CW_CERT
 454                                                     : TLS_ST_CW_FINISHED;
 455         return WRITE_TRAN_CONTINUE;
 456
 457     case TLS_ST_CW_CERT:
 458         /* If a non-empty Certificate we also send CertificateVerify */
 459         st->hand_state = (s->s3->tmp.cert_req == 1) ? TLS_ST_CW_CERT_VRFY
 460                                                     : TLS_ST_CW_FINISHED;
 461         return WRITE_TRAN_CONTINUE;
 462
 463     case TLS_ST_CW_CERT_VRFY:
 464         st->hand_state = TLS_ST_CW_FINISHED;
 465         return WRITE_TRAN_CONTINUE;
 466
 467     case TLS_ST_CR_KEY_UPDATE:
 468         if (s->key_update != SSL_KEY_UPDATE_NONE) {
 469             st->hand_state = TLS_ST_CW_KEY_UPDATE;
 470             return WRITE_TRAN_CONTINUE;
 471         }
 472         /* Fall through */
 473
 474     case TLS_ST_CW_KEY_UPDATE:
 475     case TLS_ST_CR_SESSION_TICKET:
 476     case TLS_ST_CW_FINISHED:
 477         st->hand_state = TLS_ST_OK;
 478         return WRITE_TRAN_CONTINUE;
 479
 480     case TLS_ST_OK:
 481         if (s->key_update != SSL_KEY_UPDATE_NONE) {
 482             st->hand_state = TLS_ST_CW_KEY_UPDATE;
 483             return WRITE_TRAN_CONTINUE;
 484         }
 485
 486         /* Try to read from the server instead */
 487         return WRITE_TRAN_FINISHED;
 488     }
 489 }
 490
 491 /*
 492  * ossl_statem_client_write_transition() works out what handshake state to
 493  * move to next when the client is writing messages to be sent to the server.
 494  */
 495 WRITE_TRAN ossl_statem_client_write_transition(SSL *s)
 496 {
 497     OSSL_STATEM *st = &s->statem;
 498
 499     /*
 500      * Note that immediately before/after a ClientHello we don't know what
 501      * version we are going to negotiate yet, so we don't take this branch until
 502      * later
 503      */
 504     if (SSL_IS_TLS13(s))
 505         return ossl_statem_client13_write_transition(s);
 506
 507     switch (st->hand_state) {
 508     default:
 509         /* Shouldn't happen */
 510         return WRITE_TRAN_ERROR;
 511
 512     case TLS_ST_OK:
 513         if (!s->renegotiate) {
 514             /*
 515              * We haven't requested a renegotiation ourselves so we must have
 516              * received a message from the server. Better read it.
 517              */
 518             return WRITE_TRAN_FINISHED;
 519         }
 520         /* Renegotiation */
 521         /* fall thru */
 522     case TLS_ST_BEFORE:
 523         st->hand_state = TLS_ST_CW_CLNT_HELLO;
 524         return WRITE_TRAN_CONTINUE;
 525
 526     case TLS_ST_CW_CLNT_HELLO:
 527         if (s->early_data_state == SSL_EARLY_DATA_CONNECTING) {
 528             /*
 529              * We are assuming this is a TLSv1.3 connection, although we haven't
 530              * actually selected a version yet.
 531              */
 532             st->hand_state = TLS_ST_EARLY_DATA;
 533             return WRITE_TRAN_CONTINUE;
 534         }
 535         /*
 536          * No transition at the end of writing because we don't know what
 537          * we will be sent
 538          */
 539         return WRITE_TRAN_FINISHED;
 540
 541     case TLS_ST_EARLY_DATA:
 542         return WRITE_TRAN_FINISHED;
 543
 544     case DTLS_ST_CR_HELLO_VERIFY_REQUEST:
 545         st->hand_state = TLS_ST_CW_CLNT_HELLO;
 546         return WRITE_TRAN_CONTINUE;
 547
 548     case TLS_ST_CR_SRVR_DONE:
 549         if (s->s3->tmp.cert_req)
 550             st->hand_state = TLS_ST_CW_CERT;
 551         else
 552             st->hand_state = TLS_ST_CW_KEY_EXCH;
 553         return WRITE_TRAN_CONTINUE;
 554
 555     case TLS_ST_CW_CERT:
 556         st->hand_state = TLS_ST_CW_KEY_EXCH;
 557         return WRITE_TRAN_CONTINUE;
 558
 559     case TLS_ST_CW_KEY_EXCH:
 560         /*
 561          * For TLS, cert_req is set to 2, so a cert chain of nothing is
 562          * sent, but no verify packet is sent
 563          */
 564         /*
 565          * XXX: For now, we do not support client authentication in ECDH
 566          * cipher suites with ECDH (rather than ECDSA) certificates. We
 567          * need to skip the certificate verify message when client's
 568          * ECDH public key is sent inside the client certificate.
 569          */
 570         if (s->s3->tmp.cert_req == 1) {
 571             st->hand_state = TLS_ST_CW_CERT_VRFY;
 572         } else {
 573             st->hand_state = TLS_ST_CW_CHANGE;
 574         }
 575         if (s->s3->flags & TLS1_FLAGS_SKIP_CERT_VERIFY) {
 576             st->hand_state = TLS_ST_CW_CHANGE;
 577         }
 578         return WRITE_TRAN_CONTINUE;
 579
 580     case TLS_ST_CW_CERT_VRFY:
 581         st->hand_state = TLS_ST_CW_CHANGE;
 582         return WRITE_TRAN_CONTINUE;
 583
 584     case TLS_ST_CW_CHANGE:
 585 #if defined(OPENSSL_NO_NEXTPROTONEG)
 586         st->
 587         hand_state = TLS_ST_CW_FINISHED;
 588 #else
 589         if (!SSL_IS_DTLS(s) && s->s3->npn_seen)
 590             st->hand_state = TLS_ST_CW_NEXT_PROTO;
 591         else
 592             st->hand_state = TLS_ST_CW_FINISHED;
 593 #endif
 594         return WRITE_TRAN_CONTINUE;
 595
 596 #if !defined(OPENSSL_NO_NEXTPROTONEG)
 597     case TLS_ST_CW_NEXT_PROTO:
 598         st->hand_state = TLS_ST_CW_FINISHED;
 599         return WRITE_TRAN_CONTINUE;
 600 #endif
 601
 602     case TLS_ST_CW_FINISHED:
 603         if (s->hit) {
 604             st->hand_state = TLS_ST_OK;
 605             return WRITE_TRAN_CONTINUE;
 606         } else {
 607             return WRITE_TRAN_FINISHED;
 608         }
 609
 610     case TLS_ST_CR_FINISHED:
 611         if (s->hit) {
 612             st->hand_state = TLS_ST_CW_CHANGE;
 613             return WRITE_TRAN_CONTINUE;
 614         } else {
 615             st->hand_state = TLS_ST_OK;
 616             return WRITE_TRAN_CONTINUE;
 617         }
 618
 619     case TLS_ST_CR_HELLO_REQ:
 620         /*
 621          * If we can renegotiate now then do so, otherwise wait for a more
 622          * convenient time.
 623          */
 624         if (ssl3_renegotiate_check(s, 1)) {
 625             if (!tls_setup_handshake(s)) {
 626                 ossl_statem_set_error(s);
 627                 return WRITE_TRAN_ERROR;
 628             }
 629             st->hand_state = TLS_ST_CW_CLNT_HELLO;
 630             return WRITE_TRAN_CONTINUE;
 631         }
 632         st->hand_state = TLS_ST_OK;
 633         return WRITE_TRAN_CONTINUE;
 634     }
 635 }
 636
 637 /*
 638  * Perform any pre work that needs to be done prior to sending a message from
 639  * the client to the server.
 640  */
 641 WORK_STATE ossl_statem_client_pre_work(SSL *s, WORK_STATE wst)
 642 {
 643     OSSL_STATEM *st = &s->statem;
 644
 645     switch (st->hand_state) {
 646     default:
 647         /* No pre work to be done */
 648         break;
 649
 650     case TLS_ST_CW_CLNT_HELLO:
 651         s->shutdown = 0;
 652         if (SSL_IS_DTLS(s)) {
 653             /* every DTLS ClientHello resets Finished MAC */
 654             if (!ssl3_init_finished_mac(s)) {
 655                 ossl_statem_set_error(s);
 656                 return WORK_ERROR;
 657             }
 658         }
 659         break;
 660
 661     case TLS_ST_CW_CHANGE:
 662         if (SSL_IS_DTLS(s)) {
 663             if (s->hit) {
 664                 /*
 665                  * We're into the last flight so we don't retransmit these
 666                  * messages unless we need to.
 667                  */
 668                 st->use_timer = 0;
 669             }
 670 #ifndef OPENSSL_NO_SCTP
 671             if (BIO_dgram_is_sctp(SSL_get_wbio(s)))
 672                 return dtls_wait_for_dry(s);
 673 #endif
 674         }
 675         break;
 676
 677     case TLS_ST_PENDING_EARLY_DATA_END:
 678         /*
 679          * If we've been called by SSL_do_handshake()/SSL_write(), or we did not
 680          * attempt to write early data before calling SSL_read() then we press
 681          * on with the handshake. Otherwise we pause here.
 682          */
 683         if (s->early_data_state == SSL_EARLY_DATA_FINISHED_WRITING
 684                 || s->early_data_state == SSL_EARLY_DATA_NONE)
 685             return WORK_FINISHED_CONTINUE;
 686         /* Fall through */
 687
 688     case TLS_ST_EARLY_DATA:
 689     case TLS_ST_OK:
 690         return tls_finish_handshake(s, wst, 1);
 691     }
 692
 693     return WORK_FINISHED_CONTINUE;
 694 }
 695
 696 /*
 697  * Perform any work that needs to be done after sending a message from the
 698  * client to the server.
 699  */
 700 WORK_STATE ossl_statem_client_post_work(SSL *s, WORK_STATE wst)
 701 {
 702     OSSL_STATEM *st = &s->statem;
 703
 704     s->init_num = 0;
 705
 706     switch (st->hand_state) {
 707     default:
 708         /* No post work to be done */
 709         break;
 710
 711     case TLS_ST_CW_CLNT_HELLO:
 712         if (wst == WORK_MORE_A && statem_flush(s) != 1)
 713             return WORK_MORE_A;
 714
 715         if (SSL_IS_DTLS(s)) {
 716             /* Treat the next message as the first packet */
 717             s->first_packet = 1;
 718         }
 719
 720         if (s->early_data_state == SSL_EARLY_DATA_CONNECTING
 721                 && s->max_early_data > 0) {
 722             /*
 723              * We haven't selected TLSv1.3 yet so we don't call the change
 724              * cipher state function associated with the SSL_METHOD. Instead
 725              * we call tls13_change_cipher_state() directly.
 726              */
 727             if (!tls13_change_cipher_state(s,
 728                         SSL3_CC_EARLY | SSL3_CHANGE_CIPHER_CLIENT_WRITE))
 729                 return WORK_ERROR;
 730         }
 731         break;
 732
 733     case TLS_ST_CW_END_OF_EARLY_DATA:
 734         /*
 735          * We set the enc_write_ctx back to NULL because we may end up writing
 736          * in cleartext again if we get a HelloRetryRequest from the server.
 737          */
 738         EVP_CIPHER_CTX_free(s->enc_write_ctx);
 739         s->enc_write_ctx = NULL;
 740         break;
 741
 742     case TLS_ST_CW_KEY_EXCH:
 743         if (tls_client_key_exchange_post_work(s) == 0)
 744             return WORK_ERROR;
 745         break;
 746
 747     case TLS_ST_CW_CHANGE:
 748         s->session->cipher = s->s3->tmp.new_cipher;
 749 #ifdef OPENSSL_NO_COMP
 750         s->session->compress_meth = 0;
 751 #else
 752         if (s->s3->tmp.new_compression == NULL)
 753             s->session->compress_meth = 0;
 754         else
 755             s->session->compress_meth = s->s3->tmp.new_compression->id;
 756 #endif
 757         if (!s->method->ssl3_enc->setup_key_block(s))
 758             return WORK_ERROR;
 759
 760         if (!s->method->ssl3_enc->change_cipher_state(s,
 761                                                       SSL3_CHANGE_CIPHER_CLIENT_WRITE))
 762             return WORK_ERROR;
 763
 764         if (SSL_IS_DTLS(s)) {
 765 #ifndef OPENSSL_NO_SCTP
 766             if (s->hit) {
 767                 /*
 768                  * Change to new shared key of SCTP-Auth, will be ignored if
 769                  * no SCTP used.
 770                  */
 771                 BIO_ctrl(SSL_get_wbio(s), BIO_CTRL_DGRAM_SCTP_NEXT_AUTH_KEY,
 772                          0, NULL);
 773             }
 774 #endif
 775
 776             dtls1_reset_seq_numbers(s, SSL3_CC_WRITE);
 777         }
 778         break;
 779
 780     case TLS_ST_CW_FINISHED:
 781 #ifndef OPENSSL_NO_SCTP
 782         if (wst == WORK_MORE_A && SSL_IS_DTLS(s) && s->hit == 0) {
 783             /*
 784              * Change to new shared key of SCTP-Auth, will be ignored if
 785              * no SCTP used.
 786              */
 787             BIO_ctrl(SSL_get_wbio(s), BIO_CTRL_DGRAM_SCTP_NEXT_AUTH_KEY,
 788                      0, NULL);
 789         }
 790 #endif
 791         if (statem_flush(s) != 1)
 792             return WORK_MORE_B;
 793
 794         if (SSL_IS_TLS13(s)) {
 795             if (!s->method->ssl3_enc->change_cipher_state(s,
 796                         SSL3_CC_APPLICATION | SSL3_CHANGE_CIPHER_CLIENT_WRITE))
 797             return WORK_ERROR;
 798         }
 799         break;
 800
 801     case TLS_ST_CW_KEY_UPDATE:
 802         if (statem_flush(s) != 1)
 803             return WORK_MORE_A;
 804         if (!tls13_update_key(s, 1))
 805             return WORK_ERROR;
 806         break;
 807     }
 808
 809     return WORK_FINISHED_CONTINUE;
 810 }
 811
 812 /*
 813  * Get the message construction function and message type for sending from the
 814  * client
 815  *
 816  * Valid return values are:
 817  *   1: Success
 818  *   0: Error
 819  */
 820 int ossl_statem_client_construct_message(SSL *s, WPACKET *pkt,
 821                                          confunc_f *confunc, int *mt)
 822 {
 823     OSSL_STATEM *st = &s->statem;
 824
 825     switch (st->hand_state) {
 826     default:
 827         /* Shouldn't happen */
 828         return 0;
 829
 830     case TLS_ST_CW_CHANGE:
 831         if (SSL_IS_DTLS(s))
 832             *confunc = dtls_construct_change_cipher_spec;
 833         else
 834             *confunc = tls_construct_change_cipher_spec;
 835         *mt = SSL3_MT_CHANGE_CIPHER_SPEC;
 836         break;
 837
 838     case TLS_ST_CW_CLNT_HELLO:
 839         *confunc = tls_construct_client_hello;
 840         *mt = SSL3_MT_CLIENT_HELLO;
 841         break;
 842
 843     case TLS_ST_CW_END_OF_EARLY_DATA:
 844         *confunc = tls_construct_end_of_early_data;
 845         *mt = SSL3_MT_END_OF_EARLY_DATA;
 846         break;
 847
 848     case TLS_ST_PENDING_EARLY_DATA_END:
 849         *confunc = NULL;
 850         *mt = SSL3_MT_DUMMY;
 851         break;
 852
 853     case TLS_ST_CW_CERT:
 854         *confunc = tls_construct_client_certificate;
 855         *mt = SSL3_MT_CERTIFICATE;
 856         break;
 857
 858     case TLS_ST_CW_KEY_EXCH:
 859         *confunc = tls_construct_client_key_exchange;
 860         *mt = SSL3_MT_CLIENT_KEY_EXCHANGE;
 861         break;
 862
 863     case TLS_ST_CW_CERT_VRFY:
 864         *confunc = tls_construct_cert_verify;
 865         *mt = SSL3_MT_CERTIFICATE_VERIFY;
 866         break;
 867
 868 #if !defined(OPENSSL_NO_NEXTPROTONEG)
 869     case TLS_ST_CW_NEXT_PROTO:
 870         *confunc = tls_construct_next_proto;
 871         *mt = SSL3_MT_NEXT_PROTO;
 872         break;
 873 #endif
 874     case TLS_ST_CW_FINISHED:
 875         *confunc = tls_construct_finished;
 876         *mt = SSL3_MT_FINISHED;
 877         break;
 878
 879     case TLS_ST_CW_KEY_UPDATE:
 880         *confunc = tls_construct_key_update;
 881         *mt = SSL3_MT_KEY_UPDATE;
 882         break;
 883     }
 884
 885     return 1;
 886 }
 887
 888 /*
 889  * Returns the maximum allowed length for the current message that we are
 890  * reading. Excludes the message header.
 891  */
 892 size_t ossl_statem_client_max_message_size(SSL *s)
 893 {
 894     OSSL_STATEM *st = &s->statem;
 895
 896     switch (st->hand_state) {
 897     default:
 898         /* Shouldn't happen */
 899         return 0;
 900
 901     case TLS_ST_CR_SRVR_HELLO:
 902         return SERVER_HELLO_MAX_LENGTH;
 903
 904     case DTLS_ST_CR_HELLO_VERIFY_REQUEST:
 905         return HELLO_VERIFY_REQUEST_MAX_LENGTH;
 906
 907     case TLS_ST_CR_HELLO_RETRY_REQUEST:
 908         return HELLO_RETRY_REQUEST_MAX_LENGTH;
 909
 910     case TLS_ST_CR_CERT:
 911         return s->max_cert_list;
 912
 913     case TLS_ST_CR_CERT_VRFY:
 914         return SSL3_RT_MAX_PLAIN_LENGTH;
 915
 916     case TLS_ST_CR_CERT_STATUS:
 917         return SSL3_RT_MAX_PLAIN_LENGTH;
 918
 919     case TLS_ST_CR_KEY_EXCH:
 920         return SERVER_KEY_EXCH_MAX_LENGTH;
 921
 922     case TLS_ST_CR_CERT_REQ:
 923         /*
 924          * Set to s->max_cert_list for compatibility with previous releases. In
 925          * practice these messages can get quite long if servers are configured
 926          * to provide a long list of acceptable CAs
 927          */
 928         return s->max_cert_list;
 929
 930     case TLS_ST_CR_SRVR_DONE:
 931         return SERVER_HELLO_DONE_MAX_LENGTH;
 932
 933     case TLS_ST_CR_CHANGE:
 934         if (s->version == DTLS1_BAD_VER)
 935             return 3;
 936         return CCS_MAX_LENGTH;
 937
 938     case TLS_ST_CR_SESSION_TICKET:
 939         return SSL3_RT_MAX_PLAIN_LENGTH;
 940
 941     case TLS_ST_CR_FINISHED:
 942         return FINISHED_MAX_LENGTH;
 943
 944     case TLS_ST_CR_ENCRYPTED_EXTENSIONS:
 945         return ENCRYPTED_EXTENSIONS_MAX_LENGTH;
 946
 947     case TLS_ST_CR_KEY_UPDATE:
 948         return KEY_UPDATE_MAX_LENGTH;
 949     }
 950 }
 951
 952 /*
 953  * Process a message that the client has been received from the server.
 954  */
 955 MSG_PROCESS_RETURN ossl_statem_client_process_message(SSL *s, PACKET *pkt)
 956 {
 957     OSSL_STATEM *st = &s->statem;
 958
 959     switch (st->hand_state) {
 960     default:
 961         /* Shouldn't happen */
 962         return MSG_PROCESS_ERROR;
 963
 964     case TLS_ST_CR_SRVR_HELLO:
 965         return tls_process_server_hello(s, pkt);
 966
 967     case DTLS_ST_CR_HELLO_VERIFY_REQUEST:
 968         return dtls_process_hello_verify(s, pkt);
 969
 970     case TLS_ST_CR_HELLO_RETRY_REQUEST:
 971         return tls_process_hello_retry_request(s, pkt);
 972
 973     case TLS_ST_CR_CERT:
 974         return tls_process_server_certificate(s, pkt);
 975
 976     case TLS_ST_CR_CERT_VRFY:
 977         return tls_process_cert_verify(s, pkt);
 978
 979     case TLS_ST_CR_CERT_STATUS:
 980         return tls_process_cert_status(s, pkt);
 981
 982     case TLS_ST_CR_KEY_EXCH:
 983         return tls_process_key_exchange(s, pkt);
 984
 985     case TLS_ST_CR_CERT_REQ:
 986         return tls_process_certificate_request(s, pkt);
 987
 988     case TLS_ST_CR_SRVR_DONE:
 989         return tls_process_server_done(s, pkt);
 990
 991     case TLS_ST_CR_CHANGE:
 992         return tls_process_change_cipher_spec(s, pkt);
 993
 994     case TLS_ST_CR_SESSION_TICKET:
 995         return tls_process_new_session_ticket(s, pkt);
 996
 997     case TLS_ST_CR_FINISHED:
 998         return tls_process_finished(s, pkt);
 999
1000     case TLS_ST_CR_HELLO_REQ:
1001         return tls_process_hello_req(s, pkt);
1002
1003     case TLS_ST_CR_ENCRYPTED_EXTENSIONS:
1004         return tls_process_encrypted_extensions(s, pkt);
1005
1006     case TLS_ST_CR_KEY_UPDATE:
1007         return tls_process_key_update(s, pkt);
1008     }
1009 }
1010
1011 /*
1012  * Perform any further processing required following the receipt of a message
1013  * from the server
1014  */
1015 WORK_STATE ossl_statem_client_post_process_message(SSL *s, WORK_STATE wst)
1016 {
1017     OSSL_STATEM *st = &s->statem;
1018
1019     switch (st->hand_state) {
1020     default:
1021         /* Shouldn't happen */
1022         return WORK_ERROR;
1023
1024     case TLS_ST_CR_CERT_REQ:
1025         return tls_prepare_client_certificate(s, wst);
1026     }
1027 }
1028
1029 int tls_construct_client_hello(SSL *s, WPACKET *pkt)
1030 {
1031     unsigned char *p;
1032     size_t sess_id_len;
1033     int i, protverr;
1034     int al = SSL_AD_HANDSHAKE_FAILURE;
1035 #ifndef OPENSSL_NO_COMP
1036     SSL_COMP *comp;
1037 #endif
1038     SSL_SESSION *sess = s->session;
1039
1040     if (!WPACKET_set_max_size(pkt, SSL3_RT_MAX_PLAIN_LENGTH)) {
1041         /* Should not happen */
1042         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1043         return 0;
1044     }
1045
1046     /* Work out what SSL/TLS/DTLS version to use */
1047     protverr = ssl_set_client_hello_version(s);
1048     if (protverr != 0) {
1049         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, protverr);
1050         return 0;
1051     }
1052
1053     if (sess == NULL
1054             || !ssl_version_supported(s, sess->ssl_version)
1055             || !SSL_SESSION_is_resumable(sess)) {
1056         if (!ssl_get_new_session(s, 0))
1057             return 0;
1058     }
1059     /* else use the pre-loaded session */
1060
1061     p = s->s3->client_random;
1062
1063     /*
1064      * for DTLS if client_random is initialized, reuse it, we are
1065      * required to use same upon reply to HelloVerify
1066      */
1067     if (SSL_IS_DTLS(s)) {
1068         size_t idx;
1069         i = 1;
1070         for (idx = 0; idx < sizeof(s->s3->client_random); idx++) {
1071             if (p[idx]) {
1072                 i = 0;
1073                 break;
1074             }
1075         }
1076     } else
1077         i = 1;
1078
1079     if (i && ssl_fill_hello_random(s, 0, p, sizeof(s->s3->client_random),
1080                                    DOWNGRADE_NONE) <= 0)
1081         return 0;
1082
1083     /*-
1084      * version indicates the negotiated version: for example from
1085      * an SSLv2/v3 compatible client hello). The client_version
1086      * field is the maximum version we permit and it is also
1087      * used in RSA encrypted premaster secrets. Some servers can
1088      * choke if we initially report a higher version then
1089      * renegotiate to a lower one in the premaster secret. This
1090      * didn't happen with TLS 1.0 as most servers supported it
1091      * but it can with TLS 1.1 or later if the server only supports
1092      * 1.0.
1093      *
1094      * Possible scenario with previous logic:
1095      *      1. Client hello indicates TLS 1.2
1096      *      2. Server hello says TLS 1.0
1097      *      3. RSA encrypted premaster secret uses 1.2.
1098      *      4. Handshake proceeds using TLS 1.0.
1099      *      5. Server sends hello request to renegotiate.
1100      *      6. Client hello indicates TLS v1.0 as we now
1101      *         know that is maximum server supports.
1102      *      7. Server chokes on RSA encrypted premaster secret
1103      *         containing version 1.0.
1104      *
1105      * For interoperability it should be OK to always use the
1106      * maximum version we support in client hello and then rely
1107      * on the checking of version to ensure the servers isn't
1108      * being inconsistent: for example initially negotiating with
1109      * TLS 1.0 and renegotiating with TLS 1.2. We do this by using
1110      * client_version in client hello and not resetting it to
1111      * the negotiated version.
1112      *
1113      * For TLS 1.3 we always set the ClientHello version to 1.2 and rely on the
1114      * supported_versions extension for the real supported versions.
1115      */
1116     if (!WPACKET_put_bytes_u16(pkt, s->client_version)
1117             || !WPACKET_memcpy(pkt, s->s3->client_random, SSL3_RANDOM_SIZE)) {
1118         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1119         return 0;
1120     }
1121
1122     /* Session ID */
1123     if (s->new_session || s->session->ssl_version == TLS1_3_VERSION)
1124         sess_id_len = 0;
1125     else
1126         sess_id_len = s->session->session_id_length;
1127     if (sess_id_len > sizeof(s->session->session_id)
1128             || !WPACKET_start_sub_packet_u8(pkt)
1129             || (sess_id_len != 0 && !WPACKET_memcpy(pkt, s->session->session_id,
1130                                                     sess_id_len))
1131             || !WPACKET_close(pkt)) {
1132         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1133         return 0;
1134     }
1135
1136     /* cookie stuff for DTLS */
1137     if (SSL_IS_DTLS(s)) {
1138         if (s->d1->cookie_len > sizeof(s->d1->cookie)
1139                 || !WPACKET_sub_memcpy_u8(pkt, s->d1->cookie,
1140                                           s->d1->cookie_len)) {
1141             SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1142             return 0;
1143         }
1144     }
1145
1146     /* Ciphers supported */
1147     if (!WPACKET_start_sub_packet_u16(pkt)) {
1148         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1149         return 0;
1150     }
1151     /* ssl_cipher_list_to_bytes() raises SSLerr if appropriate */
1152     if (!ssl_cipher_list_to_bytes(s, SSL_get_ciphers(s), pkt))
1153         return 0;
1154     if (!WPACKET_close(pkt)) {
1155         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1156         return 0;
1157     }
1158
1159     /* COMPRESSION */
1160     if (!WPACKET_start_sub_packet_u8(pkt)) {
1161         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1162         return 0;
1163     }
1164 #ifndef OPENSSL_NO_COMP
1165     if (ssl_allow_compression(s)
1166             && s->ctx->comp_methods
1167             && (SSL_IS_DTLS(s) || s->s3->tmp.max_ver < TLS1_3_VERSION)) {
1168         int compnum = sk_SSL_COMP_num(s->ctx->comp_methods);
1169         for (i = 0; i < compnum; i++) {
1170             comp = sk_SSL_COMP_value(s->ctx->comp_methods, i);
1171             if (!WPACKET_put_bytes_u8(pkt, comp->id)) {
1172                 SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1173                 return 0;
1174             }
1175         }
1176     }
1177 #endif
1178     /* Add the NULL method */
1179     if (!WPACKET_put_bytes_u8(pkt, 0) || !WPACKET_close(pkt)) {
1180         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1181         return 0;
1182     }
1183
1184     /* TLS extensions */
1185     if (!tls_construct_extensions(s, pkt, SSL_EXT_CLIENT_HELLO, NULL, 0, &al)) {
1186         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1187         return 0;
1188     }
1189
1190     return 1;
1191 }
1192
1193 MSG_PROCESS_RETURN dtls_process_hello_verify(SSL *s, PACKET *pkt)
1194 {
1195     int al;
1196     size_t cookie_len;
1197     PACKET cookiepkt;
1198
1199     if (!PACKET_forward(pkt, 2)
1200         || !PACKET_get_length_prefixed_1(pkt, &cookiepkt)) {
1201         al = SSL_AD_DECODE_ERROR;
1202         SSLerr(SSL_F_DTLS_PROCESS_HELLO_VERIFY, SSL_R_LENGTH_MISMATCH);
1203         goto f_err;
1204     }
1205
1206     cookie_len = PACKET_remaining(&cookiepkt);
1207     if (cookie_len > sizeof(s->d1->cookie)) {
1208         al = SSL_AD_ILLEGAL_PARAMETER;
1209         SSLerr(SSL_F_DTLS_PROCESS_HELLO_VERIFY, SSL_R_LENGTH_TOO_LONG);
1210         goto f_err;
1211     }
1212
1213     if (!PACKET_copy_bytes(&cookiepkt, s->d1->cookie, cookie_len)) {
1214         al = SSL_AD_DECODE_ERROR;
1215         SSLerr(SSL_F_DTLS_PROCESS_HELLO_VERIFY, SSL_R_LENGTH_MISMATCH);
1216         goto f_err;
1217     }
1218     s->d1->cookie_len = cookie_len;
1219
1220     return MSG_PROCESS_FINISHED_READING;
1221  f_err:
1222     ssl3_send_alert(s, SSL3_AL_FATAL, al);
1223     ossl_statem_set_error(s);
1224     return MSG_PROCESS_ERROR;
1225 }
1226
1227 static int set_client_ciphersuite(SSL *s, const unsigned char *cipherchars)
1228 {
1229     STACK_OF(SSL_CIPHER) *sk;
1230     const SSL_CIPHER *c;
1231     int i;
1232
1233     c = ssl_get_cipher_by_char(s, cipherchars, 0);
1234     if (c == NULL) {
1235         /* unknown cipher */
1236         SSLerr(SSL_F_SET_CLIENT_CIPHERSUITE, SSL_R_UNKNOWN_CIPHER_RETURNED);
1237         return 0;
1238     }
1239     /*
1240      * If it is a disabled cipher we either didn't send it in client hello,
1241      * or it's not allowed for the selected protocol. So we return an error.
1242      */
1243     if (ssl_cipher_disabled(s, c, SSL_SECOP_CIPHER_CHECK, 1)) {
1244         SSLerr(SSL_F_SET_CLIENT_CIPHERSUITE, SSL_R_WRONG_CIPHER_RETURNED);
1245         return 0;
1246     }
1247
1248     sk = ssl_get_ciphers_by_id(s);
1249     i = sk_SSL_CIPHER_find(sk, c);
1250     if (i < 0) {
1251         /* we did not say we would use this cipher */
1252         SSLerr(SSL_F_SET_CLIENT_CIPHERSUITE, SSL_R_WRONG_CIPHER_RETURNED);
1253         return 0;
1254     }
1255
1256     if (SSL_IS_TLS13(s) && s->s3->tmp.new_cipher != NULL
1257             && s->s3->tmp.new_cipher->id != c->id) {
1258         /* ServerHello selected a different ciphersuite to that in the HRR */
1259         SSLerr(SSL_F_SET_CLIENT_CIPHERSUITE, SSL_R_WRONG_CIPHER_RETURNED);
1260         return 0;
1261     }
1262
1263     /*
1264      * Depending on the session caching (internal/external), the cipher
1265      * and/or cipher_id values may not be set. Make sure that cipher_id is
1266      * set and use it for comparison.
1267      */
1268     if (s->session->cipher != NULL)
1269         s->session->cipher_id = s->session->cipher->id;
1270     if (s->hit && (s->session->cipher_id != c->id)) {
1271         SSLerr(SSL_F_SET_CLIENT_CIPHERSUITE,
1272                SSL_R_OLD_SESSION_CIPHER_NOT_RETURNED);
1273         return 0;
1274     }
1275     s->s3->tmp.new_cipher = c;
1276
1277     return 1;
1278 }
1279
1280 MSG_PROCESS_RETURN tls_process_server_hello(SSL *s, PACKET *pkt)
1281 {
1282     PACKET session_id, extpkt;
1283     size_t session_id_len;
1284     const unsigned char *cipherchars;
1285     int al = SSL_AD_INTERNAL_ERROR;
1286     unsigned int compression;
1287     unsigned int sversion;
1288     unsigned int context;
1289     int protverr;
1290     RAW_EXTENSION *extensions = NULL;
1291 #ifndef OPENSSL_NO_COMP
1292     SSL_COMP *comp;
1293 #endif
1294
1295     if (!PACKET_get_net_2(pkt, &sversion)) {
1296         al = SSL_AD_DECODE_ERROR;
1297         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1298         goto f_err;
1299     }
1300
1301     /* load the server random */
1302     if (!PACKET_copy_bytes(pkt, s->s3->server_random, SSL3_RANDOM_SIZE)) {
1303         al = SSL_AD_DECODE_ERROR;
1304         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1305         goto f_err;
1306     }
1307
1308     /*
1309      * We do this immediately so we know what format the ServerHello is in.
1310      * Must be done after reading the random data so we can check for the
1311      * TLSv1.3 downgrade sentinels
1312      */
1313     protverr = ssl_choose_client_version(s, sversion, 1, &al);
1314     if (protverr != 0) {
1315         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, protverr);
1316         goto f_err;
1317     }
1318
1319     /*
1320      * In TLSv1.3 a ServerHello message signals a key change so the end of the
1321      * message must be on a record boundary.
1322      */
1323     if (SSL_IS_TLS13(s) && RECORD_LAYER_processed_read_pending(&s->rlayer)) {
1324         al = SSL_AD_UNEXPECTED_MESSAGE;
1325         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_NOT_ON_RECORD_BOUNDARY);
1326         goto f_err;
1327     }
1328
1329     /* Get the session-id. */
1330     if (!SSL_IS_TLS13(s)) {
1331         if (!PACKET_get_length_prefixed_1(pkt, &session_id)) {
1332             al = SSL_AD_DECODE_ERROR;
1333             SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1334             goto f_err;
1335         }
1336         session_id_len = PACKET_remaining(&session_id);
1337         if (session_id_len > sizeof s->session->session_id
1338             || session_id_len > SSL3_SESSION_ID_SIZE) {
1339             al = SSL_AD_ILLEGAL_PARAMETER;
1340             SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1341                    SSL_R_SSL3_SESSION_ID_TOO_LONG);
1342             goto f_err;
1343         }
1344     } else {
1345         PACKET_null_init(&session_id);
1346         session_id_len = 0;
1347     }
1348
1349     if (!PACKET_get_bytes(pkt, &cipherchars, TLS_CIPHER_LEN)) {
1350         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1351         al = SSL_AD_DECODE_ERROR;
1352         goto f_err;
1353     }
1354
1355     if (!SSL_IS_TLS13(s)) {
1356         if (!PACKET_get_1(pkt, &compression)) {
1357             SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1358             al = SSL_AD_DECODE_ERROR;
1359             goto f_err;
1360         }
1361     } else {
1362         compression = 0;
1363     }
1364
1365     /* TLS extensions */
1366     if (PACKET_remaining(pkt) == 0) {
1367         PACKET_null_init(&extpkt);
1368     } else if (!PACKET_as_length_prefixed_2(pkt, &extpkt)
1369                || PACKET_remaining(pkt) != 0) {
1370         al = SSL_AD_DECODE_ERROR;
1371         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_BAD_LENGTH);
1372         goto f_err;
1373     }
1374
1375     context = SSL_IS_TLS13(s) ? SSL_EXT_TLS1_3_SERVER_HELLO
1376                               : SSL_EXT_TLS1_2_SERVER_HELLO;
1377     if (!tls_collect_extensions(s, &extpkt, context, &extensions, &al, NULL, 1))
1378         goto f_err;
1379
1380     s->hit = 0;
1381
1382     if (SSL_IS_TLS13(s)) {
1383         /* This will set s->hit if we are resuming */
1384         if (!tls_parse_extension(s, TLSEXT_IDX_psk,
1385                                  SSL_EXT_TLS1_3_SERVER_HELLO,
1386                                  extensions, NULL, 0, &al))
1387             goto f_err;
1388     } else {
1389         /*
1390          * Check if we can resume the session based on external pre-shared
1391          * secret. EAP-FAST (RFC 4851) supports two types of session resumption.
1392          * Resumption based on server-side state works with session IDs.
1393          * Resumption based on pre-shared Protected Access Credentials (PACs)
1394          * works by overriding the SessionTicket extension at the application
1395          * layer, and does not send a session ID. (We do not know whether
1396          * EAP-FAST servers would honour the session ID.) Therefore, the session
1397          * ID alone is not a reliable indicator of session resumption, so we
1398          * first check if we can resume, and later peek at the next handshake
1399          * message to see if the server wants to resume.
1400          */
1401         if (s->version >= TLS1_VERSION
1402                 && s->ext.session_secret_cb != NULL && s->session->ext.tick) {
1403             const SSL_CIPHER *pref_cipher = NULL;
1404             /*
1405              * s->session->master_key_length is a size_t, but this is an int for
1406              * backwards compat reasons
1407              */
1408             int master_key_length;
1409             master_key_length = sizeof(s->session->master_key);
1410             if (s->ext.session_secret_cb(s, s->session->master_key,
1411                                          &master_key_length,
1412                                          NULL, &pref_cipher,
1413                                          s->ext.session_secret_cb_arg)
1414                      && master_key_length > 0) {
1415                 s->session->master_key_length = master_key_length;
1416                 s->session->cipher = pref_cipher ?
1417                     pref_cipher : ssl_get_cipher_by_char(s, cipherchars, 0);
1418             } else {
1419                 SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, ERR_R_INTERNAL_ERROR);
1420                 al = SSL_AD_INTERNAL_ERROR;
1421                 goto f_err;
1422             }
1423         }
1424
1425         if (session_id_len != 0
1426                 && session_id_len == s->session->session_id_length
1427                 && memcmp(PACKET_data(&session_id), s->session->session_id,
1428                           session_id_len) == 0)
1429             s->hit = 1;
1430     }
1431
1432     if (s->hit) {
1433         if (s->sid_ctx_length != s->session->sid_ctx_length
1434                 || memcmp(s->session->sid_ctx, s->sid_ctx, s->sid_ctx_length)) {
1435             /* actually a client application bug */
1436             al = SSL_AD_ILLEGAL_PARAMETER;
1437             SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1438                    SSL_R_ATTEMPT_TO_REUSE_SESSION_IN_DIFFERENT_CONTEXT);
1439             goto f_err;
1440         }
1441     } else {
1442         /*
1443          * If we were trying for session-id reuse but the server
1444          * didn't resume, make a new SSL_SESSION.
1445          * In the case of EAP-FAST and PAC, we do not send a session ID,
1446          * so the PAC-based session secret is always preserved. It'll be
1447          * overwritten if the server refuses resumption.
1448          */
1449         if (s->session->session_id_length > 0
1450                 || (SSL_IS_TLS13(s)
1451                     && s->session->ext.tick_identity
1452                        != TLSEXT_PSK_BAD_IDENTITY)) {
1453             s->ctx->stats.sess_miss++;
1454             if (!ssl_get_new_session(s, 0)) {
1455                 goto f_err;
1456             }
1457         }
1458
1459         s->session->ssl_version = s->version;
1460         s->session->session_id_length = session_id_len;
1461         /* session_id_len could be 0 */
1462         if (session_id_len > 0)
1463             memcpy(s->session->session_id, PACKET_data(&session_id),
1464                    session_id_len);
1465     }
1466
1467     /* Session version and negotiated protocol version should match */
1468     if (s->version != s->session->ssl_version) {
1469         al = SSL_AD_PROTOCOL_VERSION;
1470
1471         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1472                SSL_R_SSL_SESSION_VERSION_MISMATCH);
1473         goto f_err;
1474     }
1475     /*
1476      * Now that we know the version, update the check to see if it's an allowed
1477      * version.
1478      */
1479     s->s3->tmp.min_ver = s->version;
1480     s->s3->tmp.max_ver = s->version;
1481
1482     if (!set_client_ciphersuite(s, cipherchars)) {
1483         al = SSL_AD_ILLEGAL_PARAMETER;
1484         goto f_err;
1485     }
1486
1487 #ifdef OPENSSL_NO_COMP
1488     if (compression != 0) {
1489         al = SSL_AD_ILLEGAL_PARAMETER;
1490         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1491                SSL_R_UNSUPPORTED_COMPRESSION_ALGORITHM);
1492         goto f_err;
1493     }
1494     /*
1495      * If compression is disabled we'd better not try to resume a session
1496      * using compression.
1497      */
1498     if (s->session->compress_meth != 0) {
1499         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_INCONSISTENT_COMPRESSION);
1500         goto f_err;
1501     }
1502 #else
1503     if (s->hit && compression != s->session->compress_meth) {
1504         al = SSL_AD_ILLEGAL_PARAMETER;
1505         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1506                SSL_R_OLD_SESSION_COMPRESSION_ALGORITHM_NOT_RETURNED);
1507         goto f_err;
1508     }
1509     if (compression == 0)
1510         comp = NULL;
1511     else if (!ssl_allow_compression(s)) {
1512         al = SSL_AD_ILLEGAL_PARAMETER;
1513         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_COMPRESSION_DISABLED);
1514         goto f_err;
1515     } else {
1516         comp = ssl3_comp_find(s->ctx->comp_methods, compression);
1517     }
1518
1519     if (compression != 0 && comp == NULL) {
1520         al = SSL_AD_ILLEGAL_PARAMETER;
1521         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1522                SSL_R_UNSUPPORTED_COMPRESSION_ALGORITHM);
1523         goto f_err;
1524     } else {
1525         s->s3->tmp.new_compression = comp;
1526     }
1527 #endif
1528
1529     if (!tls_parse_all_extensions(s, context, extensions, NULL, 0, &al, 1))
1530         goto f_err;
1531
1532 #ifndef OPENSSL_NO_SCTP
1533     if (SSL_IS_DTLS(s) && s->hit) {
1534         unsigned char sctpauthkey[64];
1535         char labelbuffer[sizeof(DTLS1_SCTP_AUTH_LABEL)];
1536
1537         /*
1538          * Add new shared key for SCTP-Auth, will be ignored if
1539          * no SCTP used.
1540          */
1541         memcpy(labelbuffer, DTLS1_SCTP_AUTH_LABEL,
1542                sizeof(DTLS1_SCTP_AUTH_LABEL));
1543
1544         if (SSL_export_keying_material(s, sctpauthkey,
1545                                        sizeof(sctpauthkey),
1546                                        labelbuffer,
1547                                        sizeof(labelbuffer), NULL, 0, 0) <= 0)
1548             goto f_err;
1549
1550         BIO_ctrl(SSL_get_wbio(s),
1551                  BIO_CTRL_DGRAM_SCTP_ADD_AUTH_KEY,
1552                  sizeof(sctpauthkey), sctpauthkey);
1553     }
1554 #endif
1555
1556     /*
1557      * In TLSv1.3 we have some post-processing to change cipher state, otherwise
1558      * we're done with this message
1559      */
1560     if (SSL_IS_TLS13(s)
1561             && (!s->method->ssl3_enc->setup_key_block(s)
1562                 || !s->method->ssl3_enc->change_cipher_state(s,
1563                     SSL3_CC_HANDSHAKE | SSL3_CHANGE_CIPHER_CLIENT_READ))) {
1564         al = SSL_AD_INTERNAL_ERROR;
1565         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_CANNOT_CHANGE_CIPHER);
1566         goto f_err;
1567     }
1568
1569     OPENSSL_free(extensions);
1570     return MSG_PROCESS_CONTINUE_READING;
1571  f_err:
1572     ssl3_send_alert(s, SSL3_AL_FATAL, al);
1573     ossl_statem_set_error(s);
1574     OPENSSL_free(extensions);
1575     return MSG_PROCESS_ERROR;
1576 }
1577
1578 static MSG_PROCESS_RETURN tls_process_hello_retry_request(SSL *s, PACKET *pkt)
1579 {
1580     unsigned int sversion;
1581     int errorcode;
1582     const unsigned char *cipherchars;
1583     RAW_EXTENSION *extensions = NULL;
1584     int al;
1585     PACKET extpkt;
1586
1587     if (!PACKET_get_net_2(pkt, &sversion)) {
1588         al = SSL_AD_DECODE_ERROR;
1589         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST, SSL_R_LENGTH_MISMATCH);
1590         goto f_err;
1591     }
1592
1593     s->hello_retry_request = 1;
1594
1595     /* This will fail if it doesn't choose TLSv1.3+ */
1596     errorcode = ssl_choose_client_version(s, sversion, 0, &al);
1597     if (errorcode != 0) {
1598         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST, errorcode);
1599         goto f_err;
1600     }
1601
1602     if (!PACKET_get_bytes(pkt, &cipherchars, TLS_CIPHER_LEN)) {
1603         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST, SSL_R_LENGTH_MISMATCH);
1604         al = SSL_AD_DECODE_ERROR;
1605         goto f_err;
1606     }
1607
1608     if (!set_client_ciphersuite(s, cipherchars)) {
1609         al = SSL_AD_ILLEGAL_PARAMETER;
1610         goto f_err;
1611     }
1612
1613     if (!PACKET_as_length_prefixed_2(pkt, &extpkt)
1614                /* Must have a non-empty extensions block */
1615             || PACKET_remaining(&extpkt) == 0
1616                /* Must be no trailing data after extensions */
1617             || PACKET_remaining(pkt) != 0) {
1618         al = SSL_AD_DECODE_ERROR;
1619         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST, SSL_R_BAD_LENGTH);
1620         goto f_err;
1621     }
1622
1623     if (!tls_collect_extensions(s, &extpkt, SSL_EXT_TLS1_3_HELLO_RETRY_REQUEST,
1624                                 &extensions, &al, NULL, 1)
1625             || !tls_parse_all_extensions(s, SSL_EXT_TLS1_3_HELLO_RETRY_REQUEST,
1626                                          extensions, NULL, 0, &al, 1))
1627         goto f_err;
1628
1629     OPENSSL_free(extensions);
1630     extensions = NULL;
1631
1632     if (s->ext.tls13_cookie_len == 0 && s->s3->tmp.pkey != NULL) {
1633         /*
1634          * We didn't receive a cookie or a new key_share so the next
1635          * ClientHello will not change
1636          */
1637         al = SSL_AD_ILLEGAL_PARAMETER;
1638         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST,
1639                SSL_R_NO_CHANGE_FOLLOWING_HRR);
1640         goto f_err;
1641     }
1642
1643     /*
1644      * Re-initialise the Transcript Hash. We're going to prepopulate it with
1645      * a synthetic message_hash in place of ClientHello1.
1646      */
1647     if (!create_synthetic_message_hash(s)) {
1648         al = SSL_AD_INTERNAL_ERROR;
1649         goto f_err;
1650     }
1651
1652     /*
1653      * Add this message to the Transcript Hash. Normally this is done
1654      * automatically prior to the message processing stage. However due to the
1655      * need to create the synthetic message hash, we defer that step until now
1656      * for HRR messages.
1657      */
1658     if (!ssl3_finish_mac(s, (unsigned char *)s->init_buf->data,
1659                                 s->init_num + SSL3_HM_HEADER_LENGTH)) {
1660         al = SSL_AD_INTERNAL_ERROR;
1661         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST, ERR_R_INTERNAL_ERROR);
1662         goto f_err;
1663     }
1664
1665     return MSG_PROCESS_FINISHED_READING;
1666  f_err:
1667     ssl3_send_alert(s, SSL3_AL_FATAL, al);
1668     ossl_statem_set_error(s);
1669     OPENSSL_free(extensions);
1670     return MSG_PROCESS_ERROR;
1671 }
1672
1673 MSG_PROCESS_RETURN tls_process_server_certificate(SSL *s, PACKET *pkt)
1674 {
1675     int al, i, ret = MSG_PROCESS_ERROR, exp_idx;
1676     unsigned long cert_list_len, cert_len;
1677     X509 *x = NULL;
1678     const unsigned char *certstart, *certbytes;
1679     STACK_OF(X509) *sk = NULL;
1680     EVP_PKEY *pkey = NULL;
1681     size_t chainidx;
1682     unsigned int context = 0;
1683
1684     if ((sk = sk_X509_new_null()) == NULL) {
1685         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, ERR_R_MALLOC_FAILURE);
1686         goto err;
1687     }
1688
1689     if ((SSL_IS_TLS13(s) && !PACKET_get_1(pkt, &context))
1690             || context != 0
1691             || !PACKET_get_net_3(pkt, &cert_list_len)
1692             || PACKET_remaining(pkt) != cert_list_len
1693             || PACKET_remaining(pkt) == 0) {
1694         al = SSL_AD_DECODE_ERROR;
1695         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, SSL_R_LENGTH_MISMATCH);
1696         goto f_err;
1697     }
1698     for (chainidx = 0; PACKET_remaining(pkt); chainidx++) {
1699         if (!PACKET_get_net_3(pkt, &cert_len)
1700             || !PACKET_get_bytes(pkt, &certbytes, cert_len)) {
1701             al = SSL_AD_DECODE_ERROR;
1702             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1703                    SSL_R_CERT_LENGTH_MISMATCH);
1704             goto f_err;
1705         }
1706
1707         certstart = certbytes;
1708         x = d2i_X509(NULL, (const unsigned char **)&certbytes, cert_len);
1709         if (x == NULL) {
1710             al = SSL_AD_BAD_CERTIFICATE;
1711             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, ERR_R_ASN1_LIB);
1712             goto f_err;
1713         }
1714         if (certbytes != (certstart + cert_len)) {
1715             al = SSL_AD_DECODE_ERROR;
1716             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1717                    SSL_R_CERT_LENGTH_MISMATCH);
1718             goto f_err;
1719         }
1720
1721         if (SSL_IS_TLS13(s)) {
1722             RAW_EXTENSION *rawexts = NULL;
1723             PACKET extensions;
1724
1725             if (!PACKET_get_length_prefixed_2(pkt, &extensions)) {
1726                 al = SSL_AD_DECODE_ERROR;
1727                 SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, SSL_R_BAD_LENGTH);
1728                 goto f_err;
1729             }
1730             if (!tls_collect_extensions(s, &extensions,
1731                                         SSL_EXT_TLS1_3_CERTIFICATE, &rawexts,
1732                                         &al, NULL, chainidx == 0)
1733                 || !tls_parse_all_extensions(s, SSL_EXT_TLS1_3_CERTIFICATE,
1734                                              rawexts, x, chainidx, &al,
1735                                              PACKET_remaining(pkt) == 0)) {
1736                 OPENSSL_free(rawexts);
1737                 goto f_err;
1738             }
1739             OPENSSL_free(rawexts);
1740         }
1741
1742         if (!sk_X509_push(sk, x)) {
1743             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, ERR_R_MALLOC_FAILURE);
1744             goto err;
1745         }
1746         x = NULL;
1747     }
1748
1749     i = ssl_verify_cert_chain(s, sk);
1750     /*
1751      * The documented interface is that SSL_VERIFY_PEER should be set in order
1752      * for client side verification of the server certificate to take place.
1753      * However, historically the code has only checked that *any* flag is set
1754      * to cause server verification to take place. Use of the other flags makes
1755      * no sense in client mode. An attempt to clean up the semantics was
1756      * reverted because at least one application *only* set
1757      * SSL_VERIFY_FAIL_IF_NO_PEER_CERT. Prior to the clean up this still caused
1758      * server verification to take place, after the clean up it silently did
1759      * nothing. SSL_CTX_set_verify()/SSL_set_verify() cannot validate the flags
1760      * sent to them because they are void functions. Therefore, we now use the
1761      * (less clean) historic behaviour of performing validation if any flag is
1762      * set. The *documented* interface remains the same.
1763      */
1764     if (s->verify_mode != SSL_VERIFY_NONE && i <= 0) {
1765         al = ssl_verify_alarm_type(s->verify_result);
1766         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1767                SSL_R_CERTIFICATE_VERIFY_FAILED);
1768         goto f_err;
1769     }
1770     ERR_clear_error();          /* but we keep s->verify_result */
1771     if (i > 1) {
1772         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, i);
1773         al = SSL_AD_HANDSHAKE_FAILURE;
1774         goto f_err;
1775     }
1776
1777     s->session->peer_chain = sk;
1778     /*
1779      * Inconsistency alert: cert_chain does include the peer's certificate,
1780      * which we don't include in statem_srvr.c
1781      */
1782     x = sk_X509_value(sk, 0);
1783     sk = NULL;
1784     /*
1785      * VRS 19990621: possible memory leak; sk=null ==> !sk_pop_free() @end
1786      */
1787
1788     pkey = X509_get0_pubkey(x);
1789
1790     if (pkey == NULL || EVP_PKEY_missing_parameters(pkey)) {
1791         x = NULL;
1792         al = SSL_AD_INTERNAL_ERROR;
1793         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1794                SSL_R_UNABLE_TO_FIND_PUBLIC_KEY_PARAMETERS);
1795         goto f_err;
1796     }
1797
1798     i = ssl_cert_type(x, pkey);
1799     if (i < 0) {
1800         x = NULL;
1801         al = SSL3_AL_FATAL;
1802         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1803                SSL_R_UNKNOWN_CERTIFICATE_TYPE);
1804         goto f_err;
1805     }
1806     /*
1807      * Check certificate type is consistent with ciphersuite. For TLS 1.3
1808      * skip check since TLS 1.3 ciphersuites can be used with any certificate
1809      * type.
1810      */
1811     if (!SSL_IS_TLS13(s)) {
1812         exp_idx = ssl_cipher_get_cert_index(s->s3->tmp.new_cipher);
1813         if (exp_idx >= 0 && i != exp_idx
1814             && (exp_idx != SSL_PKEY_GOST_EC ||
1815                 (i != SSL_PKEY_GOST12_512 && i != SSL_PKEY_GOST12_256
1816                  && i != SSL_PKEY_GOST01))) {
1817             x = NULL;
1818             al = SSL_AD_ILLEGAL_PARAMETER;
1819             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1820                    SSL_R_WRONG_CERTIFICATE_TYPE);
1821             goto f_err;
1822         }
1823     }
1824     s->session->peer_type = i;
1825
1826     X509_free(s->session->peer);
1827     X509_up_ref(x);
1828     s->session->peer = x;
1829     s->session->verify_result = s->verify_result;
1830     x = NULL;
1831
1832     /* Save the current hash state for when we receive the CertificateVerify */
1833     if (SSL_IS_TLS13(s)
1834             && !ssl_handshake_hash(s, s->cert_verify_hash,
1835                                    sizeof(s->cert_verify_hash),
1836                                    &s->cert_verify_hash_len)) {
1837         al = SSL_AD_INTERNAL_ERROR;
1838         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, ERR_R_INTERNAL_ERROR);
1839         goto f_err;
1840     }
1841
1842     ret = MSG_PROCESS_CONTINUE_READING;
1843     goto done;
1844
1845  f_err:
1846     ssl3_send_alert(s, SSL3_AL_FATAL, al);
1847  err:
1848     ossl_statem_set_error(s);
1849  done:
1850     X509_free(x);
1851     sk_X509_pop_free(sk, X509_free);
1852     return ret;
1853 }
1854
1855 static int tls_process_ske_psk_preamble(SSL *s, PACKET *pkt, int *al)
1856 {
1857 #ifndef OPENSSL_NO_PSK
1858     PACKET psk_identity_hint;
1859
1860     /* PSK ciphersuites are preceded by an identity hint */
1861
1862     if (!PACKET_get_length_prefixed_2(pkt, &psk_identity_hint)) {
1863         *al = SSL_AD_DECODE_ERROR;
1864         SSLerr(SSL_F_TLS_PROCESS_SKE_PSK_PREAMBLE, SSL_R_LENGTH_MISMATCH);
1865         return 0;
1866     }
1867
1868     /*
1869      * Store PSK identity hint for later use, hint is used in
1870      * tls_construct_client_key_exchange.  Assume that the maximum length of
1871      * a PSK identity hint can be as long as the maximum length of a PSK
1872      * identity.
1873      */
1874     if (PACKET_remaining(&psk_identity_hint) > PSK_MAX_IDENTITY_LEN) {
1875         *al = SSL_AD_HANDSHAKE_FAILURE;
1876         SSLerr(SSL_F_TLS_PROCESS_SKE_PSK_PREAMBLE, SSL_R_DATA_LENGTH_TOO_LONG);
1877         return 0;
1878     }
1879
1880     if (PACKET_remaining(&psk_identity_hint) == 0) {
1881         OPENSSL_free(s->session->psk_identity_hint);
1882         s->session->psk_identity_hint = NULL;
1883     } else if (!PACKET_strndup(&psk_identity_hint,
1884                                &s->session->psk_identity_hint)) {
1885         *al = SSL_AD_INTERNAL_ERROR;
1886         return 0;
1887     }
1888
1889     return 1;
1890 #else
1891     SSLerr(SSL_F_TLS_PROCESS_SKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
1892     *al = SSL_AD_INTERNAL_ERROR;
1893     return 0;
1894 #endif
1895 }
1896
1897 static int tls_process_ske_srp(SSL *s, PACKET *pkt, EVP_PKEY **pkey, int *al)
1898 {
1899 #ifndef OPENSSL_NO_SRP
1900     PACKET prime, generator, salt, server_pub;
1901
1902     if (!PACKET_get_length_prefixed_2(pkt, &prime)
1903         || !PACKET_get_length_prefixed_2(pkt, &generator)
1904         || !PACKET_get_length_prefixed_1(pkt, &salt)
1905         || !PACKET_get_length_prefixed_2(pkt, &server_pub)) {
1906         *al = SSL_AD_DECODE_ERROR;
1907         SSLerr(SSL_F_TLS_PROCESS_SKE_SRP, SSL_R_LENGTH_MISMATCH);
1908         return 0;
1909     }
1910
1911     /* TODO(size_t): Convert BN_bin2bn() calls */
1912     if ((s->srp_ctx.N =
1913          BN_bin2bn(PACKET_data(&prime),
1914                    (int)PACKET_remaining(&prime), NULL)) == NULL
1915         || (s->srp_ctx.g =
1916             BN_bin2bn(PACKET_data(&generator),
1917                       (int)PACKET_remaining(&generator), NULL)) == NULL
1918         || (s->srp_ctx.s =
1919             BN_bin2bn(PACKET_data(&salt),
1920                       (int)PACKET_remaining(&salt), NULL)) == NULL
1921         || (s->srp_ctx.B =
1922             BN_bin2bn(PACKET_data(&server_pub),
1923                       (int)PACKET_remaining(&server_pub), NULL)) == NULL) {
1924         *al = SSL_AD_INTERNAL_ERROR;
1925         SSLerr(SSL_F_TLS_PROCESS_SKE_SRP, ERR_R_BN_LIB);
1926         return 0;
1927     }
1928
1929     if (!srp_verify_server_param(s, al)) {
1930         SSLerr(SSL_F_TLS_PROCESS_SKE_SRP, SSL_R_BAD_SRP_PARAMETERS);
1931         return 0;
1932     }
1933
1934     /* We must check if there is a certificate */
1935     if (s->s3->tmp.new_cipher->algorithm_auth & (SSL_aRSA | SSL_aDSS))
1936         *pkey = X509_get0_pubkey(s->session->peer);
1937
1938     return 1;
1939 #else
1940     SSLerr(SSL_F_TLS_PROCESS_SKE_SRP, ERR_R_INTERNAL_ERROR);
1941     *al = SSL_AD_INTERNAL_ERROR;
1942     return 0;
1943 #endif
1944 }
1945
1946 static int tls_process_ske_dhe(SSL *s, PACKET *pkt, EVP_PKEY **pkey, int *al)
1947 {
1948 #ifndef OPENSSL_NO_DH
1949     PACKET prime, generator, pub_key;
1950     EVP_PKEY *peer_tmp = NULL;
1951
1952     DH *dh = NULL;
1953     BIGNUM *p = NULL, *g = NULL, *bnpub_key = NULL;
1954
1955     int check_bits = 0;
1956
1957     if (!PACKET_get_length_prefixed_2(pkt, &prime)
1958         || !PACKET_get_length_prefixed_2(pkt, &generator)
1959         || !PACKET_get_length_prefixed_2(pkt, &pub_key)) {
1960         *al = SSL_AD_DECODE_ERROR;
1961         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, SSL_R_LENGTH_MISMATCH);
1962         return 0;
1963     }
1964
1965     peer_tmp = EVP_PKEY_new();
1966     dh = DH_new();
1967
1968     if (peer_tmp == NULL || dh == NULL) {
1969         *al = SSL_AD_INTERNAL_ERROR;
1970         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_MALLOC_FAILURE);
1971         goto err;
1972     }
1973
1974     /* TODO(size_t): Convert these calls */
1975     p = BN_bin2bn(PACKET_data(&prime), (int)PACKET_remaining(&prime), NULL);
1976     g = BN_bin2bn(PACKET_data(&generator), (int)PACKET_remaining(&generator),
1977                   NULL);
1978     bnpub_key = BN_bin2bn(PACKET_data(&pub_key),
1979                           (int)PACKET_remaining(&pub_key), NULL);
1980     if (p == NULL || g == NULL || bnpub_key == NULL) {
1981         *al = SSL_AD_INTERNAL_ERROR;
1982         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_BN_LIB);
1983         goto err;
1984     }
1985
1986     /* test non-zero pubkey */
1987     if (BN_is_zero(bnpub_key)) {
1988         *al = SSL_AD_ILLEGAL_PARAMETER;
1989         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, SSL_R_BAD_DH_VALUE);
1990         goto err;
1991     }
1992
1993     if (!DH_set0_pqg(dh, p, NULL, g)) {
1994         *al = SSL_AD_INTERNAL_ERROR;
1995         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_BN_LIB);
1996         goto err;
1997     }
1998     p = g = NULL;
1999
2000     if (DH_check_params(dh, &check_bits) == 0 || check_bits != 0) {
2001         *al = SSL_AD_ILLEGAL_PARAMETER;
2002         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, SSL_R_BAD_DH_VALUE);
2003         goto err;
2004     }
2005
2006     if (!DH_set0_key(dh, bnpub_key, NULL)) {
2007         *al = SSL_AD_INTERNAL_ERROR;
2008         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_BN_LIB);
2009         goto err;
2010     }
2011     bnpub_key = NULL;
2012
2013     if (!ssl_security(s, SSL_SECOP_TMP_DH, DH_security_bits(dh), 0, dh)) {
2014         *al = SSL_AD_HANDSHAKE_FAILURE;
2015         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, SSL_R_DH_KEY_TOO_SMALL);
2016         goto err;
2017     }
2018
2019     if (EVP_PKEY_assign_DH(peer_tmp, dh) == 0) {
2020         *al = SSL_AD_INTERNAL_ERROR;
2021         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_EVP_LIB);
2022         goto err;
2023     }
2024
2025     s->s3->peer_tmp = peer_tmp;
2026
2027     /*
2028      * FIXME: This makes assumptions about which ciphersuites come with
2029      * public keys. We should have a less ad-hoc way of doing this
2030      */
2031     if (s->s3->tmp.new_cipher->algorithm_auth & (SSL_aRSA | SSL_aDSS))
2032         *pkey = X509_get0_pubkey(s->session->peer);
2033     /* else anonymous DH, so no certificate or pkey. */
2034
2035     return 1;
2036
2037  err:
2038     BN_free(p);
2039     BN_free(g);
2040     BN_free(bnpub_key);
2041     DH_free(dh);
2042     EVP_PKEY_free(peer_tmp);
2043
2044     return 0;
2045 #else
2046     SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_INTERNAL_ERROR);
2047     *al = SSL_AD_INTERNAL_ERROR;
2048     return 0;
2049 #endif
2050 }
2051
2052 static int tls_process_ske_ecdhe(SSL *s, PACKET *pkt, EVP_PKEY **pkey, int *al)
2053 {
2054 #ifndef OPENSSL_NO_EC
2055     PACKET encoded_pt;
2056     const unsigned char *ecparams;
2057     int curve_nid;
2058     unsigned int curve_flags;
2059     EVP_PKEY_CTX *pctx = NULL;
2060
2061     /*
2062      * Extract elliptic curve parameters and the server's ephemeral ECDH
2063      * public key. For now we only support named (not generic) curves and
2064      * ECParameters in this case is just three bytes.
2065      */
2066     if (!PACKET_get_bytes(pkt, &ecparams, 3)) {
2067         *al = SSL_AD_DECODE_ERROR;
2068         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, SSL_R_LENGTH_TOO_SHORT);
2069         return 0;
2070     }
2071     /*
2072      * Check curve is one of our preferences, if not server has sent an
2073      * invalid curve. ECParameters is 3 bytes.
2074      */
2075     if (!tls1_check_curve(s, ecparams, 3)) {
2076         *al = SSL_AD_ILLEGAL_PARAMETER;
2077         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, SSL_R_WRONG_CURVE);
2078         return 0;
2079     }
2080
2081     curve_nid = tls1_ec_curve_id2nid(*(ecparams + 2), &curve_flags);
2082
2083     if (curve_nid == 0) {
2084         *al = SSL_AD_INTERNAL_ERROR;
2085         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE,
2086                SSL_R_UNABLE_TO_FIND_ECDH_PARAMETERS);
2087         return 0;
2088     }
2089
2090     if ((curve_flags & TLS_CURVE_TYPE) == TLS_CURVE_CUSTOM) {
2091         EVP_PKEY *key = EVP_PKEY_new();
2092
2093         if (key == NULL || !EVP_PKEY_set_type(key, curve_nid)) {
2094             *al = SSL_AD_INTERNAL_ERROR;
2095             SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, ERR_R_EVP_LIB);
2096             EVP_PKEY_free(key);
2097             return 0;
2098         }
2099         s->s3->peer_tmp = key;
2100     } else {
2101         /* Set up EVP_PKEY with named curve as parameters */
2102         pctx = EVP_PKEY_CTX_new_id(EVP_PKEY_EC, NULL);
2103         if (pctx == NULL
2104             || EVP_PKEY_paramgen_init(pctx) <= 0
2105             || EVP_PKEY_CTX_set_ec_paramgen_curve_nid(pctx, curve_nid) <= 0
2106             || EVP_PKEY_paramgen(pctx, &s->s3->peer_tmp) <= 0) {
2107             *al = SSL_AD_INTERNAL_ERROR;
2108             SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, ERR_R_EVP_LIB);
2109             EVP_PKEY_CTX_free(pctx);
2110             return 0;
2111         }
2112         EVP_PKEY_CTX_free(pctx);
2113         pctx = NULL;
2114     }
2115
2116     if (!PACKET_get_length_prefixed_1(pkt, &encoded_pt)) {
2117         *al = SSL_AD_DECODE_ERROR;
2118         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, SSL_R_LENGTH_MISMATCH);
2119         return 0;
2120     }
2121
2122     if (!EVP_PKEY_set1_tls_encodedpoint(s->s3->peer_tmp,
2123                                         PACKET_data(&encoded_pt),
2124                                         PACKET_remaining(&encoded_pt))) {
2125         *al = SSL_AD_ILLEGAL_PARAMETER;
2126         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, SSL_R_BAD_ECPOINT);
2127         return 0;
2128     }
2129
2130     /*
2131      * The ECC/TLS specification does not mention the use of DSA to sign
2132      * ECParameters in the server key exchange message. We do support RSA
2133      * and ECDSA.
2134      */
2135     if (s->s3->tmp.new_cipher->algorithm_auth & SSL_aECDSA)
2136         *pkey = X509_get0_pubkey(s->session->peer);
2137     else if (s->s3->tmp.new_cipher->algorithm_auth & SSL_aRSA)
2138         *pkey = X509_get0_pubkey(s->session->peer);
2139     /* else anonymous ECDH, so no certificate or pkey. */
2140
2141     return 1;
2142 #else
2143     SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, ERR_R_INTERNAL_ERROR);
2144     *al = SSL_AD_INTERNAL_ERROR;
2145     return 0;
2146 #endif
2147 }
2148
2149 MSG_PROCESS_RETURN tls_process_key_exchange(SSL *s, PACKET *pkt)
2150 {
2151     int al = -1;
2152     long alg_k;
2153     EVP_PKEY *pkey = NULL;
2154     EVP_MD_CTX *md_ctx = NULL;
2155     EVP_PKEY_CTX *pctx = NULL;
2156     PACKET save_param_start, signature;
2157
2158     alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
2159
2160     save_param_start = *pkt;
2161
2162 #if !defined(OPENSSL_NO_EC) || !defined(OPENSSL_NO_DH)
2163     EVP_PKEY_free(s->s3->peer_tmp);
2164     s->s3->peer_tmp = NULL;
2165 #endif
2166
2167     if (alg_k & SSL_PSK) {
2168         if (!tls_process_ske_psk_preamble(s, pkt, &al))
2169             goto err;
2170     }
2171
2172     /* Nothing else to do for plain PSK or RSAPSK */
2173     if (alg_k & (SSL_kPSK | SSL_kRSAPSK)) {
2174     } else if (alg_k & SSL_kSRP) {
2175         if (!tls_process_ske_srp(s, pkt, &pkey, &al))
2176             goto err;
2177     } else if (alg_k & (SSL_kDHE | SSL_kDHEPSK)) {
2178         if (!tls_process_ske_dhe(s, pkt, &pkey, &al))
2179             goto err;
2180     } else if (alg_k & (SSL_kECDHE | SSL_kECDHEPSK)) {
2181         if (!tls_process_ske_ecdhe(s, pkt, &pkey, &al))
2182             goto err;
2183     } else if (alg_k) {
2184         al = SSL_AD_UNEXPECTED_MESSAGE;
2185         SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_UNEXPECTED_MESSAGE);
2186         goto err;
2187     }
2188
2189     /* if it was signed, check the signature */
2190     if (pkey != NULL) {
2191         PACKET params;
2192         int maxsig;
2193         const EVP_MD *md = NULL;
2194
2195         /*
2196          * |pkt| now points to the beginning of the signature, so the difference
2197          * equals the length of the parameters.
2198          */
2199         if (!PACKET_get_sub_packet(&save_param_start, &params,
2200                                    PACKET_remaining(&save_param_start) -
2201                                    PACKET_remaining(pkt))) {
2202             al = SSL_AD_DECODE_ERROR;
2203             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
2204             goto err;
2205         }
2206
2207         if (SSL_USE_SIGALGS(s)) {
2208             unsigned int sigalg;
2209             int rv;
2210
2211             if (!PACKET_get_net_2(pkt, &sigalg)) {
2212                 al = SSL_AD_DECODE_ERROR;
2213                 SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_LENGTH_TOO_SHORT);
2214                 goto err;
2215             }
2216             rv = tls12_check_peer_sigalg(s, sigalg, pkey);
2217             if (rv == -1) {
2218                 al = SSL_AD_INTERNAL_ERROR;
2219                 goto err;
2220             } else if (rv == 0) {
2221                 al = SSL_AD_DECODE_ERROR;
2222                 goto err;
2223             }
2224 #ifdef SSL_DEBUG
2225             fprintf(stderr, "USING TLSv1.2 HASH %s\n", EVP_MD_name(md));
2226 #endif
2227         } else if (!tls1_set_peer_legacy_sigalg(s, pkey)) {
2228             al = SSL_AD_INTERNAL_ERROR;
2229             goto err;
2230         }
2231
2232         md = ssl_md(s->s3->tmp.peer_sigalg->hash_idx);
2233
2234         if (!PACKET_get_length_prefixed_2(pkt, &signature)
2235             || PACKET_remaining(pkt) != 0) {
2236             al = SSL_AD_DECODE_ERROR;
2237             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_LENGTH_MISMATCH);
2238             goto err;
2239         }
2240         maxsig = EVP_PKEY_size(pkey);
2241         if (maxsig < 0) {
2242             al = SSL_AD_INTERNAL_ERROR;
2243             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
2244             goto err;
2245         }
2246
2247         /*
2248          * Check signature length
2249          */
2250         if (PACKET_remaining(&signature) > (size_t)maxsig) {
2251             /* wrong packet length */
2252             al = SSL_AD_DECODE_ERROR;
2253             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE,
2254                    SSL_R_WRONG_SIGNATURE_LENGTH);
2255             goto err;
2256         }
2257
2258         md_ctx = EVP_MD_CTX_new();
2259         if (md_ctx == NULL) {
2260             al = SSL_AD_INTERNAL_ERROR;
2261             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_MALLOC_FAILURE);
2262             goto err;
2263         }
2264
2265         if (EVP_DigestVerifyInit(md_ctx, &pctx, md, NULL, pkey) <= 0) {
2266             al = SSL_AD_INTERNAL_ERROR;
2267             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_EVP_LIB);
2268             goto err;
2269         }
2270         if (SSL_USE_PSS(s)) {
2271             if (EVP_PKEY_CTX_set_rsa_padding(pctx, RSA_PKCS1_PSS_PADDING) <= 0
2272                 || EVP_PKEY_CTX_set_rsa_pss_saltlen(pctx,
2273                                                 RSA_PSS_SALTLEN_DIGEST) <= 0) {
2274                 al = SSL_AD_INTERNAL_ERROR;
2275                 SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_EVP_LIB);
2276                 goto err;
2277             }
2278         }
2279         if (EVP_DigestVerifyUpdate(md_ctx, &(s->s3->client_random[0]),
2280                                    SSL3_RANDOM_SIZE) <= 0
2281                 || EVP_DigestVerifyUpdate(md_ctx, &(s->s3->server_random[0]),
2282                                           SSL3_RANDOM_SIZE) <= 0
2283                 || EVP_DigestVerifyUpdate(md_ctx, PACKET_data(&params),
2284                                           PACKET_remaining(&params)) <= 0) {
2285             al = SSL_AD_INTERNAL_ERROR;
2286             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_EVP_LIB);
2287             goto err;
2288         }
2289         if (EVP_DigestVerifyFinal(md_ctx, PACKET_data(&signature),
2290                                   PACKET_remaining(&signature)) <= 0) {
2291             /* bad signature */
2292             al = SSL_AD_DECRYPT_ERROR;
2293             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_BAD_SIGNATURE);
2294             goto err;
2295         }
2296         EVP_MD_CTX_free(md_ctx);
2297         md_ctx = NULL;
2298     } else {
2299         /* aNULL, aSRP or PSK do not need public keys */
2300         if (!(s->s3->tmp.new_cipher->algorithm_auth & (SSL_aNULL | SSL_aSRP))
2301             && !(alg_k & SSL_PSK)) {
2302             /* Might be wrong key type, check it */
2303             if (ssl3_check_cert_and_algorithm(s)) {
2304                 /* Otherwise this shouldn't happen */
2305                 al = SSL_AD_INTERNAL_ERROR;
2306                 SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
2307             } else {
2308                 al = SSL_AD_DECODE_ERROR;
2309             }
2310             goto err;
2311         }
2312         /* still data left over */
2313         if (PACKET_remaining(pkt) != 0) {
2314             al = SSL_AD_DECODE_ERROR;
2315             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_EXTRA_DATA_IN_MESSAGE);
2316             goto err;
2317         }
2318     }
2319
2320     return MSG_PROCESS_CONTINUE_READING;
2321  err:
2322     if (al != -1)
2323         ssl3_send_alert(s, SSL3_AL_FATAL, al);
2324     ossl_statem_set_error(s);
2325     EVP_MD_CTX_free(md_ctx);
2326     return MSG_PROCESS_ERROR;
2327 }
2328
2329 MSG_PROCESS_RETURN tls_process_certificate_request(SSL *s, PACKET *pkt)
2330 {
2331     int ret = MSG_PROCESS_ERROR;
2332     int al = SSL_AD_DECODE_ERROR;
2333     size_t i;
2334
2335     /* Clear certificate validity flags */
2336     for (i = 0; i < SSL_PKEY_NUM; i++)
2337         s->s3->tmp.valid_flags[i] = 0;
2338
2339     if (SSL_IS_TLS13(s)) {
2340         PACKET reqctx, extensions;
2341         RAW_EXTENSION *rawexts = NULL;
2342
2343         /* Free and zero certificate types: it is not present in TLS 1.3 */
2344         OPENSSL_free(s->s3->tmp.ctype);
2345         s->s3->tmp.ctype = NULL;
2346         s->s3->tmp.ctype_len = 0;
2347
2348         /* TODO(TLS1.3) need to process request context, for now ignore */
2349         if (!PACKET_get_length_prefixed_1(pkt, &reqctx)) {
2350             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2351                    SSL_R_LENGTH_MISMATCH);
2352             goto err;
2353         }
2354
2355         if (!PACKET_get_length_prefixed_2(pkt, &extensions)) {
2356                 SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, SSL_R_BAD_LENGTH);
2357                 goto err;
2358         }
2359         if (!tls_collect_extensions(s, &extensions,
2360                                     SSL_EXT_TLS1_3_CERTIFICATE_REQUEST,
2361                                     &rawexts, &al, NULL, 1)
2362             || !tls_parse_all_extensions(s, SSL_EXT_TLS1_3_CERTIFICATE_REQUEST,
2363                                          rawexts, NULL, 0, &al, 1)) {
2364             OPENSSL_free(rawexts);
2365             goto err;
2366         }
2367         OPENSSL_free(rawexts);
2368         if (!tls1_process_sigalgs(s)) {
2369             al = SSL_AD_INTERNAL_ERROR;
2370             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, ERR_R_MALLOC_FAILURE);
2371             goto err;
2372         }
2373     } else {
2374         PACKET ctypes;
2375
2376         /* get the certificate types */
2377         if (!PACKET_get_length_prefixed_1(pkt, &ctypes)) {
2378             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2379                    SSL_R_LENGTH_MISMATCH);
2380             goto err;
2381         }
2382
2383         if (!PACKET_memdup(&ctypes, &s->s3->tmp.ctype, &s->s3->tmp.ctype_len)) {
2384             al = SSL_AD_INTERNAL_ERROR;
2385             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, ERR_R_INTERNAL_ERROR);
2386             goto err;
2387         }
2388
2389         if (SSL_USE_SIGALGS(s)) {
2390             PACKET sigalgs;
2391
2392             if (!PACKET_get_length_prefixed_2(pkt, &sigalgs)) {
2393                 SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2394                        SSL_R_LENGTH_MISMATCH);
2395                 goto err;
2396             }
2397
2398             if (!tls1_save_sigalgs(s, &sigalgs)) {
2399                 SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2400                        SSL_R_SIGNATURE_ALGORITHMS_ERROR);
2401                 goto err;
2402             }
2403             if (!tls1_process_sigalgs(s)) {
2404                 al = SSL_AD_INTERNAL_ERROR;
2405                 SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2406                        ERR_R_MALLOC_FAILURE);
2407                 goto err;
2408             }
2409         }
2410
2411         /* get the CA RDNs */
2412         if (!parse_ca_names(s, pkt, &al))
2413             goto err;
2414     }
2415
2416     if (PACKET_remaining(pkt) != 0) {
2417         SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, SSL_R_LENGTH_MISMATCH);
2418         goto err;
2419     }
2420
2421     /* we should setup a certificate to return.... */
2422     s->s3->tmp.cert_req = 1;
2423
2424     ret = MSG_PROCESS_CONTINUE_PROCESSING;
2425     goto done;
2426  err:
2427     ssl3_send_alert(s, SSL3_AL_FATAL, al);
2428     ossl_statem_set_error(s);
2429  done:
2430     return ret;
2431 }
2432
2433 MSG_PROCESS_RETURN tls_process_new_session_ticket(SSL *s, PACKET *pkt)
2434 {
2435     int al = SSL_AD_DECODE_ERROR;
2436     unsigned int ticklen;
2437     unsigned long ticket_lifetime_hint, age_add = 0;
2438     unsigned int sess_len;
2439     RAW_EXTENSION *exts = NULL;
2440
2441     if (!PACKET_get_net_4(pkt, &ticket_lifetime_hint)
2442         || (SSL_IS_TLS13(s) && !PACKET_get_net_4(pkt, &age_add))
2443         || !PACKET_get_net_2(pkt, &ticklen)
2444         || (!SSL_IS_TLS13(s) && PACKET_remaining(pkt) != ticklen)
2445         || (SSL_IS_TLS13(s)
2446             && (ticklen == 0 || PACKET_remaining(pkt) < ticklen))) {
2447         SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, SSL_R_LENGTH_MISMATCH);
2448         goto f_err;
2449     }
2450
2451     /*
2452      * Server is allowed to change its mind (in <=TLSv1.2) and send an empty
2453      * ticket. We already checked this TLSv1.3 case above, so it should never
2454      * be 0 here in that instance
2455      */
2456     if (ticklen == 0)
2457         return MSG_PROCESS_CONTINUE_READING;
2458
2459     /*
2460      * Sessions must be immutable once they go into the session cache. Otherwise
2461      * we can get multi-thread problems. Therefore we don't "update" sessions,
2462      * we replace them with a duplicate. In TLSv1.3 we need to do this every
2463      * time a NewSessionTicket arrives because those messages arrive
2464      * post-handshake and the session may have already gone into the session
2465      * cache.
2466      */
2467     if (SSL_IS_TLS13(s) || s->session->session_id_length > 0) {
2468         int i = s->session_ctx->session_cache_mode;
2469         SSL_SESSION *new_sess;
2470         /*
2471          * We reused an existing session, so we need to replace it with a new
2472          * one
2473          */
2474         if (i & SSL_SESS_CACHE_CLIENT) {
2475             /*
2476              * Remove the old session from the cache. We carry on if this fails
2477              */
2478             SSL_CTX_remove_session(s->session_ctx, s->session);
2479         }
2480
2481         if ((new_sess = ssl_session_dup(s->session, 0)) == 0) {
2482             al = SSL_AD_INTERNAL_ERROR;
2483             SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, ERR_R_MALLOC_FAILURE);
2484             goto f_err;
2485         }
2486
2487         SSL_SESSION_free(s->session);
2488         s->session = new_sess;
2489     }
2490
2491     /*
2492      * Technically the cast to long here is not guaranteed by the C standard -
2493      * but we use it elsewhere, so this should be ok.
2494      */
2495     s->session->time = (long)time(NULL);
2496
2497     OPENSSL_free(s->session->ext.tick);
2498     s->session->ext.tick = NULL;
2499     s->session->ext.ticklen = 0;
2500
2501     s->session->ext.tick = OPENSSL_malloc(ticklen);
2502     if (s->session->ext.tick == NULL) {
2503         SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, ERR_R_MALLOC_FAILURE);
2504         goto err;
2505     }
2506     if (!PACKET_copy_bytes(pkt, s->session->ext.tick, ticklen)) {
2507         al = SSL_AD_DECODE_ERROR;
2508         SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, SSL_R_LENGTH_MISMATCH);
2509         goto f_err;
2510     }
2511
2512     s->session->ext.tick_lifetime_hint = ticket_lifetime_hint;
2513     s->session->ext.tick_age_add = age_add;
2514     s->session->ext.ticklen = ticklen;
2515
2516     if (SSL_IS_TLS13(s)) {
2517         PACKET extpkt;
2518
2519         if (!PACKET_as_length_prefixed_2(pkt, &extpkt)
2520                 || PACKET_remaining(pkt) != 0
2521                 || !tls_collect_extensions(s, &extpkt,
2522                                            SSL_EXT_TLS1_3_NEW_SESSION_TICKET,
2523                                            &exts, &al, NULL, 1)
2524                 || !tls_parse_all_extensions(s,
2525                                              SSL_EXT_TLS1_3_NEW_SESSION_TICKET,
2526                                              exts, NULL, 0, &al, 1)) {
2527             SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, SSL_R_BAD_EXTENSION);
2528             goto f_err;
2529         }
2530     }
2531
2532     /*
2533      * There are two ways to detect a resumed ticket session. One is to set
2534      * an appropriate session ID and then the server must return a match in
2535      * ServerHello. This allows the normal client session ID matching to work
2536      * and we know much earlier that the ticket has been accepted. The
2537      * other way is to set zero length session ID when the ticket is
2538      * presented and rely on the handshake to determine session resumption.
2539      * We choose the former approach because this fits in with assumptions
2540      * elsewhere in OpenSSL. The session ID is set to the SHA256 (or SHA1 is
2541      * SHA256 is disabled) hash of the ticket.
2542      */
2543     /*
2544      * TODO(size_t): we use sess_len here because EVP_Digest expects an int
2545      * but s->session->session_id_length is a size_t
2546      */
2547     if (!EVP_Digest(s->session->ext.tick, ticklen,
2548                     s->session->session_id, &sess_len,
2549                     EVP_sha256(), NULL)) {
2550         SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, ERR_R_EVP_LIB);
2551         goto err;
2552     }
2553     s->session->session_id_length = sess_len;
2554
2555     /* This is a standalone message in TLSv1.3, so there is no more to read */
2556     if (SSL_IS_TLS13(s)) {
2557         OPENSSL_free(exts);
2558         ssl_update_cache(s, SSL_SESS_CACHE_CLIENT);
2559         return MSG_PROCESS_FINISHED_READING;
2560     }
2561
2562     return MSG_PROCESS_CONTINUE_READING;
2563  f_err:
2564     ssl3_send_alert(s, SSL3_AL_FATAL, al);
2565  err:
2566     ossl_statem_set_error(s);
2567     OPENSSL_free(exts);
2568     return MSG_PROCESS_ERROR;
2569 }
2570
2571 /*
2572  * In TLSv1.3 this is called from the extensions code, otherwise it is used to
2573  * parse a separate message. Returns 1 on success or 0 on failure. On failure
2574  * |*al| is populated with a suitable alert code.
2575  */
2576 int tls_process_cert_status_body(SSL *s, PACKET *pkt, int *al)
2577 {
2578     size_t resplen;
2579     unsigned int type;
2580
2581     if (!PACKET_get_1(pkt, &type)
2582         || type != TLSEXT_STATUSTYPE_ocsp) {
2583         *al = SSL_AD_DECODE_ERROR;
2584         SSLerr(SSL_F_TLS_PROCESS_CERT_STATUS_BODY,
2585                SSL_R_UNSUPPORTED_STATUS_TYPE);
2586         return 0;
2587     }
2588     if (!PACKET_get_net_3_len(pkt, &resplen)
2589         || PACKET_remaining(pkt) != resplen) {
2590         *al = SSL_AD_DECODE_ERROR;
2591         SSLerr(SSL_F_TLS_PROCESS_CERT_STATUS_BODY, SSL_R_LENGTH_MISMATCH);
2592         return 0;
2593     }
2594     s->ext.ocsp.resp = OPENSSL_malloc(resplen);
2595     if (s->ext.ocsp.resp == NULL) {
2596         *al = SSL_AD_INTERNAL_ERROR;
2597         SSLerr(SSL_F_TLS_PROCESS_CERT_STATUS_BODY, ERR_R_MALLOC_FAILURE);
2598         return 0;
2599     }
2600     if (!PACKET_copy_bytes(pkt, s->ext.ocsp.resp, resplen)) {
2601         *al = SSL_AD_DECODE_ERROR;
2602         SSLerr(SSL_F_TLS_PROCESS_CERT_STATUS_BODY, SSL_R_LENGTH_MISMATCH);
2603         return 0;
2604     }
2605     s->ext.ocsp.resp_len = resplen;
2606
2607     return 1;
2608 }
2609
2610
2611 MSG_PROCESS_RETURN tls_process_cert_status(SSL *s, PACKET *pkt)
2612 {
2613     int al;
2614
2615     if (!tls_process_cert_status_body(s, pkt, &al)) {
2616         ssl3_send_alert(s, SSL3_AL_FATAL, al);
2617         ossl_statem_set_error(s);
2618         return MSG_PROCESS_ERROR;
2619     }
2620
2621     return MSG_PROCESS_CONTINUE_READING;
2622 }
2623
2624 /*
2625  * Perform miscellaneous checks and processing after we have received the
2626  * server's initial flight. In TLS1.3 this is after the Server Finished message.
2627  * In <=TLS1.2 this is after the ServerDone message. Returns 1 on success or 0
2628  * on failure.
2629  */
2630 int tls_process_initial_server_flight(SSL *s, int *al)
2631 {
2632     /*
2633      * at this point we check that we have the required stuff from
2634      * the server
2635      */
2636     if (!ssl3_check_cert_and_algorithm(s)) {
2637         *al = SSL_AD_HANDSHAKE_FAILURE;
2638         return 0;
2639     }
2640
2641     /*
2642      * Call the ocsp status callback if needed. The |ext.ocsp.resp| and
2643      * |ext.ocsp.resp_len| values will be set if we actually received a status
2644      * message, or NULL and -1 otherwise
2645      */
2646     if (s->ext.status_type != TLSEXT_STATUSTYPE_nothing
2647             && s->ctx->ext.status_cb != NULL) {
2648         int ret = s->ctx->ext.status_cb(s, s->ctx->ext.status_arg);
2649
2650         if (ret == 0) {
2651             *al = SSL_AD_BAD_CERTIFICATE_STATUS_RESPONSE;
2652             SSLerr(SSL_F_TLS_PROCESS_INITIAL_SERVER_FLIGHT,
2653                    SSL_R_INVALID_STATUS_RESPONSE);
2654             return 0;
2655         }
2656         if (ret < 0) {
2657             *al = SSL_AD_INTERNAL_ERROR;
2658             SSLerr(SSL_F_TLS_PROCESS_INITIAL_SERVER_FLIGHT,
2659                    ERR_R_MALLOC_FAILURE);
2660             return 0;
2661         }
2662     }
2663 #ifndef OPENSSL_NO_CT
2664     if (s->ct_validation_callback != NULL) {
2665         /* Note we validate the SCTs whether or not we abort on error */
2666         if (!ssl_validate_ct(s) && (s->verify_mode & SSL_VERIFY_PEER)) {
2667             *al = SSL_AD_HANDSHAKE_FAILURE;
2668             return 0;
2669         }
2670     }
2671 #endif
2672
2673     return 1;
2674 }
2675
2676 MSG_PROCESS_RETURN tls_process_server_done(SSL *s, PACKET *pkt)
2677 {
2678     int al = SSL_AD_INTERNAL_ERROR;
2679
2680     if (PACKET_remaining(pkt) > 0) {
2681         /* should contain no data */
2682         al = SSL_AD_DECODE_ERROR;
2683         SSLerr(SSL_F_TLS_PROCESS_SERVER_DONE, SSL_R_LENGTH_MISMATCH);
2684         goto err;
2685     }
2686 #ifndef OPENSSL_NO_SRP
2687     if (s->s3->tmp.new_cipher->algorithm_mkey & SSL_kSRP) {
2688         if (SRP_Calc_A_param(s) <= 0) {
2689             SSLerr(SSL_F_TLS_PROCESS_SERVER_DONE, SSL_R_SRP_A_CALC);
2690             goto err;
2691         }
2692     }
2693 #endif
2694
2695     /*
2696      * Error queue messages are generated directly by this function
2697      */
2698     if (!tls_process_initial_server_flight(s, &al))
2699         goto err;
2700
2701     return MSG_PROCESS_FINISHED_READING;
2702
2703  err:
2704     ssl3_send_alert(s, SSL3_AL_FATAL, al);
2705     ossl_statem_set_error(s);
2706     return MSG_PROCESS_ERROR;
2707 }
2708
2709 static int tls_construct_cke_psk_preamble(SSL *s, WPACKET *pkt, int *al)
2710 {
2711 #ifndef OPENSSL_NO_PSK
2712     int ret = 0;
2713     /*
2714      * The callback needs PSK_MAX_IDENTITY_LEN + 1 bytes to return a
2715      * \0-terminated identity. The last byte is for us for simulating
2716      * strnlen.
2717      */
2718     char identity[PSK_MAX_IDENTITY_LEN + 1];
2719     size_t identitylen = 0;
2720     unsigned char psk[PSK_MAX_PSK_LEN];
2721     unsigned char *tmppsk = NULL;
2722     char *tmpidentity = NULL;
2723     size_t psklen = 0;
2724
2725     if (s->psk_client_callback == NULL) {
2726         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, SSL_R_PSK_NO_CLIENT_CB);
2727         *al = SSL_AD_INTERNAL_ERROR;
2728         goto err;
2729     }
2730
2731     memset(identity, 0, sizeof(identity));
2732
2733     psklen = s->psk_client_callback(s, s->session->psk_identity_hint,
2734                                     identity, sizeof(identity) - 1,
2735                                     psk, sizeof(psk));
2736
2737     if (psklen > PSK_MAX_PSK_LEN) {
2738         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
2739         *al = SSL_AD_HANDSHAKE_FAILURE;
2740         goto err;
2741     } else if (psklen == 0) {
2742         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE,
2743                SSL_R_PSK_IDENTITY_NOT_FOUND);
2744         *al = SSL_AD_HANDSHAKE_FAILURE;
2745         goto err;
2746     }
2747
2748     identitylen = strlen(identity);
2749     if (identitylen > PSK_MAX_IDENTITY_LEN) {
2750         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
2751         *al = SSL_AD_INTERNAL_ERROR;
2752         goto err;
2753     }
2754
2755     tmppsk = OPENSSL_memdup(psk, psklen);
2756     tmpidentity = OPENSSL_strdup(identity);
2757     if (tmppsk == NULL || tmpidentity == NULL) {
2758         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_MALLOC_FAILURE);
2759         *al = SSL_AD_INTERNAL_ERROR;
2760         goto err;
2761     }
2762
2763     OPENSSL_free(s->s3->tmp.psk);
2764     s->s3->tmp.psk = tmppsk;
2765     s->s3->tmp.psklen = psklen;
2766     tmppsk = NULL;
2767     OPENSSL_free(s->session->psk_identity);
2768     s->session->psk_identity = tmpidentity;
2769     tmpidentity = NULL;
2770
2771     if (!WPACKET_sub_memcpy_u16(pkt, identity, identitylen))  {
2772         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
2773         *al = SSL_AD_INTERNAL_ERROR;
2774         goto err;
2775     }
2776
2777     ret = 1;
2778
2779  err:
2780     OPENSSL_cleanse(psk, psklen);
2781     OPENSSL_cleanse(identity, sizeof(identity));
2782     OPENSSL_clear_free(tmppsk, psklen);
2783     OPENSSL_clear_free(tmpidentity, identitylen);
2784
2785     return ret;
2786 #else
2787     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
2788     *al = SSL_AD_INTERNAL_ERROR;
2789     return 0;
2790 #endif
2791 }
2792
2793 static int tls_construct_cke_rsa(SSL *s, WPACKET *pkt, int *al)
2794 {
2795 #ifndef OPENSSL_NO_RSA
2796     unsigned char *encdata = NULL;
2797     EVP_PKEY *pkey = NULL;
2798     EVP_PKEY_CTX *pctx = NULL;
2799     size_t enclen;
2800     unsigned char *pms = NULL;
2801     size_t pmslen = 0;
2802
2803     if (s->session->peer == NULL) {
2804         /*
2805          * We should always have a server certificate with SSL_kRSA.
2806          */
2807         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2808         return 0;
2809     }
2810
2811     pkey = X509_get0_pubkey(s->session->peer);
2812     if (EVP_PKEY_get0_RSA(pkey) == NULL) {
2813         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2814         return 0;
2815     }
2816
2817     pmslen = SSL_MAX_MASTER_KEY_LENGTH;
2818     pms = OPENSSL_malloc(pmslen);
2819     if (pms == NULL) {
2820         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_MALLOC_FAILURE);
2821         *al = SSL_AD_INTERNAL_ERROR;
2822         return 0;
2823     }
2824
2825     pms[0] = s->client_version >> 8;
2826     pms[1] = s->client_version & 0xff;
2827     /* TODO(size_t): Convert this function */
2828     if (RAND_bytes(pms + 2, (int)(pmslen - 2)) <= 0) {
2829         goto err;
2830     }
2831
2832     /* Fix buf for TLS and beyond */
2833     if (s->version > SSL3_VERSION && !WPACKET_start_sub_packet_u16(pkt)) {
2834         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2835         goto err;
2836     }
2837     pctx = EVP_PKEY_CTX_new(pkey, NULL);
2838     if (pctx == NULL || EVP_PKEY_encrypt_init(pctx) <= 0
2839         || EVP_PKEY_encrypt(pctx, NULL, &enclen, pms, pmslen) <= 0) {
2840         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_EVP_LIB);
2841         goto err;
2842     }
2843     if (!WPACKET_allocate_bytes(pkt, enclen, &encdata)
2844             || EVP_PKEY_encrypt(pctx, encdata, &enclen, pms, pmslen) <= 0) {
2845         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, SSL_R_BAD_RSA_ENCRYPT);
2846         goto err;
2847     }
2848     EVP_PKEY_CTX_free(pctx);
2849     pctx = NULL;
2850
2851     /* Fix buf for TLS and beyond */
2852     if (s->version > SSL3_VERSION && !WPACKET_close(pkt)) {
2853         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2854         goto err;
2855     }
2856
2857     /* Log the premaster secret, if logging is enabled. */
2858     if (!ssl_log_rsa_client_key_exchange(s, encdata, enclen, pms, pmslen))
2859         goto err;
2860
2861     s->s3->tmp.pms = pms;
2862     s->s3->tmp.pmslen = pmslen;
2863
2864     return 1;
2865  err:
2866     OPENSSL_clear_free(pms, pmslen);
2867     EVP_PKEY_CTX_free(pctx);
2868
2869     return 0;
2870 #else
2871     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2872     *al = SSL_AD_INTERNAL_ERROR;
2873     return 0;
2874 #endif
2875 }
2876
2877 static int tls_construct_cke_dhe(SSL *s, WPACKET *pkt, int *al)
2878 {
2879 #ifndef OPENSSL_NO_DH
2880     DH *dh_clnt = NULL;
2881     const BIGNUM *pub_key;
2882     EVP_PKEY *ckey = NULL, *skey = NULL;
2883     unsigned char *keybytes = NULL;
2884
2885     skey = s->s3->peer_tmp;
2886     if (skey == NULL)
2887         goto err;
2888
2889     ckey = ssl_generate_pkey(skey);
2890     if (ckey == NULL)
2891         goto err;
2892
2893     dh_clnt = EVP_PKEY_get0_DH(ckey);
2894
2895     if (dh_clnt == NULL || ssl_derive(s, ckey, skey, 0) == 0)
2896         goto err;
2897
2898     /* send off the data */
2899     DH_get0_key(dh_clnt, &pub_key, NULL);
2900     if (!WPACKET_sub_allocate_bytes_u16(pkt, BN_num_bytes(pub_key), &keybytes))
2901         goto err;
2902
2903     BN_bn2bin(pub_key, keybytes);
2904     EVP_PKEY_free(ckey);
2905
2906     return 1;
2907  err:
2908     EVP_PKEY_free(ckey);
2909 #endif
2910     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_DHE, ERR_R_INTERNAL_ERROR);
2911     *al = SSL_AD_INTERNAL_ERROR;
2912     return 0;
2913 }
2914
2915 static int tls_construct_cke_ecdhe(SSL *s, WPACKET *pkt, int *al)
2916 {
2917 #ifndef OPENSSL_NO_EC
2918     unsigned char *encodedPoint = NULL;
2919     size_t encoded_pt_len = 0;
2920     EVP_PKEY *ckey = NULL, *skey = NULL;
2921     int ret = 0;
2922
2923     skey = s->s3->peer_tmp;
2924     if (skey == NULL) {
2925         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_INTERNAL_ERROR);
2926         return 0;
2927     }
2928
2929     ckey = ssl_generate_pkey(skey);
2930     if (ckey == NULL) {
2931         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_MALLOC_FAILURE);
2932         goto err;
2933     }
2934
2935     if (ssl_derive(s, ckey, skey, 0) == 0) {
2936         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_EVP_LIB);
2937         goto err;
2938     }
2939
2940     /* Generate encoding of client key */
2941     encoded_pt_len = EVP_PKEY_get1_tls_encodedpoint(ckey, &encodedPoint);
2942
2943     if (encoded_pt_len == 0) {
2944         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_EC_LIB);
2945         goto err;
2946     }
2947
2948     if (!WPACKET_sub_memcpy_u8(pkt, encodedPoint, encoded_pt_len)) {
2949         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_INTERNAL_ERROR);
2950         goto err;
2951     }
2952
2953     ret = 1;
2954  err:
2955     OPENSSL_free(encodedPoint);
2956     EVP_PKEY_free(ckey);
2957     return ret;
2958 #else
2959     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_INTERNAL_ERROR);
2960     *al = SSL_AD_INTERNAL_ERROR;
2961     return 0;
2962 #endif
2963 }
2964
2965 static int tls_construct_cke_gost(SSL *s, WPACKET *pkt, int *al)
2966 {
2967 #ifndef OPENSSL_NO_GOST
2968     /* GOST key exchange message creation */
2969     EVP_PKEY_CTX *pkey_ctx = NULL;
2970     X509 *peer_cert;
2971     size_t msglen;
2972     unsigned int md_len;
2973     unsigned char shared_ukm[32], tmp[256];
2974     EVP_MD_CTX *ukm_hash = NULL;
2975     int dgst_nid = NID_id_GostR3411_94;
2976     unsigned char *pms = NULL;
2977     size_t pmslen = 0;
2978
2979     if ((s->s3->tmp.new_cipher->algorithm_auth & SSL_aGOST12) != 0)
2980         dgst_nid = NID_id_GostR3411_2012_256;
2981
2982     /*
2983      * Get server certificate PKEY and create ctx from it
2984      */
2985     peer_cert = s->session->peer;
2986     if (!peer_cert) {
2987         *al = SSL_AD_HANDSHAKE_FAILURE;
2988         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST,
2989                SSL_R_NO_GOST_CERTIFICATE_SENT_BY_PEER);
2990         return 0;
2991     }
2992
2993     pkey_ctx = EVP_PKEY_CTX_new(X509_get0_pubkey(peer_cert), NULL);
2994     if (pkey_ctx == NULL) {
2995         *al = SSL_AD_INTERNAL_ERROR;
2996         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_MALLOC_FAILURE);
2997         return 0;
2998     }
2999     /*
3000      * If we have send a certificate, and certificate key
3001      * parameters match those of server certificate, use
3002      * certificate key for key exchange
3003      */
3004
3005     /* Otherwise, generate ephemeral key pair */
3006     pmslen = 32;
3007     pms = OPENSSL_malloc(pmslen);
3008     if (pms == NULL) {
3009         *al = SSL_AD_INTERNAL_ERROR;
3010         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_MALLOC_FAILURE);
3011         goto err;
3012     }
3013
3014     if (EVP_PKEY_encrypt_init(pkey_ctx) <= 0
3015         /* Generate session key
3016          * TODO(size_t): Convert this function
3017          */
3018         || RAND_bytes(pms, (int)pmslen) <= 0) {
3019         *al = SSL_AD_INTERNAL_ERROR;
3020         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_INTERNAL_ERROR);
3021         goto err;
3022     };
3023     /*
3024      * Compute shared IV and store it in algorithm-specific context
3025      * data
3026      */
3027     ukm_hash = EVP_MD_CTX_new();
3028     if (ukm_hash == NULL
3029         || EVP_DigestInit(ukm_hash, EVP_get_digestbynid(dgst_nid)) <= 0
3030         || EVP_DigestUpdate(ukm_hash, s->s3->client_random,
3031                             SSL3_RANDOM_SIZE) <= 0
3032         || EVP_DigestUpdate(ukm_hash, s->s3->server_random,
3033                             SSL3_RANDOM_SIZE) <= 0
3034         || EVP_DigestFinal_ex(ukm_hash, shared_ukm, &md_len) <= 0) {
3035         *al = SSL_AD_INTERNAL_ERROR;
3036         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_INTERNAL_ERROR);
3037         goto err;
3038     }
3039     EVP_MD_CTX_free(ukm_hash);
3040     ukm_hash = NULL;
3041     if (EVP_PKEY_CTX_ctrl(pkey_ctx, -1, EVP_PKEY_OP_ENCRYPT,
3042                           EVP_PKEY_CTRL_SET_IV, 8, shared_ukm) < 0) {
3043         *al = SSL_AD_INTERNAL_ERROR;
3044         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, SSL_R_LIBRARY_BUG);
3045         goto err;
3046     }
3047     /* Make GOST keytransport blob message */
3048     /*
3049      * Encapsulate it into sequence
3050      */
3051     msglen = 255;
3052     if (EVP_PKEY_encrypt(pkey_ctx, tmp, &msglen, pms, pmslen) <= 0) {
3053         *al = SSL_AD_INTERNAL_ERROR;
3054         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, SSL_R_LIBRARY_BUG);
3055         goto err;
3056     }
3057
3058     if (!WPACKET_put_bytes_u8(pkt, V_ASN1_SEQUENCE | V_ASN1_CONSTRUCTED)
3059             || (msglen >= 0x80 && !WPACKET_put_bytes_u8(pkt, 0x81))
3060             || !WPACKET_sub_memcpy_u8(pkt, tmp, msglen)) {
3061         *al = SSL_AD_INTERNAL_ERROR;
3062         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_INTERNAL_ERROR);
3063         goto err;
3064     }
3065
3066     EVP_PKEY_CTX_free(pkey_ctx);
3067     s->s3->tmp.pms = pms;
3068     s->s3->tmp.pmslen = pmslen;
3069
3070     return 1;
3071  err:
3072     EVP_PKEY_CTX_free(pkey_ctx);
3073     OPENSSL_clear_free(pms, pmslen);
3074     EVP_MD_CTX_free(ukm_hash);
3075     return 0;
3076 #else
3077     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_INTERNAL_ERROR);
3078     *al = SSL_AD_INTERNAL_ERROR;
3079     return 0;
3080 #endif
3081 }
3082
3083 static int tls_construct_cke_srp(SSL *s, WPACKET *pkt, int *al)
3084 {
3085 #ifndef OPENSSL_NO_SRP
3086     unsigned char *abytes = NULL;
3087
3088     if (s->srp_ctx.A == NULL
3089             || !WPACKET_sub_allocate_bytes_u16(pkt, BN_num_bytes(s->srp_ctx.A),
3090                                                &abytes)) {
3091         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_SRP, ERR_R_INTERNAL_ERROR);
3092         return 0;
3093     }
3094     BN_bn2bin(s->srp_ctx.A, abytes);
3095
3096     OPENSSL_free(s->session->srp_username);
3097     s->session->srp_username = OPENSSL_strdup(s->srp_ctx.login);
3098     if (s->session->srp_username == NULL) {
3099         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_SRP, ERR_R_MALLOC_FAILURE);
3100         return 0;
3101     }
3102
3103     return 1;
3104 #else
3105     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_SRP, ERR_R_INTERNAL_ERROR);
3106     *al = SSL_AD_INTERNAL_ERROR;
3107     return 0;
3108 #endif
3109 }
3110
3111 int tls_construct_client_key_exchange(SSL *s, WPACKET *pkt)
3112 {
3113     unsigned long alg_k;
3114     int al = -1;
3115
3116     alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
3117
3118     if ((alg_k & SSL_PSK)
3119         && !tls_construct_cke_psk_preamble(s, pkt, &al))
3120         goto err;
3121
3122     if (alg_k & (SSL_kRSA | SSL_kRSAPSK)) {
3123         if (!tls_construct_cke_rsa(s, pkt, &al))
3124             goto err;
3125     } else if (alg_k & (SSL_kDHE | SSL_kDHEPSK)) {
3126         if (!tls_construct_cke_dhe(s, pkt, &al))
3127             goto err;
3128     } else if (alg_k & (SSL_kECDHE | SSL_kECDHEPSK)) {
3129         if (!tls_construct_cke_ecdhe(s, pkt, &al))
3130             goto err;
3131     } else if (alg_k & SSL_kGOST) {
3132         if (!tls_construct_cke_gost(s, pkt, &al))
3133             goto err;
3134     } else if (alg_k & SSL_kSRP) {
3135         if (!tls_construct_cke_srp(s, pkt, &al))
3136             goto err;
3137     } else if (!(alg_k & SSL_kPSK)) {
3138         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3139         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
3140         goto err;
3141     }
3142
3143     return 1;
3144  err:
3145     if (al != -1)
3146         ssl3_send_alert(s, SSL3_AL_FATAL, al);
3147     OPENSSL_clear_free(s->s3->tmp.pms, s->s3->tmp.pmslen);
3148     s->s3->tmp.pms = NULL;
3149 #ifndef OPENSSL_NO_PSK
3150     OPENSSL_clear_free(s->s3->tmp.psk, s->s3->tmp.psklen);
3151     s->s3->tmp.psk = NULL;
3152 #endif
3153     return 0;
3154 }
3155
3156 int tls_client_key_exchange_post_work(SSL *s)
3157 {
3158     unsigned char *pms = NULL;
3159     size_t pmslen = 0;
3160
3161     pms = s->s3->tmp.pms;
3162     pmslen = s->s3->tmp.pmslen;
3163
3164 #ifndef OPENSSL_NO_SRP
3165     /* Check for SRP */
3166     if (s->s3->tmp.new_cipher->algorithm_mkey & SSL_kSRP) {
3167         if (!srp_generate_client_master_secret(s)) {
3168             SSLerr(SSL_F_TLS_CLIENT_KEY_EXCHANGE_POST_WORK,
3169                    ERR_R_INTERNAL_ERROR);
3170             goto err;
3171         }
3172         return 1;
3173     }
3174 #endif
3175
3176     if (pms == NULL && !(s->s3->tmp.new_cipher->algorithm_mkey & SSL_kPSK)) {
3177         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3178         SSLerr(SSL_F_TLS_CLIENT_KEY_EXCHANGE_POST_WORK, ERR_R_MALLOC_FAILURE);
3179         goto err;
3180     }
3181     if (!ssl_generate_master_secret(s, pms, pmslen, 1)) {
3182         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3183         SSLerr(SSL_F_TLS_CLIENT_KEY_EXCHANGE_POST_WORK, ERR_R_INTERNAL_ERROR);
3184         /* ssl_generate_master_secret frees the pms even on error */
3185         pms = NULL;
3186         pmslen = 0;
3187         goto err;
3188     }
3189     pms = NULL;
3190     pmslen = 0;
3191
3192 #ifndef OPENSSL_NO_SCTP
3193     if (SSL_IS_DTLS(s)) {
3194         unsigned char sctpauthkey[64];
3195         char labelbuffer[sizeof(DTLS1_SCTP_AUTH_LABEL)];
3196
3197         /*
3198          * Add new shared key for SCTP-Auth, will be ignored if no SCTP
3199          * used.
3200          */
3201         memcpy(labelbuffer, DTLS1_SCTP_AUTH_LABEL,
3202                sizeof(DTLS1_SCTP_AUTH_LABEL));
3203
3204         if (SSL_export_keying_material(s, sctpauthkey,
3205                                        sizeof(sctpauthkey), labelbuffer,
3206                                        sizeof(labelbuffer), NULL, 0, 0) <= 0)
3207             goto err;
3208
3209         BIO_ctrl(SSL_get_wbio(s), BIO_CTRL_DGRAM_SCTP_ADD_AUTH_KEY,
3210                  sizeof(sctpauthkey), sctpauthkey);
3211     }
3212 #endif
3213
3214     return 1;
3215  err:
3216     OPENSSL_clear_free(pms, pmslen);
3217     s->s3->tmp.pms = NULL;
3218     return 0;
3219 }
3220
3221 /*
3222  * Check a certificate can be used for client authentication. Currently check
3223  * cert exists, if we have a suitable digest for TLS 1.2 if static DH client
3224  * certificates can be used and optionally checks suitability for Suite B.
3225  */
3226 static int ssl3_check_client_certificate(SSL *s)
3227 {
3228     /* If no suitable signature algorithm can't use certificate */
3229     if (!tls_choose_sigalg(s, NULL) || s->s3->tmp.sigalg == NULL)
3230         return 0;
3231     /*
3232      * If strict mode check suitability of chain before using it. This also
3233      * adjusts suite B digest if necessary.
3234      */
3235     if (s->cert->cert_flags & SSL_CERT_FLAGS_CHECK_TLS_STRICT &&
3236         !tls1_check_chain(s, NULL, NULL, NULL, -2))
3237         return 0;
3238     return 1;
3239 }
3240
3241 WORK_STATE tls_prepare_client_certificate(SSL *s, WORK_STATE wst)
3242 {
3243     X509 *x509 = NULL;
3244     EVP_PKEY *pkey = NULL;
3245     int i;
3246
3247     if (wst == WORK_MORE_A) {
3248         /* Let cert callback update client certificates if required */
3249         if (s->cert->cert_cb) {
3250             i = s->cert->cert_cb(s, s->cert->cert_cb_arg);
3251             if (i < 0) {
3252                 s->rwstate = SSL_X509_LOOKUP;
3253                 return WORK_MORE_A;
3254             }
3255             if (i == 0) {
3256                 ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3257                 ossl_statem_set_error(s);
3258                 return 0;
3259             }
3260             s->rwstate = SSL_NOTHING;
3261         }
3262         if (ssl3_check_client_certificate(s))
3263             return WORK_FINISHED_CONTINUE;
3264
3265         /* Fall through to WORK_MORE_B */
3266         wst = WORK_MORE_B;
3267     }
3268
3269     /* We need to get a client cert */
3270     if (wst == WORK_MORE_B) {
3271         /*
3272          * If we get an error, we need to ssl->rwstate=SSL_X509_LOOKUP;
3273          * return(-1); We then get retied later
3274          */
3275         i = ssl_do_client_cert_cb(s, &x509, &pkey);
3276         if (i < 0) {
3277             s->rwstate = SSL_X509_LOOKUP;
3278             return WORK_MORE_B;
3279         }
3280         s->rwstate = SSL_NOTHING;
3281         if ((i == 1) && (pkey != NULL) && (x509 != NULL)) {
3282             if (!SSL_use_certificate(s, x509) || !SSL_use_PrivateKey(s, pkey))
3283                 i = 0;
3284         } else if (i == 1) {
3285             i = 0;
3286             SSLerr(SSL_F_TLS_PREPARE_CLIENT_CERTIFICATE,
3287                    SSL_R_BAD_DATA_RETURNED_BY_CALLBACK);
3288         }
3289
3290         X509_free(x509);
3291         EVP_PKEY_free(pkey);
3292         if (i && !ssl3_check_client_certificate(s))
3293             i = 0;
3294         if (i == 0) {
3295             if (s->version == SSL3_VERSION) {
3296                 s->s3->tmp.cert_req = 0;
3297                 ssl3_send_alert(s, SSL3_AL_WARNING, SSL_AD_NO_CERTIFICATE);
3298                 return WORK_FINISHED_CONTINUE;
3299             } else {
3300                 s->s3->tmp.cert_req = 2;
3301                 if (!ssl3_digest_cached_records(s, 0)) {
3302                     ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3303                     ossl_statem_set_error(s);
3304                     return 0;
3305                 }
3306             }
3307         }
3308
3309         return WORK_FINISHED_CONTINUE;
3310     }
3311
3312     /* Shouldn't ever get here */
3313     return WORK_ERROR;
3314 }
3315
3316 int tls_construct_client_certificate(SSL *s, WPACKET *pkt)
3317 {
3318     int al = SSL_AD_INTERNAL_ERROR;
3319
3320     /*
3321      * TODO(TLS1.3): For now we must put an empty context. Needs to be filled in
3322      * later
3323      */
3324     if ((SSL_IS_TLS13(s) && !WPACKET_put_bytes_u8(pkt, 0))
3325             || !ssl3_output_cert_chain(s, pkt,
3326                                (s->s3->tmp.cert_req == 2) ? NULL
3327                                                           : s->cert->key,
3328                                 &al)) {
3329         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_CERTIFICATE, ERR_R_INTERNAL_ERROR);
3330         goto err;
3331     }
3332
3333     if (SSL_IS_TLS13(s)
3334             && SSL_IS_FIRST_HANDSHAKE(s)
3335             && (!s->method->ssl3_enc->change_cipher_state(s,
3336                     SSL3_CC_HANDSHAKE | SSL3_CHANGE_CIPHER_CLIENT_WRITE))) {
3337         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_CERTIFICATE,
3338                SSL_R_CANNOT_CHANGE_CIPHER);
3339         goto err;
3340     }
3341
3342     return 1;
3343  err:
3344     ssl3_send_alert(s, SSL3_AL_FATAL, al);
3345     return 0;
3346 }
3347
3348 #define has_bits(i,m)   (((i)&(m)) == (m))
3349
3350 int ssl3_check_cert_and_algorithm(SSL *s)
3351 {
3352     int i;
3353 #ifndef OPENSSL_NO_EC
3354     int idx;
3355 #endif
3356     long alg_k, alg_a;
3357     EVP_PKEY *pkey = NULL;
3358     int al = SSL_AD_HANDSHAKE_FAILURE;
3359
3360     alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
3361     alg_a = s->s3->tmp.new_cipher->algorithm_auth;
3362
3363     /* we don't have a certificate */
3364     if ((alg_a & SSL_aNULL) || (alg_k & SSL_kPSK))
3365         return (1);
3366
3367     /* This is the passed certificate */
3368
3369 #ifndef OPENSSL_NO_EC
3370     idx = s->session->peer_type;
3371     if (idx == SSL_PKEY_ECC) {
3372         if (ssl_check_srvr_ecc_cert_and_alg(s->session->peer, s) == 0) {
3373             /* check failed */
3374             SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM, SSL_R_BAD_ECC_CERT);
3375             goto f_err;
3376         } else {
3377             return 1;
3378         }
3379     } else if (alg_a & SSL_aECDSA) {
3380         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM,
3381                SSL_R_MISSING_ECDSA_SIGNING_CERT);
3382         goto f_err;
3383     }
3384 #endif
3385     pkey = X509_get0_pubkey(s->session->peer);
3386     i = X509_certificate_type(s->session->peer, pkey);
3387
3388     /* Check that we have a certificate if we require one */
3389     if ((alg_a & SSL_aRSA) && !has_bits(i, EVP_PK_RSA | EVP_PKT_SIGN)) {
3390         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM,
3391                SSL_R_MISSING_RSA_SIGNING_CERT);
3392         goto f_err;
3393     }
3394 #ifndef OPENSSL_NO_DSA
3395     else if ((alg_a & SSL_aDSS) && !has_bits(i, EVP_PK_DSA | EVP_PKT_SIGN)) {
3396         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM,
3397                SSL_R_MISSING_DSA_SIGNING_CERT);
3398         goto f_err;
3399     }
3400 #endif
3401 #ifndef OPENSSL_NO_RSA
3402     if (alg_k & (SSL_kRSA | SSL_kRSAPSK) &&
3403         !has_bits(i, EVP_PK_RSA | EVP_PKT_ENC)) {
3404         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM,
3405                SSL_R_MISSING_RSA_ENCRYPTING_CERT);
3406         goto f_err;
3407     }
3408 #endif
3409 #ifndef OPENSSL_NO_DH
3410     if ((alg_k & SSL_kDHE) && (s->s3->peer_tmp == NULL)) {
3411         al = SSL_AD_INTERNAL_ERROR;
3412         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM, ERR_R_INTERNAL_ERROR);
3413         goto f_err;
3414     }
3415 #endif
3416
3417     return (1);
3418  f_err:
3419     ssl3_send_alert(s, SSL3_AL_FATAL, al);
3420     return (0);
3421 }
3422
3423 #ifndef OPENSSL_NO_NEXTPROTONEG
3424 int tls_construct_next_proto(SSL *s, WPACKET *pkt)
3425 {
3426     size_t len, padding_len;
3427     unsigned char *padding = NULL;
3428
3429     len = s->ext.npn_len;
3430     padding_len = 32 - ((len + 2) % 32);
3431
3432     if (!WPACKET_sub_memcpy_u8(pkt, s->ext.npn, len)
3433             || !WPACKET_sub_allocate_bytes_u8(pkt, padding_len, &padding)) {
3434         SSLerr(SSL_F_TLS_CONSTRUCT_NEXT_PROTO, ERR_R_INTERNAL_ERROR);
3435         goto err;
3436     }
3437
3438     memset(padding, 0, padding_len);
3439
3440     return 1;
3441  err:
3442     ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3443     return 0;
3444 }
3445 #endif
3446
3447 MSG_PROCESS_RETURN tls_process_hello_req(SSL *s, PACKET *pkt)
3448 {
3449     if (PACKET_remaining(pkt) > 0) {
3450         /* should contain no data */
3451         SSLerr(SSL_F_TLS_PROCESS_HELLO_REQ, SSL_R_LENGTH_MISMATCH);
3452         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
3453         ossl_statem_set_error(s);
3454         return MSG_PROCESS_ERROR;
3455     }
3456
3457     /*
3458      * This is a historical discrepancy (not in the RFC) maintained for
3459      * compatibility reasons. If a TLS client receives a HelloRequest it will
3460      * attempt an abbreviated handshake. However if a DTLS client receives a
3461      * HelloRequest it will do a full handshake. Either behaviour is reasonable
3462      * but doing one for TLS and another for DTLS is odd.
3463      */
3464     if (SSL_IS_DTLS(s))
3465         SSL_renegotiate(s);
3466     else
3467         SSL_renegotiate_abbreviated(s);
3468
3469     return MSG_PROCESS_FINISHED_READING;
3470 }
3471
3472 static MSG_PROCESS_RETURN tls_process_encrypted_extensions(SSL *s, PACKET *pkt)
3473 {
3474     int al = SSL_AD_INTERNAL_ERROR;
3475     PACKET extensions;
3476     RAW_EXTENSION *rawexts = NULL;
3477
3478     if (!PACKET_as_length_prefixed_2(pkt, &extensions)
3479             || PACKET_remaining(pkt) != 0) {
3480         al = SSL_AD_DECODE_ERROR;
3481         SSLerr(SSL_F_TLS_PROCESS_ENCRYPTED_EXTENSIONS, SSL_R_LENGTH_MISMATCH);
3482         goto err;
3483     }
3484
3485     if (!tls_collect_extensions(s, &extensions,
3486                                 SSL_EXT_TLS1_3_ENCRYPTED_EXTENSIONS, &rawexts,
3487                                 &al, NULL, 1)
3488             || !tls_parse_all_extensions(s, SSL_EXT_TLS1_3_ENCRYPTED_EXTENSIONS,
3489                                          rawexts, NULL, 0, &al, 1))
3490         goto err;
3491
3492     OPENSSL_free(rawexts);
3493     return MSG_PROCESS_CONTINUE_READING;
3494
3495  err:
3496     ssl3_send_alert(s, SSL3_AL_FATAL, al);
3497     ossl_statem_set_error(s);
3498     OPENSSL_free(rawexts);
3499     return MSG_PROCESS_ERROR;
3500 }
3501
3502 int ssl_do_client_cert_cb(SSL *s, X509 **px509, EVP_PKEY **ppkey)
3503 {
3504     int i = 0;
3505 #ifndef OPENSSL_NO_ENGINE
3506     if (s->ctx->client_cert_engine) {
3507         i = ENGINE_load_ssl_client_cert(s->ctx->client_cert_engine, s,
3508                                         SSL_get_client_CA_list(s),
3509                                         px509, ppkey, NULL, NULL, NULL);
3510         if (i != 0)
3511             return i;
3512     }
3513 #endif
3514     if (s->ctx->client_cert_cb)
3515         i = s->ctx->client_cert_cb(s, px509, ppkey);
3516     return i;
3517 }
3518
3519 int ssl_cipher_list_to_bytes(SSL *s, STACK_OF(SSL_CIPHER) *sk, WPACKET *pkt)
3520 {
3521     int i;
3522     size_t totlen = 0, len, maxlen, maxverok = 0;
3523     int empty_reneg_info_scsv = !s->renegotiate;
3524     /* Set disabled masks for this session */
3525     ssl_set_client_disabled(s);
3526
3527     if (sk == NULL)
3528         return (0);
3529
3530 #ifdef OPENSSL_MAX_TLS1_2_CIPHER_LENGTH
3531 # if OPENSSL_MAX_TLS1_2_CIPHER_LENGTH < 6
3532 #  error Max cipher length too short
3533 # endif
3534     /*
3535      * Some servers hang if client hello > 256 bytes as hack workaround
3536      * chop number of supported ciphers to keep it well below this if we
3537      * use TLS v1.2
3538      */
3539     if (TLS1_get_version(s) >= TLS1_2_VERSION)
3540         maxlen = OPENSSL_MAX_TLS1_2_CIPHER_LENGTH & ~1;
3541     else
3542 #endif
3543         /* Maximum length that can be stored in 2 bytes. Length must be even */
3544         maxlen = 0xfffe;
3545
3546     if (empty_reneg_info_scsv)
3547         maxlen -= 2;
3548     if (s->mode & SSL_MODE_SEND_FALLBACK_SCSV)
3549         maxlen -= 2;
3550
3551     for (i = 0; i < sk_SSL_CIPHER_num(sk) && totlen < maxlen; i++) {
3552         const SSL_CIPHER *c;
3553
3554         c = sk_SSL_CIPHER_value(sk, i);
3555         /* Skip disabled ciphers */
3556         if (ssl_cipher_disabled(s, c, SSL_SECOP_CIPHER_SUPPORTED, 0))
3557             continue;
3558
3559         if (!s->method->put_cipher_by_char(c, pkt, &len)) {
3560             SSLerr(SSL_F_SSL_CIPHER_LIST_TO_BYTES, ERR_R_INTERNAL_ERROR);
3561             return 0;
3562         }
3563
3564         /* Sanity check that the maximum version we offer has ciphers enabled */
3565         if (!maxverok) {
3566             if (SSL_IS_DTLS(s)) {
3567                 if (DTLS_VERSION_GE(c->max_dtls, s->s3->tmp.max_ver)
3568                         && DTLS_VERSION_LE(c->min_dtls, s->s3->tmp.max_ver))
3569                     maxverok = 1;
3570             } else {
3571                 if (c->max_tls >= s->s3->tmp.max_ver
3572                         && c->min_tls <= s->s3->tmp.max_ver)
3573                     maxverok = 1;
3574             }
3575         }
3576
3577         totlen += len;
3578     }
3579
3580     if (totlen == 0 || !maxverok) {
3581         SSLerr(SSL_F_SSL_CIPHER_LIST_TO_BYTES, SSL_R_NO_CIPHERS_AVAILABLE);
3582
3583         if (!maxverok)
3584             ERR_add_error_data(1, "No ciphers enabled for max supported "
3585                                   "SSL/TLS version");
3586
3587         return 0;
3588     }
3589
3590     if (totlen != 0) {
3591         if (empty_reneg_info_scsv) {
3592             static SSL_CIPHER scsv = {
3593                 0, NULL, SSL3_CK_SCSV, 0, 0, 0, 0, 0, 0, 0, 0, 0
3594             };
3595             if (!s->method->put_cipher_by_char(&scsv, pkt, &len)) {
3596                 SSLerr(SSL_F_SSL_CIPHER_LIST_TO_BYTES, ERR_R_INTERNAL_ERROR);
3597                 return 0;
3598             }
3599         }
3600         if (s->mode & SSL_MODE_SEND_FALLBACK_SCSV) {
3601             static SSL_CIPHER scsv = {
3602                 0, NULL, SSL3_CK_FALLBACK_SCSV, 0, 0, 0, 0, 0, 0, 0, 0, 0
3603             };
3604             if (!s->method->put_cipher_by_char(&scsv, pkt, &len)) {
3605                 SSLerr(SSL_F_SSL_CIPHER_LIST_TO_BYTES, ERR_R_INTERNAL_ERROR);
3606                 return 0;
3607             }
3608         }
3609     }
3610
3611     return 1;
3612 }
3613
3614 int tls_construct_end_of_early_data(SSL *s, WPACKET *pkt)
3615 {
3616     if (s->early_data_state != SSL_EARLY_DATA_WRITE_RETRY
3617             && s->early_data_state != SSL_EARLY_DATA_FINISHED_WRITING) {
3618         SSLerr(SSL_F_TLS_CONSTRUCT_END_OF_EARLY_DATA,
3619                ERR_R_SHOULD_NOT_HAVE_BEEN_CALLED);
3620         return 0;
3621     }
3622
3623     s->early_data_state = SSL_EARLY_DATA_FINISHED_WRITING;
3624     return 1;
3625 }