ssl/statem/statem_clnt.c

   1 /*
   2  * Copyright 1995-2016 The OpenSSL Project Authors. All Rights Reserved.
   3  *
   4  * Licensed under the OpenSSL license (the "License").  You may not use
   5  * this file except in compliance with the License.  You can obtain a copy
   6  * in the file LICENSE in the source distribution or at
   7  * https://www.openssl.org/source/license.html
   8  */
   9
  10 /* ====================================================================
  11  * Copyright 2002 Sun Microsystems, Inc. ALL RIGHTS RESERVED.
  12  *
  13  * Portions of the attached software ("Contribution") are developed by
  14  * SUN MICROSYSTEMS, INC., and are contributed to the OpenSSL project.
  15  *
  16  * The Contribution is licensed pursuant to the OpenSSL open source
  17  * license provided above.
  18  *
  19  * ECC cipher suite support in OpenSSL originally written by
  20  * Vipul Gupta and Sumit Gupta of Sun Microsystems Laboratories.
  21  *
  22  */
  23 /* ====================================================================
  24  * Copyright 2005 Nokia. All rights reserved.
  25  *
  26  * The portions of the attached software ("Contribution") is developed by
  27  * Nokia Corporation and is licensed pursuant to the OpenSSL open source
  28  * license.
  29  *
  30  * The Contribution, originally written by Mika Kousa and Pasi Eronen of
  31  * Nokia Corporation, consists of the "PSK" (Pre-Shared Key) ciphersuites
  32  * support (see RFC 4279) to OpenSSL.
  33  *
  34  * No patent licenses or other rights except those expressly stated in
  35  * the OpenSSL open source license shall be deemed granted or received
  36  * expressly, by implication, estoppel, or otherwise.
  37  *
  38  * No assurances are provided by Nokia that the Contribution does not
  39  * infringe the patent or other intellectual property rights of any third
  40  * party or that the license provides you with all the necessary rights
  41  * to make use of the Contribution.
  42  *
  43  * THE SOFTWARE IS PROVIDED "AS IS" WITHOUT WARRANTY OF ANY KIND. IN
  44  * ADDITION TO THE DISCLAIMERS INCLUDED IN THE LICENSE, NOKIA
  45  * SPECIFICALLY DISCLAIMS ANY LIABILITY FOR CLAIMS BROUGHT BY YOU OR ANY
  46  * OTHER ENTITY BASED ON INFRINGEMENT OF INTELLECTUAL PROPERTY RIGHTS OR
  47  * OTHERWISE.
  48  */
  49
  50 #include <stdio.h>
  51 #include <time.h>
  52 #include "../ssl_locl.h"
  53 #include "statem_locl.h"
  54 #include <openssl/buffer.h>
  55 #include <openssl/rand.h>
  56 #include <openssl/objects.h>
  57 #include <openssl/evp.h>
  58 #include <openssl/md5.h>
  59 #include <openssl/dh.h>
  60 #include <openssl/bn.h>
  61 #include <openssl/engine.h>
  62
  63 static MSG_PROCESS_RETURN tls_process_hello_retry_request(SSL *s, PACKET *pkt);
  64 static MSG_PROCESS_RETURN tls_process_encrypted_extensions(SSL *s, PACKET *pkt);
  65
  66 static ossl_inline int cert_req_allowed(SSL *s);
  67 static int key_exchange_expected(SSL *s);
  68 static int ca_dn_cmp(const X509_NAME *const *a, const X509_NAME *const *b);
  69 static int ssl_cipher_list_to_bytes(SSL *s, STACK_OF(SSL_CIPHER) *sk,
  70                                     WPACKET *pkt);
  71
  72 /*
  73  * Is a CertificateRequest message allowed at the moment or not?
  74  *
  75  *  Return values are:
  76  *  1: Yes
  77  *  0: No
  78  */
  79 static ossl_inline int cert_req_allowed(SSL *s)
  80 {
  81     /* TLS does not like anon-DH with client cert */
  82     if ((s->version > SSL3_VERSION
  83          && (s->s3->tmp.new_cipher->algorithm_auth & SSL_aNULL))
  84         || (s->s3->tmp.new_cipher->algorithm_auth & (SSL_aSRP | SSL_aPSK)))
  85         return 0;
  86
  87     return 1;
  88 }
  89
  90 /*
  91  * Should we expect the ServerKeyExchange message or not?
  92  *
  93  *  Return values are:
  94  *  1: Yes
  95  *  0: No
  96  */
  97 static int key_exchange_expected(SSL *s)
  98 {
  99     long alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
 100
 101     /*
 102      * Can't skip server key exchange if this is an ephemeral
 103      * ciphersuite or for SRP
 104      */
 105     if (alg_k & (SSL_kDHE | SSL_kECDHE | SSL_kDHEPSK | SSL_kECDHEPSK
 106                  | SSL_kSRP)) {
 107         return 1;
 108     }
 109
 110     return 0;
 111 }
 112
 113 /*
 114  * ossl_statem_client_read_transition() encapsulates the logic for the allowed
 115  * handshake state transitions when a TLS1.3 client is reading messages from the
 116  * server. The message type that the server has sent is provided in |mt|. The
 117  * current state is in |s->statem.hand_state|.
 118  *
 119  * Return values are 1 for success (transition allowed) and  0 on error
 120  * (transition not allowed)
 121  */
 122 static int ossl_statem_client13_read_transition(SSL *s, int mt)
 123 {
 124     OSSL_STATEM *st = &s->statem;
 125
 126     /*
 127      * Note: There is no case for TLS_ST_CW_CLNT_HELLO, because we haven't
 128      * yet negotiated TLSv1.3 at that point so that is handled by
 129      * ossl_statem_client_read_transition()
 130      */
 131
 132     switch (st->hand_state) {
 133     default:
 134         break;
 135
 136     case TLS_ST_CW_CLNT_HELLO:
 137         /*
 138          * This must a ClientHello following a HelloRetryRequest, so the only
 139          * thing we can get now is a ServerHello.
 140          */
 141         if (mt == SSL3_MT_SERVER_HELLO) {
 142             st->hand_state = TLS_ST_CR_SRVR_HELLO;
 143             return 1;
 144         }
 145         break;
 146
 147     case TLS_ST_CR_SRVR_HELLO:
 148         if (mt == SSL3_MT_ENCRYPTED_EXTENSIONS) {
 149             st->hand_state = TLS_ST_CR_ENCRYPTED_EXTENSIONS;
 150             return 1;
 151         }
 152         break;
 153
 154     case TLS_ST_CR_ENCRYPTED_EXTENSIONS:
 155         if (s->hit) {
 156             if (mt == SSL3_MT_FINISHED) {
 157                 st->hand_state = TLS_ST_CR_FINISHED;
 158                 return 1;
 159             }
 160         } else {
 161             if (mt == SSL3_MT_CERTIFICATE_REQUEST) {
 162                 st->hand_state = TLS_ST_CR_CERT_REQ;
 163                 return 1;
 164             }
 165             if (mt == SSL3_MT_CERTIFICATE) {
 166                 st->hand_state = TLS_ST_CR_CERT;
 167                 return 1;
 168             }
 169         }
 170         break;
 171
 172     case TLS_ST_CR_CERT_REQ:
 173         if (mt == SSL3_MT_CERTIFICATE) {
 174             st->hand_state = TLS_ST_CR_CERT;
 175             return 1;
 176         }
 177         break;
 178
 179     case TLS_ST_CR_CERT:
 180         if (mt == SSL3_MT_CERTIFICATE_VERIFY) {
 181             st->hand_state = TLS_ST_CR_CERT_VRFY;
 182             return 1;
 183         }
 184         break;
 185
 186     case TLS_ST_CR_CERT_VRFY:
 187         if (mt == SSL3_MT_FINISHED) {
 188             st->hand_state = TLS_ST_CR_FINISHED;
 189             return 1;
 190         }
 191         break;
 192
 193     case TLS_ST_OK:
 194         if (mt == SSL3_MT_NEWSESSION_TICKET) {
 195             st->hand_state = TLS_ST_CR_SESSION_TICKET;
 196             return 1;
 197         }
 198         if (mt == SSL3_MT_KEY_UPDATE) {
 199             st->hand_state = TLS_ST_CR_KEY_UPDATE;
 200             return 1;
 201         }
 202         break;
 203     }
 204
 205     /* No valid transition found */
 206     return 0;
 207 }
 208
 209 /*
 210  * ossl_statem_client_read_transition() encapsulates the logic for the allowed
 211  * handshake state transitions when the client is reading messages from the
 212  * server. The message type that the server has sent is provided in |mt|. The
 213  * current state is in |s->statem.hand_state|.
 214  *
 215  * Return values are 1 for success (transition allowed) and  0 on error
 216  * (transition not allowed)
 217  */
 218 int ossl_statem_client_read_transition(SSL *s, int mt)
 219 {
 220     OSSL_STATEM *st = &s->statem;
 221     int ske_expected;
 222
 223     /*
 224      * Note that after writing the first ClientHello we don't know what version
 225      * we are going to negotiate yet, so we don't take this branch until later.
 226      */
 227     if (SSL_IS_TLS13(s)) {
 228         if (!ossl_statem_client13_read_transition(s, mt))
 229             goto err;
 230         return 1;
 231     }
 232
 233     switch (st->hand_state) {
 234     default:
 235         break;
 236
 237     case TLS_ST_CW_CLNT_HELLO:
 238         if (mt == SSL3_MT_SERVER_HELLO) {
 239             st->hand_state = TLS_ST_CR_SRVR_HELLO;
 240             return 1;
 241         }
 242
 243         if (SSL_IS_DTLS(s)) {
 244             if (mt == DTLS1_MT_HELLO_VERIFY_REQUEST) {
 245                 st->hand_state = DTLS_ST_CR_HELLO_VERIFY_REQUEST;
 246                 return 1;
 247             }
 248         } else {
 249             if (mt == SSL3_MT_HELLO_RETRY_REQUEST) {
 250                 st->hand_state = TLS_ST_CR_HELLO_RETRY_REQUEST;
 251                 return 1;
 252             }
 253         }
 254         break;
 255
 256     case TLS_ST_EARLY_DATA:
 257         /*
 258          * We've not actually selected TLSv1.3 yet, but we have sent early
 259          * data. The only thing allowed now is a ServerHello or a
 260          * HelloRetryRequest.
 261          */
 262         if (mt == SSL3_MT_SERVER_HELLO) {
 263             st->hand_state = TLS_ST_CR_SRVR_HELLO;
 264             return 1;
 265         }
 266         if (mt == SSL3_MT_HELLO_RETRY_REQUEST) {
 267             st->hand_state = TLS_ST_CR_HELLO_RETRY_REQUEST;
 268             return 1;
 269         }
 270         break;
 271
 272     case TLS_ST_CR_SRVR_HELLO:
 273         if (s->hit) {
 274             if (s->ext.ticket_expected) {
 275                 if (mt == SSL3_MT_NEWSESSION_TICKET) {
 276                     st->hand_state = TLS_ST_CR_SESSION_TICKET;
 277                     return 1;
 278                 }
 279             } else if (mt == SSL3_MT_CHANGE_CIPHER_SPEC) {
 280                 st->hand_state = TLS_ST_CR_CHANGE;
 281                 return 1;
 282             }
 283         } else {
 284             if (SSL_IS_DTLS(s) && mt == DTLS1_MT_HELLO_VERIFY_REQUEST) {
 285                 st->hand_state = DTLS_ST_CR_HELLO_VERIFY_REQUEST;
 286                 return 1;
 287             } else if (s->version >= TLS1_VERSION
 288                        && s->ext.session_secret_cb != NULL
 289                        && s->session->ext.tick != NULL
 290                        && mt == SSL3_MT_CHANGE_CIPHER_SPEC) {
 291                 /*
 292                  * Normally, we can tell if the server is resuming the session
 293                  * from the session ID. EAP-FAST (RFC 4851), however, relies on
 294                  * the next server message after the ServerHello to determine if
 295                  * the server is resuming.
 296                  */
 297                 s->hit = 1;
 298                 st->hand_state = TLS_ST_CR_CHANGE;
 299                 return 1;
 300             } else if (!(s->s3->tmp.new_cipher->algorithm_auth
 301                          & (SSL_aNULL | SSL_aSRP | SSL_aPSK))) {
 302                 if (mt == SSL3_MT_CERTIFICATE) {
 303                     st->hand_state = TLS_ST_CR_CERT;
 304                     return 1;
 305                 }
 306             } else {
 307                 ske_expected = key_exchange_expected(s);
 308                 /* SKE is optional for some PSK ciphersuites */
 309                 if (ske_expected
 310                     || ((s->s3->tmp.new_cipher->algorithm_mkey & SSL_PSK)
 311                         && mt == SSL3_MT_SERVER_KEY_EXCHANGE)) {
 312                     if (mt == SSL3_MT_SERVER_KEY_EXCHANGE) {
 313                         st->hand_state = TLS_ST_CR_KEY_EXCH;
 314                         return 1;
 315                     }
 316                 } else if (mt == SSL3_MT_CERTIFICATE_REQUEST
 317                            && cert_req_allowed(s)) {
 318                     st->hand_state = TLS_ST_CR_CERT_REQ;
 319                     return 1;
 320                 } else if (mt == SSL3_MT_SERVER_DONE) {
 321                     st->hand_state = TLS_ST_CR_SRVR_DONE;
 322                     return 1;
 323                 }
 324             }
 325         }
 326         break;
 327
 328     case TLS_ST_CR_CERT:
 329         /*
 330          * The CertificateStatus message is optional even if
 331          * |ext.status_expected| is set
 332          */
 333         if (s->ext.status_expected && mt == SSL3_MT_CERTIFICATE_STATUS) {
 334             st->hand_state = TLS_ST_CR_CERT_STATUS;
 335             return 1;
 336         }
 337         /* Fall through */
 338
 339     case TLS_ST_CR_CERT_STATUS:
 340         ske_expected = key_exchange_expected(s);
 341         /* SKE is optional for some PSK ciphersuites */
 342         if (ske_expected || ((s->s3->tmp.new_cipher->algorithm_mkey & SSL_PSK)
 343                              && mt == SSL3_MT_SERVER_KEY_EXCHANGE)) {
 344             if (mt == SSL3_MT_SERVER_KEY_EXCHANGE) {
 345                 st->hand_state = TLS_ST_CR_KEY_EXCH;
 346                 return 1;
 347             }
 348             goto err;
 349         }
 350         /* Fall through */
 351
 352     case TLS_ST_CR_KEY_EXCH:
 353         if (mt == SSL3_MT_CERTIFICATE_REQUEST) {
 354             if (cert_req_allowed(s)) {
 355                 st->hand_state = TLS_ST_CR_CERT_REQ;
 356                 return 1;
 357             }
 358             goto err;
 359         }
 360         /* Fall through */
 361
 362     case TLS_ST_CR_CERT_REQ:
 363         if (mt == SSL3_MT_SERVER_DONE) {
 364             st->hand_state = TLS_ST_CR_SRVR_DONE;
 365             return 1;
 366         }
 367         break;
 368
 369     case TLS_ST_CW_FINISHED:
 370         if (s->ext.ticket_expected) {
 371             if (mt == SSL3_MT_NEWSESSION_TICKET) {
 372                 st->hand_state = TLS_ST_CR_SESSION_TICKET;
 373                 return 1;
 374             }
 375         } else if (mt == SSL3_MT_CHANGE_CIPHER_SPEC) {
 376             st->hand_state = TLS_ST_CR_CHANGE;
 377             return 1;
 378         }
 379         break;
 380
 381     case TLS_ST_CR_SESSION_TICKET:
 382         if (mt == SSL3_MT_CHANGE_CIPHER_SPEC) {
 383             st->hand_state = TLS_ST_CR_CHANGE;
 384             return 1;
 385         }
 386         break;
 387
 388     case TLS_ST_CR_CHANGE:
 389         if (mt == SSL3_MT_FINISHED) {
 390             st->hand_state = TLS_ST_CR_FINISHED;
 391             return 1;
 392         }
 393         break;
 394
 395     case TLS_ST_OK:
 396         if (mt == SSL3_MT_HELLO_REQUEST) {
 397             st->hand_state = TLS_ST_CR_HELLO_REQ;
 398             return 1;
 399         }
 400         break;
 401     }
 402
 403  err:
 404     /* No valid transition found */
 405     ssl3_send_alert(s, SSL3_AL_FATAL, SSL3_AD_UNEXPECTED_MESSAGE);
 406     SSLerr(SSL_F_OSSL_STATEM_CLIENT_READ_TRANSITION, SSL_R_UNEXPECTED_MESSAGE);
 407     return 0;
 408 }
 409
 410 /*
 411  * ossl_statem_client13_write_transition() works out what handshake state to
 412  * move to next when the TLSv1.3 client is writing messages to be sent to the
 413  * server.
 414  */
 415 static WRITE_TRAN ossl_statem_client13_write_transition(SSL *s)
 416 {
 417     OSSL_STATEM *st = &s->statem;
 418
 419     /*
 420      * Note: There are no cases for TLS_ST_BEFORE because we haven't negotiated
 421      * TLSv1.3 yet at that point. They are handled by
 422      * ossl_statem_client_write_transition().
 423      */
 424     switch (st->hand_state) {
 425     default:
 426         /* Shouldn't happen */
 427         return WRITE_TRAN_ERROR;
 428
 429     case TLS_ST_CW_CLNT_HELLO:
 430         /* We only hit this in the case of HelloRetryRequest */
 431         return WRITE_TRAN_FINISHED;
 432
 433     case TLS_ST_CR_HELLO_RETRY_REQUEST:
 434         st->hand_state = TLS_ST_CW_CLNT_HELLO;
 435         return WRITE_TRAN_CONTINUE;
 436
 437     case TLS_ST_CR_FINISHED:
 438         if (s->early_data_state == SSL_EARLY_DATA_WRITE_RETRY
 439                 || s->early_data_state == SSL_EARLY_DATA_FINISHED_WRITING)
 440             st->hand_state = TLS_ST_PENDING_EARLY_DATA_END;
 441         else
 442             st->hand_state = (s->s3->tmp.cert_req != 0) ? TLS_ST_CW_CERT
 443                                                         : TLS_ST_CW_FINISHED;
 444         return WRITE_TRAN_CONTINUE;
 445
 446     case TLS_ST_PENDING_EARLY_DATA_END:
 447         if (s->ext.early_data == SSL_EARLY_DATA_ACCEPTED) {
 448             st->hand_state = TLS_ST_CW_END_OF_EARLY_DATA;
 449             return WRITE_TRAN_CONTINUE;
 450         }
 451         /* Fall through */
 452
 453     case TLS_ST_CW_END_OF_EARLY_DATA:
 454         st->hand_state = (s->s3->tmp.cert_req != 0) ? TLS_ST_CW_CERT
 455                                                     : TLS_ST_CW_FINISHED;
 456         return WRITE_TRAN_CONTINUE;
 457
 458     case TLS_ST_CW_CERT:
 459         /* If a non-empty Certificate we also send CertificateVerify */
 460         st->hand_state = (s->s3->tmp.cert_req == 1) ? TLS_ST_CW_CERT_VRFY
 461                                                     : TLS_ST_CW_FINISHED;
 462         return WRITE_TRAN_CONTINUE;
 463
 464     case TLS_ST_CW_CERT_VRFY:
 465         st->hand_state = TLS_ST_CW_FINISHED;
 466         return WRITE_TRAN_CONTINUE;
 467
 468     case TLS_ST_CR_KEY_UPDATE:
 469         if (s->key_update != SSL_KEY_UPDATE_NONE) {
 470             st->hand_state = TLS_ST_CW_KEY_UPDATE;
 471             return WRITE_TRAN_CONTINUE;
 472         }
 473         /* Fall through */
 474
 475     case TLS_ST_CW_KEY_UPDATE:
 476     case TLS_ST_CR_SESSION_TICKET:
 477     case TLS_ST_CW_FINISHED:
 478         st->hand_state = TLS_ST_OK;
 479         return WRITE_TRAN_CONTINUE;
 480
 481     case TLS_ST_OK:
 482         if (s->key_update != SSL_KEY_UPDATE_NONE) {
 483             st->hand_state = TLS_ST_CW_KEY_UPDATE;
 484             return WRITE_TRAN_CONTINUE;
 485         }
 486
 487         /* Try to read from the server instead */
 488         return WRITE_TRAN_FINISHED;
 489     }
 490 }
 491
 492 /*
 493  * ossl_statem_client_write_transition() works out what handshake state to
 494  * move to next when the client is writing messages to be sent to the server.
 495  */
 496 WRITE_TRAN ossl_statem_client_write_transition(SSL *s)
 497 {
 498     OSSL_STATEM *st = &s->statem;
 499
 500     /*
 501      * Note that immediately before/after a ClientHello we don't know what
 502      * version we are going to negotiate yet, so we don't take this branch until
 503      * later
 504      */
 505     if (SSL_IS_TLS13(s))
 506         return ossl_statem_client13_write_transition(s);
 507
 508     switch (st->hand_state) {
 509     default:
 510         /* Shouldn't happen */
 511         return WRITE_TRAN_ERROR;
 512
 513     case TLS_ST_OK:
 514         if (!s->renegotiate) {
 515             /*
 516              * We haven't requested a renegotiation ourselves so we must have
 517              * received a message from the server. Better read it.
 518              */
 519             return WRITE_TRAN_FINISHED;
 520         }
 521         /* Renegotiation - fall through */
 522     case TLS_ST_BEFORE:
 523         st->hand_state = TLS_ST_CW_CLNT_HELLO;
 524         return WRITE_TRAN_CONTINUE;
 525
 526     case TLS_ST_CW_CLNT_HELLO:
 527         if (s->early_data_state == SSL_EARLY_DATA_CONNECTING) {
 528             /*
 529              * We are assuming this is a TLSv1.3 connection, although we haven't
 530              * actually selected a version yet.
 531              */
 532             st->hand_state = TLS_ST_EARLY_DATA;
 533             return WRITE_TRAN_CONTINUE;
 534         }
 535         /*
 536          * No transition at the end of writing because we don't know what
 537          * we will be sent
 538          */
 539         return WRITE_TRAN_FINISHED;
 540
 541     case TLS_ST_EARLY_DATA:
 542         return WRITE_TRAN_FINISHED;
 543
 544     case DTLS_ST_CR_HELLO_VERIFY_REQUEST:
 545         st->hand_state = TLS_ST_CW_CLNT_HELLO;
 546         return WRITE_TRAN_CONTINUE;
 547
 548     case TLS_ST_CR_SRVR_DONE:
 549         if (s->s3->tmp.cert_req)
 550             st->hand_state = TLS_ST_CW_CERT;
 551         else
 552             st->hand_state = TLS_ST_CW_KEY_EXCH;
 553         return WRITE_TRAN_CONTINUE;
 554
 555     case TLS_ST_CW_CERT:
 556         st->hand_state = TLS_ST_CW_KEY_EXCH;
 557         return WRITE_TRAN_CONTINUE;
 558
 559     case TLS_ST_CW_KEY_EXCH:
 560         /*
 561          * For TLS, cert_req is set to 2, so a cert chain of nothing is
 562          * sent, but no verify packet is sent
 563          */
 564         /*
 565          * XXX: For now, we do not support client authentication in ECDH
 566          * cipher suites with ECDH (rather than ECDSA) certificates. We
 567          * need to skip the certificate verify message when client's
 568          * ECDH public key is sent inside the client certificate.
 569          */
 570         if (s->s3->tmp.cert_req == 1) {
 571             st->hand_state = TLS_ST_CW_CERT_VRFY;
 572         } else {
 573             st->hand_state = TLS_ST_CW_CHANGE;
 574         }
 575         if (s->s3->flags & TLS1_FLAGS_SKIP_CERT_VERIFY) {
 576             st->hand_state = TLS_ST_CW_CHANGE;
 577         }
 578         return WRITE_TRAN_CONTINUE;
 579
 580     case TLS_ST_CW_CERT_VRFY:
 581         st->hand_state = TLS_ST_CW_CHANGE;
 582         return WRITE_TRAN_CONTINUE;
 583
 584     case TLS_ST_CW_CHANGE:
 585 #if defined(OPENSSL_NO_NEXTPROTONEG)
 586         st->
 587         hand_state = TLS_ST_CW_FINISHED;
 588 #else
 589         if (!SSL_IS_DTLS(s) && s->s3->npn_seen)
 590             st->hand_state = TLS_ST_CW_NEXT_PROTO;
 591         else
 592             st->hand_state = TLS_ST_CW_FINISHED;
 593 #endif
 594         return WRITE_TRAN_CONTINUE;
 595
 596 #if !defined(OPENSSL_NO_NEXTPROTONEG)
 597     case TLS_ST_CW_NEXT_PROTO:
 598         st->hand_state = TLS_ST_CW_FINISHED;
 599         return WRITE_TRAN_CONTINUE;
 600 #endif
 601
 602     case TLS_ST_CW_FINISHED:
 603         if (s->hit) {
 604             st->hand_state = TLS_ST_OK;
 605             return WRITE_TRAN_CONTINUE;
 606         } else {
 607             return WRITE_TRAN_FINISHED;
 608         }
 609
 610     case TLS_ST_CR_FINISHED:
 611         if (s->hit) {
 612             st->hand_state = TLS_ST_CW_CHANGE;
 613             return WRITE_TRAN_CONTINUE;
 614         } else {
 615             st->hand_state = TLS_ST_OK;
 616             return WRITE_TRAN_CONTINUE;
 617         }
 618
 619     case TLS_ST_CR_HELLO_REQ:
 620         /*
 621          * If we can renegotiate now then do so, otherwise wait for a more
 622          * convenient time.
 623          */
 624         if (ssl3_renegotiate_check(s, 1)) {
 625             if (!tls_setup_handshake(s)) {
 626                 ossl_statem_set_error(s);
 627                 return WRITE_TRAN_ERROR;
 628             }
 629             st->hand_state = TLS_ST_CW_CLNT_HELLO;
 630             return WRITE_TRAN_CONTINUE;
 631         }
 632         st->hand_state = TLS_ST_OK;
 633         return WRITE_TRAN_CONTINUE;
 634     }
 635 }
 636
 637 /*
 638  * Perform any pre work that needs to be done prior to sending a message from
 639  * the client to the server.
 640  */
 641 WORK_STATE ossl_statem_client_pre_work(SSL *s, WORK_STATE wst)
 642 {
 643     OSSL_STATEM *st = &s->statem;
 644
 645     switch (st->hand_state) {
 646     default:
 647         /* No pre work to be done */
 648         break;
 649
 650     case TLS_ST_CW_CLNT_HELLO:
 651         s->shutdown = 0;
 652         if (SSL_IS_DTLS(s)) {
 653             /* every DTLS ClientHello resets Finished MAC */
 654             if (!ssl3_init_finished_mac(s)) {
 655                 ossl_statem_set_error(s);
 656                 return WORK_ERROR;
 657             }
 658         }
 659         break;
 660
 661     case TLS_ST_CW_CHANGE:
 662         if (SSL_IS_DTLS(s)) {
 663             if (s->hit) {
 664                 /*
 665                  * We're into the last flight so we don't retransmit these
 666                  * messages unless we need to.
 667                  */
 668                 st->use_timer = 0;
 669             }
 670 #ifndef OPENSSL_NO_SCTP
 671             if (BIO_dgram_is_sctp(SSL_get_wbio(s)))
 672                 return dtls_wait_for_dry(s);
 673 #endif
 674         }
 675         break;
 676
 677     case TLS_ST_PENDING_EARLY_DATA_END:
 678         /*
 679          * If we've been called by SSL_do_handshake()/SSL_write(), or we did not
 680          * attempt to write early data before calling SSL_read() then we press
 681          * on with the handshake. Otherwise we pause here.
 682          */
 683         if (s->early_data_state == SSL_EARLY_DATA_FINISHED_WRITING
 684                 || s->early_data_state == SSL_EARLY_DATA_NONE)
 685             return WORK_FINISHED_CONTINUE;
 686         /* Fall through */
 687
 688     case TLS_ST_EARLY_DATA:
 689     case TLS_ST_OK:
 690         return tls_finish_handshake(s, wst, 1);
 691     }
 692
 693     return WORK_FINISHED_CONTINUE;
 694 }
 695
 696 /*
 697  * Perform any work that needs to be done after sending a message from the
 698  * client to the server.
 699  */
 700 WORK_STATE ossl_statem_client_post_work(SSL *s, WORK_STATE wst)
 701 {
 702     OSSL_STATEM *st = &s->statem;
 703
 704     s->init_num = 0;
 705
 706     switch (st->hand_state) {
 707     default:
 708         /* No post work to be done */
 709         break;
 710
 711     case TLS_ST_CW_CLNT_HELLO:
 712         if (wst == WORK_MORE_A && statem_flush(s) != 1)
 713             return WORK_MORE_A;
 714
 715         if (SSL_IS_DTLS(s)) {
 716             /* Treat the next message as the first packet */
 717             s->first_packet = 1;
 718         }
 719
 720         if (s->early_data_state == SSL_EARLY_DATA_CONNECTING
 721                 && s->max_early_data > 0) {
 722             /*
 723              * We haven't selected TLSv1.3 yet so we don't call the change
 724              * cipher state function associated with the SSL_METHOD. Instead
 725              * we call tls13_change_cipher_state() directly.
 726              */
 727             if (!tls13_change_cipher_state(s,
 728                         SSL3_CC_EARLY | SSL3_CHANGE_CIPHER_CLIENT_WRITE))
 729                 return WORK_ERROR;
 730         }
 731         break;
 732
 733     case TLS_ST_CW_END_OF_EARLY_DATA:
 734         /*
 735          * We set the enc_write_ctx back to NULL because we may end up writing
 736          * in cleartext again if we get a HelloRetryRequest from the server.
 737          */
 738         EVP_CIPHER_CTX_free(s->enc_write_ctx);
 739         s->enc_write_ctx = NULL;
 740         break;
 741
 742     case TLS_ST_CW_KEY_EXCH:
 743         if (tls_client_key_exchange_post_work(s) == 0)
 744             return WORK_ERROR;
 745         break;
 746
 747     case TLS_ST_CW_CHANGE:
 748         s->session->cipher = s->s3->tmp.new_cipher;
 749 #ifdef OPENSSL_NO_COMP
 750         s->session->compress_meth = 0;
 751 #else
 752         if (s->s3->tmp.new_compression == NULL)
 753             s->session->compress_meth = 0;
 754         else
 755             s->session->compress_meth = s->s3->tmp.new_compression->id;
 756 #endif
 757         if (!s->method->ssl3_enc->setup_key_block(s))
 758             return WORK_ERROR;
 759
 760         if (!s->method->ssl3_enc->change_cipher_state(s,
 761                                                       SSL3_CHANGE_CIPHER_CLIENT_WRITE))
 762             return WORK_ERROR;
 763
 764         if (SSL_IS_DTLS(s)) {
 765 #ifndef OPENSSL_NO_SCTP
 766             if (s->hit) {
 767                 /*
 768                  * Change to new shared key of SCTP-Auth, will be ignored if
 769                  * no SCTP used.
 770                  */
 771                 BIO_ctrl(SSL_get_wbio(s), BIO_CTRL_DGRAM_SCTP_NEXT_AUTH_KEY,
 772                          0, NULL);
 773             }
 774 #endif
 775
 776             dtls1_reset_seq_numbers(s, SSL3_CC_WRITE);
 777         }
 778         break;
 779
 780     case TLS_ST_CW_FINISHED:
 781 #ifndef OPENSSL_NO_SCTP
 782         if (wst == WORK_MORE_A && SSL_IS_DTLS(s) && s->hit == 0) {
 783             /*
 784              * Change to new shared key of SCTP-Auth, will be ignored if
 785              * no SCTP used.
 786              */
 787             BIO_ctrl(SSL_get_wbio(s), BIO_CTRL_DGRAM_SCTP_NEXT_AUTH_KEY,
 788                      0, NULL);
 789         }
 790 #endif
 791         if (statem_flush(s) != 1)
 792             return WORK_MORE_B;
 793
 794         if (SSL_IS_TLS13(s)) {
 795             if (!s->method->ssl3_enc->change_cipher_state(s,
 796                         SSL3_CC_APPLICATION | SSL3_CHANGE_CIPHER_CLIENT_WRITE))
 797             return WORK_ERROR;
 798         }
 799         break;
 800
 801     case TLS_ST_CW_KEY_UPDATE:
 802         if (statem_flush(s) != 1)
 803             return WORK_MORE_A;
 804         if (!tls13_update_key(s, 1))
 805             return WORK_ERROR;
 806         break;
 807     }
 808
 809     return WORK_FINISHED_CONTINUE;
 810 }
 811
 812 /*
 813  * Get the message construction function and message type for sending from the
 814  * client
 815  *
 816  * Valid return values are:
 817  *   1: Success
 818  *   0: Error
 819  */
 820 int ossl_statem_client_construct_message(SSL *s, WPACKET *pkt,
 821                                          confunc_f *confunc, int *mt)
 822 {
 823     OSSL_STATEM *st = &s->statem;
 824
 825     switch (st->hand_state) {
 826     default:
 827         /* Shouldn't happen */
 828         return 0;
 829
 830     case TLS_ST_CW_CHANGE:
 831         if (SSL_IS_DTLS(s))
 832             *confunc = dtls_construct_change_cipher_spec;
 833         else
 834             *confunc = tls_construct_change_cipher_spec;
 835         *mt = SSL3_MT_CHANGE_CIPHER_SPEC;
 836         break;
 837
 838     case TLS_ST_CW_CLNT_HELLO:
 839         *confunc = tls_construct_client_hello;
 840         *mt = SSL3_MT_CLIENT_HELLO;
 841         break;
 842
 843     case TLS_ST_CW_END_OF_EARLY_DATA:
 844         *confunc = tls_construct_end_of_early_data;
 845         *mt = SSL3_MT_END_OF_EARLY_DATA;
 846         break;
 847
 848     case TLS_ST_PENDING_EARLY_DATA_END:
 849         *confunc = NULL;
 850         *mt = SSL3_MT_DUMMY;
 851         break;
 852
 853     case TLS_ST_CW_CERT:
 854         *confunc = tls_construct_client_certificate;
 855         *mt = SSL3_MT_CERTIFICATE;
 856         break;
 857
 858     case TLS_ST_CW_KEY_EXCH:
 859         *confunc = tls_construct_client_key_exchange;
 860         *mt = SSL3_MT_CLIENT_KEY_EXCHANGE;
 861         break;
 862
 863     case TLS_ST_CW_CERT_VRFY:
 864         *confunc = tls_construct_cert_verify;
 865         *mt = SSL3_MT_CERTIFICATE_VERIFY;
 866         break;
 867
 868 #if !defined(OPENSSL_NO_NEXTPROTONEG)
 869     case TLS_ST_CW_NEXT_PROTO:
 870         *confunc = tls_construct_next_proto;
 871         *mt = SSL3_MT_NEXT_PROTO;
 872         break;
 873 #endif
 874     case TLS_ST_CW_FINISHED:
 875         *confunc = tls_construct_finished;
 876         *mt = SSL3_MT_FINISHED;
 877         break;
 878
 879     case TLS_ST_CW_KEY_UPDATE:
 880         *confunc = tls_construct_key_update;
 881         *mt = SSL3_MT_KEY_UPDATE;
 882         break;
 883     }
 884
 885     return 1;
 886 }
 887
 888 /*
 889  * Returns the maximum allowed length for the current message that we are
 890  * reading. Excludes the message header.
 891  */
 892 size_t ossl_statem_client_max_message_size(SSL *s)
 893 {
 894     OSSL_STATEM *st = &s->statem;
 895
 896     switch (st->hand_state) {
 897     default:
 898         /* Shouldn't happen */
 899         return 0;
 900
 901     case TLS_ST_CR_SRVR_HELLO:
 902         return SERVER_HELLO_MAX_LENGTH;
 903
 904     case DTLS_ST_CR_HELLO_VERIFY_REQUEST:
 905         return HELLO_VERIFY_REQUEST_MAX_LENGTH;
 906
 907     case TLS_ST_CR_HELLO_RETRY_REQUEST:
 908         return HELLO_RETRY_REQUEST_MAX_LENGTH;
 909
 910     case TLS_ST_CR_CERT:
 911         return s->max_cert_list;
 912
 913     case TLS_ST_CR_CERT_VRFY:
 914         return SSL3_RT_MAX_PLAIN_LENGTH;
 915
 916     case TLS_ST_CR_CERT_STATUS:
 917         return SSL3_RT_MAX_PLAIN_LENGTH;
 918
 919     case TLS_ST_CR_KEY_EXCH:
 920         return SERVER_KEY_EXCH_MAX_LENGTH;
 921
 922     case TLS_ST_CR_CERT_REQ:
 923         /*
 924          * Set to s->max_cert_list for compatibility with previous releases. In
 925          * practice these messages can get quite long if servers are configured
 926          * to provide a long list of acceptable CAs
 927          */
 928         return s->max_cert_list;
 929
 930     case TLS_ST_CR_SRVR_DONE:
 931         return SERVER_HELLO_DONE_MAX_LENGTH;
 932
 933     case TLS_ST_CR_CHANGE:
 934         if (s->version == DTLS1_BAD_VER)
 935             return 3;
 936         return CCS_MAX_LENGTH;
 937
 938     case TLS_ST_CR_SESSION_TICKET:
 939         return SSL3_RT_MAX_PLAIN_LENGTH;
 940
 941     case TLS_ST_CR_FINISHED:
 942         return FINISHED_MAX_LENGTH;
 943
 944     case TLS_ST_CR_ENCRYPTED_EXTENSIONS:
 945         return ENCRYPTED_EXTENSIONS_MAX_LENGTH;
 946
 947     case TLS_ST_CR_KEY_UPDATE:
 948         return KEY_UPDATE_MAX_LENGTH;
 949     }
 950 }
 951
 952 /*
 953  * Process a message that the client has been received from the server.
 954  */
 955 MSG_PROCESS_RETURN ossl_statem_client_process_message(SSL *s, PACKET *pkt)
 956 {
 957     OSSL_STATEM *st = &s->statem;
 958
 959     switch (st->hand_state) {
 960     default:
 961         /* Shouldn't happen */
 962         return MSG_PROCESS_ERROR;
 963
 964     case TLS_ST_CR_SRVR_HELLO:
 965         return tls_process_server_hello(s, pkt);
 966
 967     case DTLS_ST_CR_HELLO_VERIFY_REQUEST:
 968         return dtls_process_hello_verify(s, pkt);
 969
 970     case TLS_ST_CR_HELLO_RETRY_REQUEST:
 971         return tls_process_hello_retry_request(s, pkt);
 972
 973     case TLS_ST_CR_CERT:
 974         return tls_process_server_certificate(s, pkt);
 975
 976     case TLS_ST_CR_CERT_VRFY:
 977         return tls_process_cert_verify(s, pkt);
 978
 979     case TLS_ST_CR_CERT_STATUS:
 980         return tls_process_cert_status(s, pkt);
 981
 982     case TLS_ST_CR_KEY_EXCH:
 983         return tls_process_key_exchange(s, pkt);
 984
 985     case TLS_ST_CR_CERT_REQ:
 986         return tls_process_certificate_request(s, pkt);
 987
 988     case TLS_ST_CR_SRVR_DONE:
 989         return tls_process_server_done(s, pkt);
 990
 991     case TLS_ST_CR_CHANGE:
 992         return tls_process_change_cipher_spec(s, pkt);
 993
 994     case TLS_ST_CR_SESSION_TICKET:
 995         return tls_process_new_session_ticket(s, pkt);
 996
 997     case TLS_ST_CR_FINISHED:
 998         return tls_process_finished(s, pkt);
 999
1000     case TLS_ST_CR_HELLO_REQ:
1001         return tls_process_hello_req(s, pkt);
1002
1003     case TLS_ST_CR_ENCRYPTED_EXTENSIONS:
1004         return tls_process_encrypted_extensions(s, pkt);
1005
1006     case TLS_ST_CR_KEY_UPDATE:
1007         return tls_process_key_update(s, pkt);
1008     }
1009 }
1010
1011 /*
1012  * Perform any further processing required following the receipt of a message
1013  * from the server
1014  */
1015 WORK_STATE ossl_statem_client_post_process_message(SSL *s, WORK_STATE wst)
1016 {
1017     OSSL_STATEM *st = &s->statem;
1018
1019     switch (st->hand_state) {
1020     default:
1021         /* Shouldn't happen */
1022         return WORK_ERROR;
1023
1024     case TLS_ST_CR_CERT_REQ:
1025         return tls_prepare_client_certificate(s, wst);
1026
1027 #ifndef OPENSSL_NO_SCTP
1028     case TLS_ST_CR_SRVR_DONE:
1029         /* We only get here if we are using SCTP and we are renegotiating */
1030         if (BIO_dgram_sctp_msg_waiting(SSL_get_rbio(s))) {
1031             s->s3->in_read_app_data = 2;
1032             s->rwstate = SSL_READING;
1033             BIO_clear_retry_flags(SSL_get_rbio(s));
1034             BIO_set_retry_read(SSL_get_rbio(s));
1035             ossl_statem_set_sctp_read_sock(s, 1);
1036             return WORK_MORE_A;
1037         }
1038         ossl_statem_set_sctp_read_sock(s, 0);
1039         return WORK_FINISHED_STOP;
1040 #endif
1041     }
1042 }
1043
1044 int tls_construct_client_hello(SSL *s, WPACKET *pkt)
1045 {
1046     unsigned char *p;
1047     size_t sess_id_len;
1048     int i, protverr;
1049     int al = SSL_AD_HANDSHAKE_FAILURE;
1050 #ifndef OPENSSL_NO_COMP
1051     SSL_COMP *comp;
1052 #endif
1053     SSL_SESSION *sess = s->session;
1054
1055     if (!WPACKET_set_max_size(pkt, SSL3_RT_MAX_PLAIN_LENGTH)) {
1056         /* Should not happen */
1057         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1058         return 0;
1059     }
1060
1061     /* Work out what SSL/TLS/DTLS version to use */
1062     protverr = ssl_set_client_hello_version(s);
1063     if (protverr != 0) {
1064         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, protverr);
1065         return 0;
1066     }
1067
1068     if ((sess == NULL) || !ssl_version_supported(s, sess->ssl_version) ||
1069         /*
1070          * In the case of EAP-FAST, we can have a pre-shared
1071          * "ticket" without a session ID.
1072          */
1073         (!sess->session_id_length && !sess->ext.tick) ||
1074         (sess->not_resumable)) {
1075         if (!ssl_get_new_session(s, 0))
1076             return 0;
1077     }
1078     /* else use the pre-loaded session */
1079
1080     p = s->s3->client_random;
1081
1082     /*
1083      * for DTLS if client_random is initialized, reuse it, we are
1084      * required to use same upon reply to HelloVerify
1085      */
1086     if (SSL_IS_DTLS(s)) {
1087         size_t idx;
1088         i = 1;
1089         for (idx = 0; idx < sizeof(s->s3->client_random); idx++) {
1090             if (p[idx]) {
1091                 i = 0;
1092                 break;
1093             }
1094         }
1095     } else
1096         i = 1;
1097
1098     if (i && ssl_fill_hello_random(s, 0, p, sizeof(s->s3->client_random)) <= 0)
1099         return 0;
1100
1101     /*-
1102      * version indicates the negotiated version: for example from
1103      * an SSLv2/v3 compatible client hello). The client_version
1104      * field is the maximum version we permit and it is also
1105      * used in RSA encrypted premaster secrets. Some servers can
1106      * choke if we initially report a higher version then
1107      * renegotiate to a lower one in the premaster secret. This
1108      * didn't happen with TLS 1.0 as most servers supported it
1109      * but it can with TLS 1.1 or later if the server only supports
1110      * 1.0.
1111      *
1112      * Possible scenario with previous logic:
1113      *      1. Client hello indicates TLS 1.2
1114      *      2. Server hello says TLS 1.0
1115      *      3. RSA encrypted premaster secret uses 1.2.
1116      *      4. Handshake proceeds using TLS 1.0.
1117      *      5. Server sends hello request to renegotiate.
1118      *      6. Client hello indicates TLS v1.0 as we now
1119      *         know that is maximum server supports.
1120      *      7. Server chokes on RSA encrypted premaster secret
1121      *         containing version 1.0.
1122      *
1123      * For interoperability it should be OK to always use the
1124      * maximum version we support in client hello and then rely
1125      * on the checking of version to ensure the servers isn't
1126      * being inconsistent: for example initially negotiating with
1127      * TLS 1.0 and renegotiating with TLS 1.2. We do this by using
1128      * client_version in client hello and not resetting it to
1129      * the negotiated version.
1130      *
1131      * For TLS 1.3 we always set the ClientHello version to 1.2 and rely on the
1132      * supported_versions extension for the real supported versions.
1133      */
1134     if (!WPACKET_put_bytes_u16(pkt, s->client_version)
1135             || !WPACKET_memcpy(pkt, s->s3->client_random, SSL3_RANDOM_SIZE)) {
1136         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1137         return 0;
1138     }
1139
1140     /* Session ID */
1141     if (s->new_session || s->session->ssl_version == TLS1_3_VERSION)
1142         sess_id_len = 0;
1143     else
1144         sess_id_len = s->session->session_id_length;
1145     if (sess_id_len > sizeof(s->session->session_id)
1146             || !WPACKET_start_sub_packet_u8(pkt)
1147             || (sess_id_len != 0 && !WPACKET_memcpy(pkt, s->session->session_id,
1148                                                     sess_id_len))
1149             || !WPACKET_close(pkt)) {
1150         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1151         return 0;
1152     }
1153
1154     /* cookie stuff for DTLS */
1155     if (SSL_IS_DTLS(s)) {
1156         if (s->d1->cookie_len > sizeof(s->d1->cookie)
1157                 || !WPACKET_sub_memcpy_u8(pkt, s->d1->cookie,
1158                                           s->d1->cookie_len)) {
1159             SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1160             return 0;
1161         }
1162     }
1163
1164     /* Ciphers supported */
1165     if (!WPACKET_start_sub_packet_u16(pkt)) {
1166         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1167         return 0;
1168     }
1169     /* ssl_cipher_list_to_bytes() raises SSLerr if appropriate */
1170     if (!ssl_cipher_list_to_bytes(s, SSL_get_ciphers(s), pkt))
1171         return 0;
1172     if (!WPACKET_close(pkt)) {
1173         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1174         return 0;
1175     }
1176
1177     /* COMPRESSION */
1178     if (!WPACKET_start_sub_packet_u8(pkt)) {
1179         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1180         return 0;
1181     }
1182 #ifndef OPENSSL_NO_COMP
1183     if (ssl_allow_compression(s)
1184             && s->ctx->comp_methods
1185             && (SSL_IS_DTLS(s) || s->s3->tmp.max_ver < TLS1_3_VERSION)) {
1186         int compnum = sk_SSL_COMP_num(s->ctx->comp_methods);
1187         for (i = 0; i < compnum; i++) {
1188             comp = sk_SSL_COMP_value(s->ctx->comp_methods, i);
1189             if (!WPACKET_put_bytes_u8(pkt, comp->id)) {
1190                 SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1191                 return 0;
1192             }
1193         }
1194     }
1195 #endif
1196     /* Add the NULL method */
1197     if (!WPACKET_put_bytes_u8(pkt, 0) || !WPACKET_close(pkt)) {
1198         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1199         return 0;
1200     }
1201
1202     /* TLS extensions */
1203     if (!tls_construct_extensions(s, pkt, EXT_CLIENT_HELLO, NULL, 0, &al)) {
1204         ssl3_send_alert(s, SSL3_AL_FATAL, al);
1205         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_HELLO, ERR_R_INTERNAL_ERROR);
1206         return 0;
1207     }
1208
1209     return 1;
1210 }
1211
1212 MSG_PROCESS_RETURN dtls_process_hello_verify(SSL *s, PACKET *pkt)
1213 {
1214     int al;
1215     size_t cookie_len;
1216     PACKET cookiepkt;
1217
1218     if (!PACKET_forward(pkt, 2)
1219         || !PACKET_get_length_prefixed_1(pkt, &cookiepkt)) {
1220         al = SSL_AD_DECODE_ERROR;
1221         SSLerr(SSL_F_DTLS_PROCESS_HELLO_VERIFY, SSL_R_LENGTH_MISMATCH);
1222         goto f_err;
1223     }
1224
1225     cookie_len = PACKET_remaining(&cookiepkt);
1226     if (cookie_len > sizeof(s->d1->cookie)) {
1227         al = SSL_AD_ILLEGAL_PARAMETER;
1228         SSLerr(SSL_F_DTLS_PROCESS_HELLO_VERIFY, SSL_R_LENGTH_TOO_LONG);
1229         goto f_err;
1230     }
1231
1232     if (!PACKET_copy_bytes(&cookiepkt, s->d1->cookie, cookie_len)) {
1233         al = SSL_AD_DECODE_ERROR;
1234         SSLerr(SSL_F_DTLS_PROCESS_HELLO_VERIFY, SSL_R_LENGTH_MISMATCH);
1235         goto f_err;
1236     }
1237     s->d1->cookie_len = cookie_len;
1238
1239     return MSG_PROCESS_FINISHED_READING;
1240  f_err:
1241     ssl3_send_alert(s, SSL3_AL_FATAL, al);
1242     ossl_statem_set_error(s);
1243     return MSG_PROCESS_ERROR;
1244 }
1245
1246 MSG_PROCESS_RETURN tls_process_server_hello(SSL *s, PACKET *pkt)
1247 {
1248     STACK_OF(SSL_CIPHER) *sk;
1249     const SSL_CIPHER *c;
1250     PACKET session_id, extpkt;
1251     size_t session_id_len;
1252     const unsigned char *cipherchars;
1253     int i, al = SSL_AD_INTERNAL_ERROR;
1254     unsigned int compression;
1255     unsigned int sversion;
1256     unsigned int context;
1257     int protverr;
1258     RAW_EXTENSION *extensions = NULL;
1259 #ifndef OPENSSL_NO_COMP
1260     SSL_COMP *comp;
1261 #endif
1262
1263     if (!PACKET_get_net_2(pkt, &sversion)) {
1264         al = SSL_AD_DECODE_ERROR;
1265         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1266         goto f_err;
1267     }
1268
1269     /* We do this immediately so we know what format the ServerHello is in */
1270     protverr = ssl_choose_client_version(s, sversion);
1271     if (protverr != 0) {
1272         al = SSL_AD_PROTOCOL_VERSION;
1273         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, protverr);
1274         goto f_err;
1275     }
1276
1277     /*
1278      * In TLSv1.3 a ServerHello message signals a key change so the end of the
1279      * message must be on a record boundary.
1280      */
1281     if (SSL_IS_TLS13(s) && RECORD_LAYER_processed_read_pending(&s->rlayer)) {
1282         al = SSL_AD_UNEXPECTED_MESSAGE;
1283         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_NOT_ON_RECORD_BOUNDARY);
1284         goto f_err;
1285     }
1286
1287     /* load the server hello data */
1288     /* load the server random */
1289     if (!PACKET_copy_bytes(pkt, s->s3->server_random, SSL3_RANDOM_SIZE)) {
1290         al = SSL_AD_DECODE_ERROR;
1291         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1292         goto f_err;
1293     }
1294
1295     /* Get the session-id. */
1296     if (!SSL_IS_TLS13(s)) {
1297         if (!PACKET_get_length_prefixed_1(pkt, &session_id)) {
1298             al = SSL_AD_DECODE_ERROR;
1299             SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1300             goto f_err;
1301         }
1302         session_id_len = PACKET_remaining(&session_id);
1303         if (session_id_len > sizeof s->session->session_id
1304             || session_id_len > SSL3_SESSION_ID_SIZE) {
1305             al = SSL_AD_ILLEGAL_PARAMETER;
1306             SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1307                    SSL_R_SSL3_SESSION_ID_TOO_LONG);
1308             goto f_err;
1309         }
1310     } else {
1311         PACKET_null_init(&session_id);
1312         session_id_len = 0;
1313     }
1314
1315     if (!PACKET_get_bytes(pkt, &cipherchars, TLS_CIPHER_LEN)) {
1316         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1317         al = SSL_AD_DECODE_ERROR;
1318         goto f_err;
1319     }
1320
1321     if (!SSL_IS_TLS13(s)) {
1322         if (!PACKET_get_1(pkt, &compression)) {
1323             SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_LENGTH_MISMATCH);
1324             al = SSL_AD_DECODE_ERROR;
1325             goto f_err;
1326         }
1327     } else {
1328         compression = 0;
1329     }
1330
1331     /* TLS extensions */
1332     if (PACKET_remaining(pkt) == 0) {
1333         PACKET_null_init(&extpkt);
1334     } else if (!PACKET_as_length_prefixed_2(pkt, &extpkt)) {
1335         al = SSL_AD_DECODE_ERROR;
1336         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_BAD_LENGTH);
1337         goto f_err;
1338     }
1339
1340     context = SSL_IS_TLS13(s) ? EXT_TLS1_3_SERVER_HELLO
1341                               : EXT_TLS1_2_SERVER_HELLO;
1342     if (!tls_collect_extensions(s, &extpkt, context, &extensions, &al, NULL))
1343         goto f_err;
1344
1345     s->hit = 0;
1346
1347     if (SSL_IS_TLS13(s)) {
1348         /* This will set s->hit if we are resuming */
1349         if (!tls_parse_extension(s, TLSEXT_IDX_psk,
1350                                  EXT_TLS1_3_SERVER_HELLO,
1351                                  extensions, NULL, 0, &al))
1352             goto f_err;
1353     } else {
1354         /*
1355          * Check if we can resume the session based on external pre-shared
1356          * secret. EAP-FAST (RFC 4851) supports two types of session resumption.
1357          * Resumption based on server-side state works with session IDs.
1358          * Resumption based on pre-shared Protected Access Credentials (PACs)
1359          * works by overriding the SessionTicket extension at the application
1360          * layer, and does not send a session ID. (We do not know whether
1361          * EAP-FAST servers would honour the session ID.) Therefore, the session
1362          * ID alone is not a reliable indicator of session resumption, so we
1363          * first check if we can resume, and later peek at the next handshake
1364          * message to see if the server wants to resume.
1365          */
1366         if (s->version >= TLS1_VERSION
1367                 && s->ext.session_secret_cb != NULL && s->session->ext.tick) {
1368             const SSL_CIPHER *pref_cipher = NULL;
1369             /*
1370              * s->session->master_key_length is a size_t, but this is an int for
1371              * backwards compat reasons
1372              */
1373             int master_key_length;
1374             master_key_length = sizeof(s->session->master_key);
1375             if (s->ext.session_secret_cb(s, s->session->master_key,
1376                                          &master_key_length,
1377                                          NULL, &pref_cipher,
1378                                          s->ext.session_secret_cb_arg)
1379                      && master_key_length > 0) {
1380                 s->session->master_key_length = master_key_length;
1381                 s->session->cipher = pref_cipher ?
1382                     pref_cipher : ssl_get_cipher_by_char(s, cipherchars, 0);
1383             } else {
1384                 SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, ERR_R_INTERNAL_ERROR);
1385                 al = SSL_AD_INTERNAL_ERROR;
1386                 goto f_err;
1387             }
1388         }
1389
1390         if (session_id_len != 0
1391                 && session_id_len == s->session->session_id_length
1392                 && memcmp(PACKET_data(&session_id), s->session->session_id,
1393                           session_id_len) == 0)
1394             s->hit = 1;
1395     }
1396
1397     if (s->hit) {
1398         if (s->sid_ctx_length != s->session->sid_ctx_length
1399                 || memcmp(s->session->sid_ctx, s->sid_ctx, s->sid_ctx_length)) {
1400             /* actually a client application bug */
1401             al = SSL_AD_ILLEGAL_PARAMETER;
1402             SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1403                    SSL_R_ATTEMPT_TO_REUSE_SESSION_IN_DIFFERENT_CONTEXT);
1404             goto f_err;
1405         }
1406     } else {
1407         /*
1408          * If we were trying for session-id reuse but the server
1409          * didn't resume, make a new SSL_SESSION.
1410          * In the case of EAP-FAST and PAC, we do not send a session ID,
1411          * so the PAC-based session secret is always preserved. It'll be
1412          * overwritten if the server refuses resumption.
1413          */
1414         if (s->session->session_id_length > 0
1415                 || (SSL_IS_TLS13(s)
1416                     && s->session->ext.tick_identity
1417                        != TLSEXT_PSK_BAD_IDENTITY)) {
1418             s->ctx->stats.sess_miss++;
1419             if (!ssl_get_new_session(s, 0)) {
1420                 goto f_err;
1421             }
1422         }
1423
1424         s->session->ssl_version = s->version;
1425         s->session->session_id_length = session_id_len;
1426         /* session_id_len could be 0 */
1427         if (session_id_len > 0)
1428             memcpy(s->session->session_id, PACKET_data(&session_id),
1429                    session_id_len);
1430     }
1431
1432     /* Session version and negotiated protocol version should match */
1433     if (s->version != s->session->ssl_version) {
1434         al = SSL_AD_PROTOCOL_VERSION;
1435
1436         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1437                SSL_R_SSL_SESSION_VERSION_MISMATCH);
1438         goto f_err;
1439     }
1440
1441     c = ssl_get_cipher_by_char(s, cipherchars, 0);
1442     if (c == NULL) {
1443         /* unknown cipher */
1444         al = SSL_AD_ILLEGAL_PARAMETER;
1445         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_UNKNOWN_CIPHER_RETURNED);
1446         goto f_err;
1447     }
1448     /*
1449      * Now that we know the version, update the check to see if it's an allowed
1450      * version.
1451      */
1452     s->s3->tmp.min_ver = s->version;
1453     s->s3->tmp.max_ver = s->version;
1454     /*
1455      * If it is a disabled cipher we either didn't send it in client hello,
1456      * or it's not allowed for the selected protocol. So we return an error.
1457      */
1458     if (ssl_cipher_disabled(s, c, SSL_SECOP_CIPHER_CHECK)) {
1459         al = SSL_AD_ILLEGAL_PARAMETER;
1460         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_WRONG_CIPHER_RETURNED);
1461         goto f_err;
1462     }
1463
1464     sk = ssl_get_ciphers_by_id(s);
1465     i = sk_SSL_CIPHER_find(sk, c);
1466     if (i < 0) {
1467         /* we did not say we would use this cipher */
1468         al = SSL_AD_ILLEGAL_PARAMETER;
1469         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_WRONG_CIPHER_RETURNED);
1470         goto f_err;
1471     }
1472
1473     /*
1474      * Depending on the session caching (internal/external), the cipher
1475      * and/or cipher_id values may not be set. Make sure that cipher_id is
1476      * set and use it for comparison.
1477      */
1478     if (s->session->cipher)
1479         s->session->cipher_id = s->session->cipher->id;
1480     if (s->hit && (s->session->cipher_id != c->id)) {
1481         al = SSL_AD_ILLEGAL_PARAMETER;
1482         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1483                SSL_R_OLD_SESSION_CIPHER_NOT_RETURNED);
1484         goto f_err;
1485     }
1486     s->s3->tmp.new_cipher = c;
1487
1488 #ifdef OPENSSL_NO_COMP
1489     if (compression != 0) {
1490         al = SSL_AD_ILLEGAL_PARAMETER;
1491         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1492                SSL_R_UNSUPPORTED_COMPRESSION_ALGORITHM);
1493         goto f_err;
1494     }
1495     /*
1496      * If compression is disabled we'd better not try to resume a session
1497      * using compression.
1498      */
1499     if (s->session->compress_meth != 0) {
1500         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_INCONSISTENT_COMPRESSION);
1501         goto f_err;
1502     }
1503 #else
1504     if (s->hit && compression != s->session->compress_meth) {
1505         al = SSL_AD_ILLEGAL_PARAMETER;
1506         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1507                SSL_R_OLD_SESSION_COMPRESSION_ALGORITHM_NOT_RETURNED);
1508         goto f_err;
1509     }
1510     if (compression == 0)
1511         comp = NULL;
1512     else if (!ssl_allow_compression(s)) {
1513         al = SSL_AD_ILLEGAL_PARAMETER;
1514         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_COMPRESSION_DISABLED);
1515         goto f_err;
1516     } else {
1517         comp = ssl3_comp_find(s->ctx->comp_methods, compression);
1518     }
1519
1520     if (compression != 0 && comp == NULL) {
1521         al = SSL_AD_ILLEGAL_PARAMETER;
1522         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO,
1523                SSL_R_UNSUPPORTED_COMPRESSION_ALGORITHM);
1524         goto f_err;
1525     } else {
1526         s->s3->tmp.new_compression = comp;
1527     }
1528 #endif
1529
1530     if (!tls_parse_all_extensions(s, context, extensions, NULL, 0, &al))
1531         goto f_err;
1532
1533 #ifndef OPENSSL_NO_SCTP
1534     if (SSL_IS_DTLS(s) && s->hit) {
1535         unsigned char sctpauthkey[64];
1536         char labelbuffer[sizeof(DTLS1_SCTP_AUTH_LABEL)];
1537
1538         /*
1539          * Add new shared key for SCTP-Auth, will be ignored if
1540          * no SCTP used.
1541          */
1542         memcpy(labelbuffer, DTLS1_SCTP_AUTH_LABEL,
1543                sizeof(DTLS1_SCTP_AUTH_LABEL));
1544
1545         if (SSL_export_keying_material(s, sctpauthkey,
1546                                        sizeof(sctpauthkey),
1547                                        labelbuffer,
1548                                        sizeof(labelbuffer), NULL, 0, 0) <= 0)
1549             goto f_err;
1550
1551         BIO_ctrl(SSL_get_wbio(s),
1552                  BIO_CTRL_DGRAM_SCTP_ADD_AUTH_KEY,
1553                  sizeof(sctpauthkey), sctpauthkey);
1554     }
1555 #endif
1556
1557     /*
1558      * In TLSv1.3 we have some post-processing to change cipher state, otherwise
1559      * we're done with this message
1560      */
1561     if (SSL_IS_TLS13(s)
1562             && (!s->method->ssl3_enc->setup_key_block(s)
1563                 || !s->method->ssl3_enc->change_cipher_state(s,
1564                     SSL3_CC_HANDSHAKE | SSL3_CHANGE_CIPHER_CLIENT_READ))) {
1565         al = SSL_AD_INTERNAL_ERROR;
1566         SSLerr(SSL_F_TLS_PROCESS_SERVER_HELLO, SSL_R_CANNOT_CHANGE_CIPHER);
1567         goto f_err;
1568     }
1569
1570     OPENSSL_free(extensions);
1571     return MSG_PROCESS_CONTINUE_READING;
1572  f_err:
1573     ssl3_send_alert(s, SSL3_AL_FATAL, al);
1574     ossl_statem_set_error(s);
1575     OPENSSL_free(extensions);
1576     return MSG_PROCESS_ERROR;
1577 }
1578
1579 static MSG_PROCESS_RETURN tls_process_hello_retry_request(SSL *s, PACKET *pkt)
1580 {
1581     unsigned int sversion;
1582     int errorcode;
1583     RAW_EXTENSION *extensions = NULL;
1584     int al;
1585     PACKET extpkt;
1586
1587     if (!PACKET_get_net_2(pkt, &sversion)) {
1588         al = SSL_AD_DECODE_ERROR;
1589         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST, SSL_R_LENGTH_MISMATCH);
1590         goto f_err;
1591     }
1592
1593     s->hello_retry_request = 1;
1594
1595     /* This will fail if it doesn't choose TLSv1.3+ */
1596     errorcode = ssl_choose_client_version(s, sversion);
1597     if (errorcode != 0) {
1598         al = SSL_AD_PROTOCOL_VERSION;
1599         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST, errorcode);
1600         goto f_err;
1601     }
1602
1603     if (!PACKET_as_length_prefixed_2(pkt, &extpkt)) {
1604         al = SSL_AD_DECODE_ERROR;
1605         SSLerr(SSL_F_TLS_PROCESS_HELLO_RETRY_REQUEST, SSL_R_BAD_LENGTH);
1606         goto f_err;
1607     }
1608
1609     if (!tls_collect_extensions(s, &extpkt, EXT_TLS1_3_HELLO_RETRY_REQUEST,
1610                                 &extensions, &al, NULL)
1611             || !tls_parse_all_extensions(s, EXT_TLS1_3_HELLO_RETRY_REQUEST,
1612                                          extensions, NULL, 0, &al))
1613         goto f_err;
1614
1615     OPENSSL_free(extensions);
1616
1617     return MSG_PROCESS_FINISHED_READING;
1618  f_err:
1619     ssl3_send_alert(s, SSL3_AL_FATAL, al);
1620     ossl_statem_set_error(s);
1621     OPENSSL_free(extensions);
1622     return MSG_PROCESS_ERROR;
1623 }
1624
1625 MSG_PROCESS_RETURN tls_process_server_certificate(SSL *s, PACKET *pkt)
1626 {
1627     int al, i, ret = MSG_PROCESS_ERROR, exp_idx;
1628     unsigned long cert_list_len, cert_len;
1629     X509 *x = NULL;
1630     const unsigned char *certstart, *certbytes;
1631     STACK_OF(X509) *sk = NULL;
1632     EVP_PKEY *pkey = NULL;
1633     size_t chainidx;
1634     unsigned int context = 0;
1635
1636     if ((sk = sk_X509_new_null()) == NULL) {
1637         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, ERR_R_MALLOC_FAILURE);
1638         goto err;
1639     }
1640
1641     if ((SSL_IS_TLS13(s) && !PACKET_get_1(pkt, &context))
1642             || context != 0
1643             || !PACKET_get_net_3(pkt, &cert_list_len)
1644             || PACKET_remaining(pkt) != cert_list_len) {
1645         al = SSL_AD_DECODE_ERROR;
1646         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, SSL_R_LENGTH_MISMATCH);
1647         goto f_err;
1648     }
1649     for (chainidx = 0; PACKET_remaining(pkt); chainidx++) {
1650         if (!PACKET_get_net_3(pkt, &cert_len)
1651             || !PACKET_get_bytes(pkt, &certbytes, cert_len)) {
1652             al = SSL_AD_DECODE_ERROR;
1653             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1654                    SSL_R_CERT_LENGTH_MISMATCH);
1655             goto f_err;
1656         }
1657
1658         certstart = certbytes;
1659         x = d2i_X509(NULL, (const unsigned char **)&certbytes, cert_len);
1660         if (x == NULL) {
1661             al = SSL_AD_BAD_CERTIFICATE;
1662             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, ERR_R_ASN1_LIB);
1663             goto f_err;
1664         }
1665         if (certbytes != (certstart + cert_len)) {
1666             al = SSL_AD_DECODE_ERROR;
1667             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1668                    SSL_R_CERT_LENGTH_MISMATCH);
1669             goto f_err;
1670         }
1671
1672         if (SSL_IS_TLS13(s)) {
1673             RAW_EXTENSION *rawexts = NULL;
1674             PACKET extensions;
1675
1676             if (!PACKET_get_length_prefixed_2(pkt, &extensions)) {
1677                 al = SSL_AD_DECODE_ERROR;
1678                 SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, SSL_R_BAD_LENGTH);
1679                 goto f_err;
1680             }
1681             if (!tls_collect_extensions(s, &extensions, EXT_TLS1_3_CERTIFICATE,
1682                                         &rawexts, &al, NULL)
1683                     || !tls_parse_all_extensions(s, EXT_TLS1_3_CERTIFICATE,
1684                                                  rawexts, x, chainidx, &al)) {
1685                 OPENSSL_free(rawexts);
1686                 goto f_err;
1687             }
1688             OPENSSL_free(rawexts);
1689         }
1690
1691         if (!sk_X509_push(sk, x)) {
1692             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, ERR_R_MALLOC_FAILURE);
1693             goto err;
1694         }
1695         x = NULL;
1696     }
1697
1698     i = ssl_verify_cert_chain(s, sk);
1699     /*
1700      * The documented interface is that SSL_VERIFY_PEER should be set in order
1701      * for client side verification of the server certificate to take place.
1702      * However, historically the code has only checked that *any* flag is set
1703      * to cause server verification to take place. Use of the other flags makes
1704      * no sense in client mode. An attempt to clean up the semantics was
1705      * reverted because at least one application *only* set
1706      * SSL_VERIFY_FAIL_IF_NO_PEER_CERT. Prior to the clean up this still caused
1707      * server verification to take place, after the clean up it silently did
1708      * nothing. SSL_CTX_set_verify()/SSL_set_verify() cannot validate the flags
1709      * sent to them because they are void functions. Therefore, we now use the
1710      * (less clean) historic behaviour of performing validation if any flag is
1711      * set. The *documented* interface remains the same.
1712      */
1713     if (s->verify_mode != SSL_VERIFY_NONE && i <= 0) {
1714         al = ssl_verify_alarm_type(s->verify_result);
1715         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1716                SSL_R_CERTIFICATE_VERIFY_FAILED);
1717         goto f_err;
1718     }
1719     ERR_clear_error();          /* but we keep s->verify_result */
1720     if (i > 1) {
1721         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, i);
1722         al = SSL_AD_HANDSHAKE_FAILURE;
1723         goto f_err;
1724     }
1725
1726     s->session->peer_chain = sk;
1727     /*
1728      * Inconsistency alert: cert_chain does include the peer's certificate,
1729      * which we don't include in statem_srvr.c
1730      */
1731     x = sk_X509_value(sk, 0);
1732     sk = NULL;
1733     /*
1734      * VRS 19990621: possible memory leak; sk=null ==> !sk_pop_free() @end
1735      */
1736
1737     pkey = X509_get0_pubkey(x);
1738
1739     if (pkey == NULL || EVP_PKEY_missing_parameters(pkey)) {
1740         x = NULL;
1741         al = SSL3_AL_FATAL;
1742         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1743                SSL_R_UNABLE_TO_FIND_PUBLIC_KEY_PARAMETERS);
1744         goto f_err;
1745     }
1746
1747     i = ssl_cert_type(x, pkey);
1748     if (i < 0) {
1749         x = NULL;
1750         al = SSL3_AL_FATAL;
1751         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1752                SSL_R_UNKNOWN_CERTIFICATE_TYPE);
1753         goto f_err;
1754     }
1755     /*
1756      * Check certificate type is consistent with ciphersuite. For TLS 1.3
1757      * skip check since TLS 1.3 ciphersuites can be used with any certificate
1758      * type.
1759      */
1760     if (!SSL_IS_TLS13(s)) {
1761         exp_idx = ssl_cipher_get_cert_index(s->s3->tmp.new_cipher);
1762         if (exp_idx >= 0 && i != exp_idx
1763             && (exp_idx != SSL_PKEY_GOST_EC ||
1764                 (i != SSL_PKEY_GOST12_512 && i != SSL_PKEY_GOST12_256
1765                  && i != SSL_PKEY_GOST01))) {
1766             x = NULL;
1767             al = SSL_AD_ILLEGAL_PARAMETER;
1768             SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE,
1769                    SSL_R_WRONG_CERTIFICATE_TYPE);
1770             goto f_err;
1771         }
1772     }
1773     s->session->peer_type = i;
1774
1775     X509_free(s->session->peer);
1776     X509_up_ref(x);
1777     s->session->peer = x;
1778     s->session->verify_result = s->verify_result;
1779     x = NULL;
1780
1781     /* Save the current hash state for when we receive the CertificateVerify */
1782     if (SSL_IS_TLS13(s)
1783             && !ssl_handshake_hash(s, s->cert_verify_hash,
1784                                    sizeof(s->cert_verify_hash),
1785                                    &s->cert_verify_hash_len)) {
1786         al = SSL_AD_INTERNAL_ERROR;
1787         SSLerr(SSL_F_TLS_PROCESS_SERVER_CERTIFICATE, ERR_R_INTERNAL_ERROR);
1788         goto f_err;
1789     }
1790
1791     ret = MSG_PROCESS_CONTINUE_READING;
1792     goto done;
1793
1794  f_err:
1795     ssl3_send_alert(s, SSL3_AL_FATAL, al);
1796  err:
1797     ossl_statem_set_error(s);
1798  done:
1799     X509_free(x);
1800     sk_X509_pop_free(sk, X509_free);
1801     return ret;
1802 }
1803
1804 static int tls_process_ske_psk_preamble(SSL *s, PACKET *pkt, int *al)
1805 {
1806 #ifndef OPENSSL_NO_PSK
1807     PACKET psk_identity_hint;
1808
1809     /* PSK ciphersuites are preceded by an identity hint */
1810
1811     if (!PACKET_get_length_prefixed_2(pkt, &psk_identity_hint)) {
1812         *al = SSL_AD_DECODE_ERROR;
1813         SSLerr(SSL_F_TLS_PROCESS_SKE_PSK_PREAMBLE, SSL_R_LENGTH_MISMATCH);
1814         return 0;
1815     }
1816
1817     /*
1818      * Store PSK identity hint for later use, hint is used in
1819      * tls_construct_client_key_exchange.  Assume that the maximum length of
1820      * a PSK identity hint can be as long as the maximum length of a PSK
1821      * identity.
1822      */
1823     if (PACKET_remaining(&psk_identity_hint) > PSK_MAX_IDENTITY_LEN) {
1824         *al = SSL_AD_HANDSHAKE_FAILURE;
1825         SSLerr(SSL_F_TLS_PROCESS_SKE_PSK_PREAMBLE, SSL_R_DATA_LENGTH_TOO_LONG);
1826         return 0;
1827     }
1828
1829     if (PACKET_remaining(&psk_identity_hint) == 0) {
1830         OPENSSL_free(s->session->psk_identity_hint);
1831         s->session->psk_identity_hint = NULL;
1832     } else if (!PACKET_strndup(&psk_identity_hint,
1833                                &s->session->psk_identity_hint)) {
1834         *al = SSL_AD_INTERNAL_ERROR;
1835         return 0;
1836     }
1837
1838     return 1;
1839 #else
1840     SSLerr(SSL_F_TLS_PROCESS_SKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
1841     *al = SSL_AD_INTERNAL_ERROR;
1842     return 0;
1843 #endif
1844 }
1845
1846 static int tls_process_ske_srp(SSL *s, PACKET *pkt, EVP_PKEY **pkey, int *al)
1847 {
1848 #ifndef OPENSSL_NO_SRP
1849     PACKET prime, generator, salt, server_pub;
1850
1851     if (!PACKET_get_length_prefixed_2(pkt, &prime)
1852         || !PACKET_get_length_prefixed_2(pkt, &generator)
1853         || !PACKET_get_length_prefixed_1(pkt, &salt)
1854         || !PACKET_get_length_prefixed_2(pkt, &server_pub)) {
1855         *al = SSL_AD_DECODE_ERROR;
1856         SSLerr(SSL_F_TLS_PROCESS_SKE_SRP, SSL_R_LENGTH_MISMATCH);
1857         return 0;
1858     }
1859
1860     /* TODO(size_t): Convert BN_bin2bn() calls */
1861     if ((s->srp_ctx.N =
1862          BN_bin2bn(PACKET_data(&prime),
1863                    (int)PACKET_remaining(&prime), NULL)) == NULL
1864         || (s->srp_ctx.g =
1865             BN_bin2bn(PACKET_data(&generator),
1866                       (int)PACKET_remaining(&generator), NULL)) == NULL
1867         || (s->srp_ctx.s =
1868             BN_bin2bn(PACKET_data(&salt),
1869                       (int)PACKET_remaining(&salt), NULL)) == NULL
1870         || (s->srp_ctx.B =
1871             BN_bin2bn(PACKET_data(&server_pub),
1872                       (int)PACKET_remaining(&server_pub), NULL)) == NULL) {
1873         *al = SSL_AD_INTERNAL_ERROR;
1874         SSLerr(SSL_F_TLS_PROCESS_SKE_SRP, ERR_R_BN_LIB);
1875         return 0;
1876     }
1877
1878     if (!srp_verify_server_param(s, al)) {
1879         *al = SSL_AD_DECODE_ERROR;
1880         SSLerr(SSL_F_TLS_PROCESS_SKE_SRP, SSL_R_BAD_SRP_PARAMETERS);
1881         return 0;
1882     }
1883
1884     /* We must check if there is a certificate */
1885     if (s->s3->tmp.new_cipher->algorithm_auth & (SSL_aRSA | SSL_aDSS))
1886         *pkey = X509_get0_pubkey(s->session->peer);
1887
1888     return 1;
1889 #else
1890     SSLerr(SSL_F_TLS_PROCESS_SKE_SRP, ERR_R_INTERNAL_ERROR);
1891     *al = SSL_AD_INTERNAL_ERROR;
1892     return 0;
1893 #endif
1894 }
1895
1896 static int tls_process_ske_dhe(SSL *s, PACKET *pkt, EVP_PKEY **pkey, int *al)
1897 {
1898 #ifndef OPENSSL_NO_DH
1899     PACKET prime, generator, pub_key;
1900     EVP_PKEY *peer_tmp = NULL;
1901
1902     DH *dh = NULL;
1903     BIGNUM *p = NULL, *g = NULL, *bnpub_key = NULL;
1904
1905     int check_bits = 0;
1906
1907     if (!PACKET_get_length_prefixed_2(pkt, &prime)
1908         || !PACKET_get_length_prefixed_2(pkt, &generator)
1909         || !PACKET_get_length_prefixed_2(pkt, &pub_key)) {
1910         *al = SSL_AD_DECODE_ERROR;
1911         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, SSL_R_LENGTH_MISMATCH);
1912         return 0;
1913     }
1914
1915     peer_tmp = EVP_PKEY_new();
1916     dh = DH_new();
1917
1918     if (peer_tmp == NULL || dh == NULL) {
1919         *al = SSL_AD_INTERNAL_ERROR;
1920         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_MALLOC_FAILURE);
1921         goto err;
1922     }
1923
1924     /* TODO(size_t): Convert these calls */
1925     p = BN_bin2bn(PACKET_data(&prime), (int)PACKET_remaining(&prime), NULL);
1926     g = BN_bin2bn(PACKET_data(&generator), (int)PACKET_remaining(&generator),
1927                   NULL);
1928     bnpub_key = BN_bin2bn(PACKET_data(&pub_key),
1929                           (int)PACKET_remaining(&pub_key), NULL);
1930     if (p == NULL || g == NULL || bnpub_key == NULL) {
1931         *al = SSL_AD_INTERNAL_ERROR;
1932         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_BN_LIB);
1933         goto err;
1934     }
1935
1936     /* test non-zero pupkey */
1937     if (BN_is_zero(bnpub_key)) {
1938         *al = SSL_AD_DECODE_ERROR;
1939         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, SSL_R_BAD_DH_VALUE);
1940         goto err;
1941     }
1942
1943     if (!DH_set0_pqg(dh, p, NULL, g)) {
1944         *al = SSL_AD_INTERNAL_ERROR;
1945         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_BN_LIB);
1946         goto err;
1947     }
1948     p = g = NULL;
1949
1950     if (DH_check_params(dh, &check_bits) == 0 || check_bits != 0) {
1951         *al = SSL_AD_DECODE_ERROR;
1952         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, SSL_R_BAD_DH_VALUE);
1953         goto err;
1954     }
1955
1956     if (!DH_set0_key(dh, bnpub_key, NULL)) {
1957         *al = SSL_AD_INTERNAL_ERROR;
1958         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_BN_LIB);
1959         goto err;
1960     }
1961     bnpub_key = NULL;
1962
1963     if (!ssl_security(s, SSL_SECOP_TMP_DH, DH_security_bits(dh), 0, dh)) {
1964         *al = SSL_AD_HANDSHAKE_FAILURE;
1965         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, SSL_R_DH_KEY_TOO_SMALL);
1966         goto err;
1967     }
1968
1969     if (EVP_PKEY_assign_DH(peer_tmp, dh) == 0) {
1970         *al = SSL_AD_INTERNAL_ERROR;
1971         SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_EVP_LIB);
1972         goto err;
1973     }
1974
1975     s->s3->peer_tmp = peer_tmp;
1976
1977     /*
1978      * FIXME: This makes assumptions about which ciphersuites come with
1979      * public keys. We should have a less ad-hoc way of doing this
1980      */
1981     if (s->s3->tmp.new_cipher->algorithm_auth & (SSL_aRSA | SSL_aDSS))
1982         *pkey = X509_get0_pubkey(s->session->peer);
1983     /* else anonymous DH, so no certificate or pkey. */
1984
1985     return 1;
1986
1987  err:
1988     BN_free(p);
1989     BN_free(g);
1990     BN_free(bnpub_key);
1991     DH_free(dh);
1992     EVP_PKEY_free(peer_tmp);
1993
1994     return 0;
1995 #else
1996     SSLerr(SSL_F_TLS_PROCESS_SKE_DHE, ERR_R_INTERNAL_ERROR);
1997     *al = SSL_AD_INTERNAL_ERROR;
1998     return 0;
1999 #endif
2000 }
2001
2002 static int tls_process_ske_ecdhe(SSL *s, PACKET *pkt, EVP_PKEY **pkey, int *al)
2003 {
2004 #ifndef OPENSSL_NO_EC
2005     PACKET encoded_pt;
2006     const unsigned char *ecparams;
2007     int curve_nid;
2008     unsigned int curve_flags;
2009     EVP_PKEY_CTX *pctx = NULL;
2010
2011     /*
2012      * Extract elliptic curve parameters and the server's ephemeral ECDH
2013      * public key. For now we only support named (not generic) curves and
2014      * ECParameters in this case is just three bytes.
2015      */
2016     if (!PACKET_get_bytes(pkt, &ecparams, 3)) {
2017         *al = SSL_AD_DECODE_ERROR;
2018         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, SSL_R_LENGTH_TOO_SHORT);
2019         return 0;
2020     }
2021     /*
2022      * Check curve is one of our preferences, if not server has sent an
2023      * invalid curve. ECParameters is 3 bytes.
2024      */
2025     if (!tls1_check_curve(s, ecparams, 3)) {
2026         *al = SSL_AD_DECODE_ERROR;
2027         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, SSL_R_WRONG_CURVE);
2028         return 0;
2029     }
2030
2031     curve_nid = tls1_ec_curve_id2nid(*(ecparams + 2), &curve_flags);
2032
2033     if (curve_nid == 0) {
2034         *al = SSL_AD_INTERNAL_ERROR;
2035         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE,
2036                SSL_R_UNABLE_TO_FIND_ECDH_PARAMETERS);
2037         return 0;
2038     }
2039
2040     if ((curve_flags & TLS_CURVE_TYPE) == TLS_CURVE_CUSTOM) {
2041         EVP_PKEY *key = EVP_PKEY_new();
2042
2043         if (key == NULL || !EVP_PKEY_set_type(key, curve_nid)) {
2044             *al = SSL_AD_INTERNAL_ERROR;
2045             SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, ERR_R_EVP_LIB);
2046             EVP_PKEY_free(key);
2047             return 0;
2048         }
2049         s->s3->peer_tmp = key;
2050     } else {
2051         /* Set up EVP_PKEY with named curve as parameters */
2052         pctx = EVP_PKEY_CTX_new_id(EVP_PKEY_EC, NULL);
2053         if (pctx == NULL
2054             || EVP_PKEY_paramgen_init(pctx) <= 0
2055             || EVP_PKEY_CTX_set_ec_paramgen_curve_nid(pctx, curve_nid) <= 0
2056             || EVP_PKEY_paramgen(pctx, &s->s3->peer_tmp) <= 0) {
2057             *al = SSL_AD_INTERNAL_ERROR;
2058             SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, ERR_R_EVP_LIB);
2059             EVP_PKEY_CTX_free(pctx);
2060             return 0;
2061         }
2062         EVP_PKEY_CTX_free(pctx);
2063         pctx = NULL;
2064     }
2065
2066     if (!PACKET_get_length_prefixed_1(pkt, &encoded_pt)) {
2067         *al = SSL_AD_DECODE_ERROR;
2068         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, SSL_R_LENGTH_MISMATCH);
2069         return 0;
2070     }
2071
2072     if (!EVP_PKEY_set1_tls_encodedpoint(s->s3->peer_tmp,
2073                                         PACKET_data(&encoded_pt),
2074                                         PACKET_remaining(&encoded_pt))) {
2075         *al = SSL_AD_DECODE_ERROR;
2076         SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, SSL_R_BAD_ECPOINT);
2077         return 0;
2078     }
2079
2080     /*
2081      * The ECC/TLS specification does not mention the use of DSA to sign
2082      * ECParameters in the server key exchange message. We do support RSA
2083      * and ECDSA.
2084      */
2085     if (s->s3->tmp.new_cipher->algorithm_auth & SSL_aECDSA)
2086         *pkey = X509_get0_pubkey(s->session->peer);
2087     else if (s->s3->tmp.new_cipher->algorithm_auth & SSL_aRSA)
2088         *pkey = X509_get0_pubkey(s->session->peer);
2089     /* else anonymous ECDH, so no certificate or pkey. */
2090
2091     return 1;
2092 #else
2093     SSLerr(SSL_F_TLS_PROCESS_SKE_ECDHE, ERR_R_INTERNAL_ERROR);
2094     *al = SSL_AD_INTERNAL_ERROR;
2095     return 0;
2096 #endif
2097 }
2098
2099 MSG_PROCESS_RETURN tls_process_key_exchange(SSL *s, PACKET *pkt)
2100 {
2101     int al = -1;
2102     long alg_k;
2103     EVP_PKEY *pkey = NULL;
2104     EVP_MD_CTX *md_ctx = NULL;
2105     EVP_PKEY_CTX *pctx = NULL;
2106     PACKET save_param_start, signature;
2107
2108     alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
2109
2110     save_param_start = *pkt;
2111
2112 #if !defined(OPENSSL_NO_EC) || !defined(OPENSSL_NO_DH)
2113     EVP_PKEY_free(s->s3->peer_tmp);
2114     s->s3->peer_tmp = NULL;
2115 #endif
2116
2117     if (alg_k & SSL_PSK) {
2118         if (!tls_process_ske_psk_preamble(s, pkt, &al))
2119             goto err;
2120     }
2121
2122     /* Nothing else to do for plain PSK or RSAPSK */
2123     if (alg_k & (SSL_kPSK | SSL_kRSAPSK)) {
2124     } else if (alg_k & SSL_kSRP) {
2125         if (!tls_process_ske_srp(s, pkt, &pkey, &al))
2126             goto err;
2127     } else if (alg_k & (SSL_kDHE | SSL_kDHEPSK)) {
2128         if (!tls_process_ske_dhe(s, pkt, &pkey, &al))
2129             goto err;
2130     } else if (alg_k & (SSL_kECDHE | SSL_kECDHEPSK)) {
2131         if (!tls_process_ske_ecdhe(s, pkt, &pkey, &al))
2132             goto err;
2133     } else if (alg_k) {
2134         al = SSL_AD_UNEXPECTED_MESSAGE;
2135         SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_UNEXPECTED_MESSAGE);
2136         goto err;
2137     }
2138
2139     /* if it was signed, check the signature */
2140     if (pkey != NULL) {
2141         PACKET params;
2142         int maxsig;
2143         const EVP_MD *md = NULL;
2144
2145         /*
2146          * |pkt| now points to the beginning of the signature, so the difference
2147          * equals the length of the parameters.
2148          */
2149         if (!PACKET_get_sub_packet(&save_param_start, &params,
2150                                    PACKET_remaining(&save_param_start) -
2151                                    PACKET_remaining(pkt))) {
2152             al = SSL_AD_INTERNAL_ERROR;
2153             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
2154             goto err;
2155         }
2156
2157         if (SSL_USE_SIGALGS(s)) {
2158             unsigned int sigalg;
2159             int rv;
2160
2161             if (!PACKET_get_net_2(pkt, &sigalg)) {
2162                 al = SSL_AD_DECODE_ERROR;
2163                 SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_LENGTH_TOO_SHORT);
2164                 goto err;
2165             }
2166             rv = tls12_check_peer_sigalg(s, sigalg, pkey);
2167             if (rv == -1) {
2168                 al = SSL_AD_INTERNAL_ERROR;
2169                 goto err;
2170             } else if (rv == 0) {
2171                 al = SSL_AD_DECODE_ERROR;
2172                 goto err;
2173             }
2174 #ifdef SSL_DEBUG
2175             fprintf(stderr, "USING TLSv1.2 HASH %s\n", EVP_MD_name(md));
2176 #endif
2177         } else if (!tls1_set_peer_legacy_sigalg(s, pkey)) {
2178             al = SSL_AD_INTERNAL_ERROR;
2179             goto err;
2180         }
2181
2182         md = ssl_md(s->s3->tmp.peer_sigalg->hash_idx);
2183
2184         if (!PACKET_get_length_prefixed_2(pkt, &signature)
2185             || PACKET_remaining(pkt) != 0) {
2186             al = SSL_AD_DECODE_ERROR;
2187             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_LENGTH_MISMATCH);
2188             goto err;
2189         }
2190         maxsig = EVP_PKEY_size(pkey);
2191         if (maxsig < 0) {
2192             al = SSL_AD_INTERNAL_ERROR;
2193             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
2194             goto err;
2195         }
2196
2197         /*
2198          * Check signature length
2199          */
2200         if (PACKET_remaining(&signature) > (size_t)maxsig) {
2201             /* wrong packet length */
2202             al = SSL_AD_DECODE_ERROR;
2203             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE,
2204                    SSL_R_WRONG_SIGNATURE_LENGTH);
2205             goto err;
2206         }
2207
2208         md_ctx = EVP_MD_CTX_new();
2209         if (md_ctx == NULL) {
2210             al = SSL_AD_INTERNAL_ERROR;
2211             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_MALLOC_FAILURE);
2212             goto err;
2213         }
2214
2215         if (EVP_DigestVerifyInit(md_ctx, &pctx, md, NULL, pkey) <= 0) {
2216             al = SSL_AD_INTERNAL_ERROR;
2217             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_EVP_LIB);
2218             goto err;
2219         }
2220         if (SSL_USE_PSS(s)) {
2221             if (EVP_PKEY_CTX_set_rsa_padding(pctx, RSA_PKCS1_PSS_PADDING) <= 0
2222                 || EVP_PKEY_CTX_set_rsa_pss_saltlen(pctx,
2223                                                 RSA_PSS_SALTLEN_DIGEST) <= 0) {
2224                 al = SSL_AD_INTERNAL_ERROR;
2225                 SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_EVP_LIB);
2226                 goto err;
2227             }
2228         }
2229         if (EVP_DigestVerifyUpdate(md_ctx, &(s->s3->client_random[0]),
2230                                    SSL3_RANDOM_SIZE) <= 0
2231                 || EVP_DigestVerifyUpdate(md_ctx, &(s->s3->server_random[0]),
2232                                           SSL3_RANDOM_SIZE) <= 0
2233                 || EVP_DigestVerifyUpdate(md_ctx, PACKET_data(&params),
2234                                           PACKET_remaining(&params)) <= 0) {
2235             al = SSL_AD_INTERNAL_ERROR;
2236             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_EVP_LIB);
2237             goto err;
2238         }
2239         if (EVP_DigestVerifyFinal(md_ctx, PACKET_data(&signature),
2240                                   PACKET_remaining(&signature)) <= 0) {
2241             /* bad signature */
2242             al = SSL_AD_DECRYPT_ERROR;
2243             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_BAD_SIGNATURE);
2244             goto err;
2245         }
2246         EVP_MD_CTX_free(md_ctx);
2247         md_ctx = NULL;
2248     } else {
2249         /* aNULL, aSRP or PSK do not need public keys */
2250         if (!(s->s3->tmp.new_cipher->algorithm_auth & (SSL_aNULL | SSL_aSRP))
2251             && !(alg_k & SSL_PSK)) {
2252             /* Might be wrong key type, check it */
2253             if (ssl3_check_cert_and_algorithm(s)) {
2254                 /* Otherwise this shouldn't happen */
2255                 al = SSL_AD_INTERNAL_ERROR;
2256                 SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
2257             } else {
2258                 al = SSL_AD_DECODE_ERROR;
2259             }
2260             goto err;
2261         }
2262         /* still data left over */
2263         if (PACKET_remaining(pkt) != 0) {
2264             al = SSL_AD_DECODE_ERROR;
2265             SSLerr(SSL_F_TLS_PROCESS_KEY_EXCHANGE, SSL_R_EXTRA_DATA_IN_MESSAGE);
2266             goto err;
2267         }
2268     }
2269
2270     return MSG_PROCESS_CONTINUE_READING;
2271  err:
2272     if (al != -1)
2273         ssl3_send_alert(s, SSL3_AL_FATAL, al);
2274     ossl_statem_set_error(s);
2275     EVP_MD_CTX_free(md_ctx);
2276     return MSG_PROCESS_ERROR;
2277 }
2278
2279 MSG_PROCESS_RETURN tls_process_certificate_request(SSL *s, PACKET *pkt)
2280 {
2281     int ret = MSG_PROCESS_ERROR;
2282     unsigned int i, name_len;
2283     X509_NAME *xn = NULL;
2284     const unsigned char *namestart, *namebytes;
2285     STACK_OF(X509_NAME) *ca_sk = NULL;
2286     PACKET cadns;
2287
2288     if ((ca_sk = sk_X509_NAME_new(ca_dn_cmp)) == NULL) {
2289         SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, ERR_R_MALLOC_FAILURE);
2290         goto err;
2291     }
2292
2293     if (SSL_IS_TLS13(s)) {
2294         PACKET reqctx;
2295
2296         /* Free and zero certificate types: it is not present in TLS 1.3 */
2297         OPENSSL_free(s->s3->tmp.ctype);
2298         s->s3->tmp.ctype = NULL;
2299         s->s3->tmp.ctype_len = 0;
2300         /* TODO(TLS1.3) need to process request context, for now ignore */
2301         if (!PACKET_get_length_prefixed_1(pkt, &reqctx)) {
2302             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2303                    SSL_R_LENGTH_MISMATCH);
2304             goto err;
2305         }
2306     } else {
2307         PACKET ctypes;
2308
2309         /* get the certificate types */
2310         if (!PACKET_get_length_prefixed_1(pkt, &ctypes)) {
2311             ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2312             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2313                    SSL_R_LENGTH_MISMATCH);
2314             goto err;
2315         }
2316
2317         if (!PACKET_memdup(&ctypes, &s->s3->tmp.ctype, &s->s3->tmp.ctype_len)) {
2318             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, ERR_R_INTERNAL_ERROR);
2319             goto err;
2320         }
2321     }
2322
2323     if (SSL_USE_SIGALGS(s)) {
2324         PACKET sigalgs;
2325
2326         if (!PACKET_get_length_prefixed_2(pkt, &sigalgs)) {
2327             ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2328             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2329                    SSL_R_LENGTH_MISMATCH);
2330             goto err;
2331         }
2332
2333         /* Clear certificate validity flags */
2334         for (i = 0; i < SSL_PKEY_NUM; i++)
2335             s->s3->tmp.valid_flags[i] = 0;
2336         if (!tls1_save_sigalgs(s, &sigalgs)) {
2337             ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2338             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2339                    SSL_R_SIGNATURE_ALGORITHMS_ERROR);
2340             goto err;
2341         }
2342         if (!tls1_process_sigalgs(s)) {
2343             ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
2344             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, ERR_R_MALLOC_FAILURE);
2345             goto err;
2346         }
2347     }
2348
2349     /* get the CA RDNs */
2350     if (!PACKET_get_length_prefixed_2(pkt, &cadns)) {
2351         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2352         SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, SSL_R_LENGTH_MISMATCH);
2353         goto err;
2354     }
2355
2356     while (PACKET_remaining(&cadns)) {
2357         if (!PACKET_get_net_2(&cadns, &name_len)
2358             || !PACKET_get_bytes(&cadns, &namebytes, name_len)) {
2359             ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2360             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2361                    SSL_R_LENGTH_MISMATCH);
2362             goto err;
2363         }
2364
2365         namestart = namebytes;
2366
2367         if ((xn = d2i_X509_NAME(NULL, (const unsigned char **)&namebytes,
2368                                 name_len)) == NULL) {
2369             ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2370             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, ERR_R_ASN1_LIB);
2371             goto err;
2372         }
2373
2374         if (namebytes != (namestart + name_len)) {
2375             ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2376             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2377                    SSL_R_CA_DN_LENGTH_MISMATCH);
2378             goto err;
2379         }
2380         if (!sk_X509_NAME_push(ca_sk, xn)) {
2381             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, ERR_R_MALLOC_FAILURE);
2382             goto err;
2383         }
2384         xn = NULL;
2385     }
2386     /* TODO(TLS1.3) need to parse and process extensions, for now ignore */
2387     if (SSL_IS_TLS13(s)) {
2388         PACKET reqexts;
2389
2390         if (!PACKET_get_length_prefixed_2(pkt, &reqexts)) {
2391             ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2392             SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST,
2393                    SSL_R_EXT_LENGTH_MISMATCH);
2394             goto err;
2395         }
2396     }
2397
2398     if (PACKET_remaining(pkt) != 0) {
2399         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
2400         SSLerr(SSL_F_TLS_PROCESS_CERTIFICATE_REQUEST, SSL_R_LENGTH_MISMATCH);
2401         goto err;
2402     }
2403
2404     /* we should setup a certificate to return.... */
2405     s->s3->tmp.cert_req = 1;
2406     sk_X509_NAME_pop_free(s->s3->tmp.ca_names, X509_NAME_free);
2407     s->s3->tmp.ca_names = ca_sk;
2408     ca_sk = NULL;
2409
2410     ret = MSG_PROCESS_CONTINUE_PROCESSING;
2411     goto done;
2412  err:
2413     ossl_statem_set_error(s);
2414  done:
2415     X509_NAME_free(xn);
2416     sk_X509_NAME_pop_free(ca_sk, X509_NAME_free);
2417     return ret;
2418 }
2419
2420 static int ca_dn_cmp(const X509_NAME *const *a, const X509_NAME *const *b)
2421 {
2422     return (X509_NAME_cmp(*a, *b));
2423 }
2424
2425 MSG_PROCESS_RETURN tls_process_new_session_ticket(SSL *s, PACKET *pkt)
2426 {
2427     int al = SSL_AD_DECODE_ERROR;
2428     unsigned int ticklen;
2429     unsigned long ticket_lifetime_hint, age_add = 0;
2430     unsigned int sess_len;
2431     RAW_EXTENSION *exts = NULL;
2432
2433     if (!PACKET_get_net_4(pkt, &ticket_lifetime_hint)
2434         || (SSL_IS_TLS13(s) && !PACKET_get_net_4(pkt, &age_add))
2435         || !PACKET_get_net_2(pkt, &ticklen)
2436         || (!SSL_IS_TLS13(s) && PACKET_remaining(pkt) != ticklen)
2437         || (SSL_IS_TLS13(s)
2438             && (ticklen == 0 || PACKET_remaining(pkt) < ticklen))) {
2439         SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, SSL_R_LENGTH_MISMATCH);
2440         goto f_err;
2441     }
2442
2443     /*
2444      * Server is allowed to change its mind (in <=TLSv1.2) and send an empty
2445      * ticket. We already checked this TLSv1.3 case above, so it should never
2446      * be 0 here in that instance
2447      */
2448     if (ticklen == 0)
2449         return MSG_PROCESS_CONTINUE_READING;
2450
2451     /* TODO(TLS1.3): Is this a suitable test for TLS1.3? */
2452     if (s->session->session_id_length > 0) {
2453         int i = s->session_ctx->session_cache_mode;
2454         SSL_SESSION *new_sess;
2455         /*
2456          * We reused an existing session, so we need to replace it with a new
2457          * one
2458          */
2459         if (i & SSL_SESS_CACHE_CLIENT) {
2460             /*
2461              * Remove the old session from the cache. We carry on if this fails
2462              */
2463             SSL_CTX_remove_session(s->session_ctx, s->session);
2464         }
2465
2466         if ((new_sess = ssl_session_dup(s->session, 0)) == 0) {
2467             al = SSL_AD_INTERNAL_ERROR;
2468             SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, ERR_R_MALLOC_FAILURE);
2469             goto f_err;
2470         }
2471
2472         SSL_SESSION_free(s->session);
2473         s->session = new_sess;
2474     }
2475
2476     /*
2477      * Technically the cast to long here is not guaranteed by the C standard -
2478      * but we use it elsewhere, so this should be ok.
2479      */
2480     s->session->time = (long)time(NULL);
2481
2482     OPENSSL_free(s->session->ext.tick);
2483     s->session->ext.tick = NULL;
2484     s->session->ext.ticklen = 0;
2485
2486     s->session->ext.tick = OPENSSL_malloc(ticklen);
2487     if (s->session->ext.tick == NULL) {
2488         SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, ERR_R_MALLOC_FAILURE);
2489         goto err;
2490     }
2491     if (!PACKET_copy_bytes(pkt, s->session->ext.tick, ticklen)) {
2492         al = SSL_AD_DECODE_ERROR;
2493         SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, SSL_R_LENGTH_MISMATCH);
2494         goto f_err;
2495     }
2496
2497     s->session->ext.tick_lifetime_hint = ticket_lifetime_hint;
2498     s->session->ext.tick_age_add = age_add;
2499     s->session->ext.ticklen = ticklen;
2500
2501     if (SSL_IS_TLS13(s)) {
2502         PACKET extpkt;
2503
2504         if (!PACKET_as_length_prefixed_2(pkt, &extpkt)
2505                 || !tls_collect_extensions(s, &extpkt,
2506                                            EXT_TLS1_3_NEW_SESSION_TICKET,
2507                                            &exts, &al, NULL)
2508                 || !tls_parse_all_extensions(s, EXT_TLS1_3_NEW_SESSION_TICKET,
2509                                              exts, NULL, 0, &al)) {
2510             SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, SSL_R_BAD_EXTENSION);
2511             goto f_err;
2512         }
2513     }
2514
2515     /*
2516      * There are two ways to detect a resumed ticket session. One is to set
2517      * an appropriate session ID and then the server must return a match in
2518      * ServerHello. This allows the normal client session ID matching to work
2519      * and we know much earlier that the ticket has been accepted. The
2520      * other way is to set zero length session ID when the ticket is
2521      * presented and rely on the handshake to determine session resumption.
2522      * We choose the former approach because this fits in with assumptions
2523      * elsewhere in OpenSSL. The session ID is set to the SHA256 (or SHA1 is
2524      * SHA256 is disabled) hash of the ticket.
2525      */
2526     /*
2527      * TODO(size_t): we use sess_len here because EVP_Digest expects an int
2528      * but s->session->session_id_length is a size_t
2529      */
2530     if (!EVP_Digest(s->session->ext.tick, ticklen,
2531                     s->session->session_id, &sess_len,
2532                     EVP_sha256(), NULL)) {
2533         SSLerr(SSL_F_TLS_PROCESS_NEW_SESSION_TICKET, ERR_R_EVP_LIB);
2534         goto err;
2535     }
2536     s->session->session_id_length = sess_len;
2537
2538     /* This is a standalone message in TLSv1.3, so there is no more to read */
2539     if (SSL_IS_TLS13(s)) {
2540         OPENSSL_free(exts);
2541         ssl_update_cache(s, SSL_SESS_CACHE_CLIENT);
2542         return MSG_PROCESS_FINISHED_READING;
2543     }
2544
2545     return MSG_PROCESS_CONTINUE_READING;
2546  f_err:
2547     ssl3_send_alert(s, SSL3_AL_FATAL, al);
2548  err:
2549     ossl_statem_set_error(s);
2550     OPENSSL_free(exts);
2551     return MSG_PROCESS_ERROR;
2552 }
2553
2554 /*
2555  * In TLSv1.3 this is called from the extensions code, otherwise it is used to
2556  * parse a separate message. Returns 1 on success or 0 on failure. On failure
2557  * |*al| is populated with a suitable alert code.
2558  */
2559 int tls_process_cert_status_body(SSL *s, PACKET *pkt, int *al)
2560 {
2561     size_t resplen;
2562     unsigned int type;
2563
2564     if (!PACKET_get_1(pkt, &type)
2565         || type != TLSEXT_STATUSTYPE_ocsp) {
2566         *al = SSL_AD_DECODE_ERROR;
2567         SSLerr(SSL_F_TLS_PROCESS_CERT_STATUS_BODY,
2568                SSL_R_UNSUPPORTED_STATUS_TYPE);
2569         return 0;
2570     }
2571     if (!PACKET_get_net_3_len(pkt, &resplen)
2572         || PACKET_remaining(pkt) != resplen) {
2573         *al = SSL_AD_DECODE_ERROR;
2574         SSLerr(SSL_F_TLS_PROCESS_CERT_STATUS_BODY, SSL_R_LENGTH_MISMATCH);
2575         return 0;
2576     }
2577     s->ext.ocsp.resp = OPENSSL_malloc(resplen);
2578     if (s->ext.ocsp.resp == NULL) {
2579         *al = SSL_AD_INTERNAL_ERROR;
2580         SSLerr(SSL_F_TLS_PROCESS_CERT_STATUS_BODY, ERR_R_MALLOC_FAILURE);
2581         return 0;
2582     }
2583     if (!PACKET_copy_bytes(pkt, s->ext.ocsp.resp, resplen)) {
2584         *al = SSL_AD_DECODE_ERROR;
2585         SSLerr(SSL_F_TLS_PROCESS_CERT_STATUS_BODY, SSL_R_LENGTH_MISMATCH);
2586         return 0;
2587     }
2588     s->ext.ocsp.resp_len = resplen;
2589
2590     return 1;
2591 }
2592
2593
2594 MSG_PROCESS_RETURN tls_process_cert_status(SSL *s, PACKET *pkt)
2595 {
2596     int al;
2597
2598     if (!tls_process_cert_status_body(s, pkt, &al)) {
2599         ssl3_send_alert(s, SSL3_AL_FATAL, al);
2600         ossl_statem_set_error(s);
2601         return MSG_PROCESS_ERROR;
2602     }
2603
2604     return MSG_PROCESS_CONTINUE_READING;
2605 }
2606
2607 /*
2608  * Perform miscellaneous checks and processing after we have received the
2609  * server's initial flight. In TLS1.3 this is after the Server Finished message.
2610  * In <=TLS1.2 this is after the ServerDone message. Returns 1 on success or 0
2611  * on failure.
2612  */
2613 int tls_process_initial_server_flight(SSL *s, int *al)
2614 {
2615     /*
2616      * at this point we check that we have the required stuff from
2617      * the server
2618      */
2619     if (!ssl3_check_cert_and_algorithm(s)) {
2620         *al = SSL_AD_HANDSHAKE_FAILURE;
2621         return 0;
2622     }
2623
2624     /*
2625      * Call the ocsp status callback if needed. The |ext.ocsp.resp| and
2626      * |ext.ocsp.resp_len| values will be set if we actually received a status
2627      * message, or NULL and -1 otherwise
2628      */
2629     if (s->ext.status_type != TLSEXT_STATUSTYPE_nothing
2630             && s->ctx->ext.status_cb != NULL) {
2631         int ret = s->ctx->ext.status_cb(s, s->ctx->ext.status_arg);
2632
2633         if (ret == 0) {
2634             *al = SSL_AD_BAD_CERTIFICATE_STATUS_RESPONSE;
2635             SSLerr(SSL_F_TLS_PROCESS_INITIAL_SERVER_FLIGHT,
2636                    SSL_R_INVALID_STATUS_RESPONSE);
2637             return 0;
2638         }
2639         if (ret < 0) {
2640             *al = SSL_AD_INTERNAL_ERROR;
2641             SSLerr(SSL_F_TLS_PROCESS_INITIAL_SERVER_FLIGHT,
2642                    ERR_R_MALLOC_FAILURE);
2643             return 0;
2644         }
2645     }
2646 #ifndef OPENSSL_NO_CT
2647     if (s->ct_validation_callback != NULL) {
2648         /* Note we validate the SCTs whether or not we abort on error */
2649         if (!ssl_validate_ct(s) && (s->verify_mode & SSL_VERIFY_PEER)) {
2650             *al = SSL_AD_HANDSHAKE_FAILURE;
2651             return 0;
2652         }
2653     }
2654 #endif
2655
2656     return 1;
2657 }
2658
2659 MSG_PROCESS_RETURN tls_process_server_done(SSL *s, PACKET *pkt)
2660 {
2661     int al = SSL_AD_INTERNAL_ERROR;
2662
2663     if (PACKET_remaining(pkt) > 0) {
2664         /* should contain no data */
2665         al = SSL_AD_DECODE_ERROR;
2666         SSLerr(SSL_F_TLS_PROCESS_SERVER_DONE, SSL_R_LENGTH_MISMATCH);
2667         goto err;
2668     }
2669 #ifndef OPENSSL_NO_SRP
2670     if (s->s3->tmp.new_cipher->algorithm_mkey & SSL_kSRP) {
2671         if (SRP_Calc_A_param(s) <= 0) {
2672             SSLerr(SSL_F_TLS_PROCESS_SERVER_DONE, SSL_R_SRP_A_CALC);
2673             goto err;
2674         }
2675     }
2676 #endif
2677
2678     /*
2679      * Error queue messages are generated directly by this function
2680      */
2681     if (!tls_process_initial_server_flight(s, &al))
2682         goto err;
2683
2684 #ifndef OPENSSL_NO_SCTP
2685     /* Only applies to renegotiation */
2686     if (SSL_IS_DTLS(s) && BIO_dgram_is_sctp(SSL_get_wbio(s))
2687         && s->renegotiate != 0)
2688         return MSG_PROCESS_CONTINUE_PROCESSING;
2689     else
2690 #endif
2691         return MSG_PROCESS_FINISHED_READING;
2692
2693  err:
2694     ssl3_send_alert(s, SSL3_AL_FATAL, al);
2695     ossl_statem_set_error(s);
2696     return MSG_PROCESS_ERROR;
2697 }
2698
2699 static int tls_construct_cke_psk_preamble(SSL *s, WPACKET *pkt, int *al)
2700 {
2701 #ifndef OPENSSL_NO_PSK
2702     int ret = 0;
2703     /*
2704      * The callback needs PSK_MAX_IDENTITY_LEN + 1 bytes to return a
2705      * \0-terminated identity. The last byte is for us for simulating
2706      * strnlen.
2707      */
2708     char identity[PSK_MAX_IDENTITY_LEN + 1];
2709     size_t identitylen = 0;
2710     unsigned char psk[PSK_MAX_PSK_LEN];
2711     unsigned char *tmppsk = NULL;
2712     char *tmpidentity = NULL;
2713     size_t psklen = 0;
2714
2715     if (s->psk_client_callback == NULL) {
2716         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, SSL_R_PSK_NO_CLIENT_CB);
2717         *al = SSL_AD_INTERNAL_ERROR;
2718         goto err;
2719     }
2720
2721     memset(identity, 0, sizeof(identity));
2722
2723     psklen = s->psk_client_callback(s, s->session->psk_identity_hint,
2724                                     identity, sizeof(identity) - 1,
2725                                     psk, sizeof(psk));
2726
2727     if (psklen > PSK_MAX_PSK_LEN) {
2728         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
2729         *al = SSL_AD_HANDSHAKE_FAILURE;
2730         goto err;
2731     } else if (psklen == 0) {
2732         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE,
2733                SSL_R_PSK_IDENTITY_NOT_FOUND);
2734         *al = SSL_AD_HANDSHAKE_FAILURE;
2735         goto err;
2736     }
2737
2738     identitylen = strlen(identity);
2739     if (identitylen > PSK_MAX_IDENTITY_LEN) {
2740         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
2741         *al = SSL_AD_HANDSHAKE_FAILURE;
2742         goto err;
2743     }
2744
2745     tmppsk = OPENSSL_memdup(psk, psklen);
2746     tmpidentity = OPENSSL_strdup(identity);
2747     if (tmppsk == NULL || tmpidentity == NULL) {
2748         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_MALLOC_FAILURE);
2749         *al = SSL_AD_INTERNAL_ERROR;
2750         goto err;
2751     }
2752
2753     OPENSSL_free(s->s3->tmp.psk);
2754     s->s3->tmp.psk = tmppsk;
2755     s->s3->tmp.psklen = psklen;
2756     tmppsk = NULL;
2757     OPENSSL_free(s->session->psk_identity);
2758     s->session->psk_identity = tmpidentity;
2759     tmpidentity = NULL;
2760
2761     if (!WPACKET_sub_memcpy_u16(pkt, identity, identitylen))  {
2762         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
2763         *al = SSL_AD_INTERNAL_ERROR;
2764         goto err;
2765     }
2766
2767     ret = 1;
2768
2769  err:
2770     OPENSSL_cleanse(psk, psklen);
2771     OPENSSL_cleanse(identity, sizeof(identity));
2772     OPENSSL_clear_free(tmppsk, psklen);
2773     OPENSSL_clear_free(tmpidentity, identitylen);
2774
2775     return ret;
2776 #else
2777     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_PSK_PREAMBLE, ERR_R_INTERNAL_ERROR);
2778     *al = SSL_AD_INTERNAL_ERROR;
2779     return 0;
2780 #endif
2781 }
2782
2783 static int tls_construct_cke_rsa(SSL *s, WPACKET *pkt, int *al)
2784 {
2785 #ifndef OPENSSL_NO_RSA
2786     unsigned char *encdata = NULL;
2787     EVP_PKEY *pkey = NULL;
2788     EVP_PKEY_CTX *pctx = NULL;
2789     size_t enclen;
2790     unsigned char *pms = NULL;
2791     size_t pmslen = 0;
2792
2793     if (s->session->peer == NULL) {
2794         /*
2795          * We should always have a server certificate with SSL_kRSA.
2796          */
2797         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2798         return 0;
2799     }
2800
2801     pkey = X509_get0_pubkey(s->session->peer);
2802     if (EVP_PKEY_get0_RSA(pkey) == NULL) {
2803         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2804         return 0;
2805     }
2806
2807     pmslen = SSL_MAX_MASTER_KEY_LENGTH;
2808     pms = OPENSSL_malloc(pmslen);
2809     if (pms == NULL) {
2810         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_MALLOC_FAILURE);
2811         *al = SSL_AD_INTERNAL_ERROR;
2812         return 0;
2813     }
2814
2815     pms[0] = s->client_version >> 8;
2816     pms[1] = s->client_version & 0xff;
2817     /* TODO(size_t): Convert this function */
2818     if (RAND_bytes(pms + 2, (int)(pmslen - 2)) <= 0) {
2819         goto err;
2820     }
2821
2822     /* Fix buf for TLS and beyond */
2823     if (s->version > SSL3_VERSION && !WPACKET_start_sub_packet_u16(pkt)) {
2824         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2825         goto err;
2826     }
2827     pctx = EVP_PKEY_CTX_new(pkey, NULL);
2828     if (pctx == NULL || EVP_PKEY_encrypt_init(pctx) <= 0
2829         || EVP_PKEY_encrypt(pctx, NULL, &enclen, pms, pmslen) <= 0) {
2830         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_EVP_LIB);
2831         goto err;
2832     }
2833     if (!WPACKET_allocate_bytes(pkt, enclen, &encdata)
2834             || EVP_PKEY_encrypt(pctx, encdata, &enclen, pms, pmslen) <= 0) {
2835         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, SSL_R_BAD_RSA_ENCRYPT);
2836         goto err;
2837     }
2838     EVP_PKEY_CTX_free(pctx);
2839     pctx = NULL;
2840
2841     /* Fix buf for TLS and beyond */
2842     if (s->version > SSL3_VERSION && !WPACKET_close(pkt)) {
2843         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2844         goto err;
2845     }
2846
2847     s->s3->tmp.pms = pms;
2848     s->s3->tmp.pmslen = pmslen;
2849
2850     /* Log the premaster secret, if logging is enabled. */
2851     if (!ssl_log_rsa_client_key_exchange(s, encdata, enclen, pms, pmslen))
2852         goto err;
2853
2854     return 1;
2855  err:
2856     OPENSSL_clear_free(pms, pmslen);
2857     EVP_PKEY_CTX_free(pctx);
2858
2859     return 0;
2860 #else
2861     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_RSA, ERR_R_INTERNAL_ERROR);
2862     *al = SSL_AD_INTERNAL_ERROR;
2863     return 0;
2864 #endif
2865 }
2866
2867 static int tls_construct_cke_dhe(SSL *s, WPACKET *pkt, int *al)
2868 {
2869 #ifndef OPENSSL_NO_DH
2870     DH *dh_clnt = NULL;
2871     const BIGNUM *pub_key;
2872     EVP_PKEY *ckey = NULL, *skey = NULL;
2873     unsigned char *keybytes = NULL;
2874
2875     skey = s->s3->peer_tmp;
2876     if (skey == NULL)
2877         goto err;
2878
2879     ckey = ssl_generate_pkey(skey);
2880     if (ckey == NULL)
2881         goto err;
2882
2883     dh_clnt = EVP_PKEY_get0_DH(ckey);
2884
2885     if (dh_clnt == NULL || ssl_derive(s, ckey, skey, 0) == 0)
2886         goto err;
2887
2888     /* send off the data */
2889     DH_get0_key(dh_clnt, &pub_key, NULL);
2890     if (!WPACKET_sub_allocate_bytes_u16(pkt, BN_num_bytes(pub_key), &keybytes))
2891         goto err;
2892
2893     BN_bn2bin(pub_key, keybytes);
2894     EVP_PKEY_free(ckey);
2895
2896     return 1;
2897  err:
2898     EVP_PKEY_free(ckey);
2899 #endif
2900     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_DHE, ERR_R_INTERNAL_ERROR);
2901     *al = SSL_AD_INTERNAL_ERROR;
2902     return 0;
2903 }
2904
2905 static int tls_construct_cke_ecdhe(SSL *s, WPACKET *pkt, int *al)
2906 {
2907 #ifndef OPENSSL_NO_EC
2908     unsigned char *encodedPoint = NULL;
2909     size_t encoded_pt_len = 0;
2910     EVP_PKEY *ckey = NULL, *skey = NULL;
2911     int ret = 0;
2912
2913     skey = s->s3->peer_tmp;
2914     if (skey == NULL) {
2915         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_INTERNAL_ERROR);
2916         return 0;
2917     }
2918
2919     ckey = ssl_generate_pkey(skey);
2920     if (ckey == NULL) {
2921         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_MALLOC_FAILURE);
2922         goto err;
2923     }
2924
2925     if (ssl_derive(s, ckey, skey, 0) == 0) {
2926         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_EVP_LIB);
2927         goto err;
2928     }
2929
2930     /* Generate encoding of client key */
2931     encoded_pt_len = EVP_PKEY_get1_tls_encodedpoint(ckey, &encodedPoint);
2932
2933     if (encoded_pt_len == 0) {
2934         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_EC_LIB);
2935         goto err;
2936     }
2937
2938     if (!WPACKET_sub_memcpy_u8(pkt, encodedPoint, encoded_pt_len)) {
2939         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_INTERNAL_ERROR);
2940         goto err;
2941     }
2942
2943     ret = 1;
2944  err:
2945     OPENSSL_free(encodedPoint);
2946     EVP_PKEY_free(ckey);
2947     return ret;
2948 #else
2949     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_ECDHE, ERR_R_INTERNAL_ERROR);
2950     *al = SSL_AD_INTERNAL_ERROR;
2951     return 0;
2952 #endif
2953 }
2954
2955 static int tls_construct_cke_gost(SSL *s, WPACKET *pkt, int *al)
2956 {
2957 #ifndef OPENSSL_NO_GOST
2958     /* GOST key exchange message creation */
2959     EVP_PKEY_CTX *pkey_ctx = NULL;
2960     X509 *peer_cert;
2961     size_t msglen;
2962     unsigned int md_len;
2963     unsigned char shared_ukm[32], tmp[256];
2964     EVP_MD_CTX *ukm_hash = NULL;
2965     int dgst_nid = NID_id_GostR3411_94;
2966     unsigned char *pms = NULL;
2967     size_t pmslen = 0;
2968
2969     if ((s->s3->tmp.new_cipher->algorithm_auth & SSL_aGOST12) != 0)
2970         dgst_nid = NID_id_GostR3411_2012_256;
2971
2972     /*
2973      * Get server sertificate PKEY and create ctx from it
2974      */
2975     peer_cert = s->session->peer;
2976     if (!peer_cert) {
2977         *al = SSL_AD_HANDSHAKE_FAILURE;
2978         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST,
2979                SSL_R_NO_GOST_CERTIFICATE_SENT_BY_PEER);
2980         return 0;
2981     }
2982
2983     pkey_ctx = EVP_PKEY_CTX_new(X509_get0_pubkey(peer_cert), NULL);
2984     if (pkey_ctx == NULL) {
2985         *al = SSL_AD_INTERNAL_ERROR;
2986         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_MALLOC_FAILURE);
2987         return 0;
2988     }
2989     /*
2990      * If we have send a certificate, and certificate key
2991      * parameters match those of server certificate, use
2992      * certificate key for key exchange
2993      */
2994
2995     /* Otherwise, generate ephemeral key pair */
2996     pmslen = 32;
2997     pms = OPENSSL_malloc(pmslen);
2998     if (pms == NULL) {
2999         *al = SSL_AD_INTERNAL_ERROR;
3000         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_MALLOC_FAILURE);
3001         goto err;
3002     }
3003
3004     if (EVP_PKEY_encrypt_init(pkey_ctx) <= 0
3005         /* Generate session key
3006          * TODO(size_t): Convert this function
3007          */
3008         || RAND_bytes(pms, (int)pmslen) <= 0) {
3009         *al = SSL_AD_INTERNAL_ERROR;
3010         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_INTERNAL_ERROR);
3011         goto err;
3012     };
3013     /*
3014      * Compute shared IV and store it in algorithm-specific context
3015      * data
3016      */
3017     ukm_hash = EVP_MD_CTX_new();
3018     if (ukm_hash == NULL
3019         || EVP_DigestInit(ukm_hash, EVP_get_digestbynid(dgst_nid)) <= 0
3020         || EVP_DigestUpdate(ukm_hash, s->s3->client_random,
3021                             SSL3_RANDOM_SIZE) <= 0
3022         || EVP_DigestUpdate(ukm_hash, s->s3->server_random,
3023                             SSL3_RANDOM_SIZE) <= 0
3024         || EVP_DigestFinal_ex(ukm_hash, shared_ukm, &md_len) <= 0) {
3025         *al = SSL_AD_INTERNAL_ERROR;
3026         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_INTERNAL_ERROR);
3027         goto err;
3028     }
3029     EVP_MD_CTX_free(ukm_hash);
3030     ukm_hash = NULL;
3031     if (EVP_PKEY_CTX_ctrl(pkey_ctx, -1, EVP_PKEY_OP_ENCRYPT,
3032                           EVP_PKEY_CTRL_SET_IV, 8, shared_ukm) < 0) {
3033         *al = SSL_AD_INTERNAL_ERROR;
3034         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, SSL_R_LIBRARY_BUG);
3035         goto err;
3036     }
3037     /* Make GOST keytransport blob message */
3038     /*
3039      * Encapsulate it into sequence
3040      */
3041     msglen = 255;
3042     if (EVP_PKEY_encrypt(pkey_ctx, tmp, &msglen, pms, pmslen) <= 0) {
3043         *al = SSL_AD_INTERNAL_ERROR;
3044         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, SSL_R_LIBRARY_BUG);
3045         goto err;
3046     }
3047
3048     if (!WPACKET_put_bytes_u8(pkt, V_ASN1_SEQUENCE | V_ASN1_CONSTRUCTED)
3049             || (msglen >= 0x80 && !WPACKET_put_bytes_u8(pkt, 0x81))
3050             || !WPACKET_sub_memcpy_u8(pkt, tmp, msglen)) {
3051         *al = SSL_AD_INTERNAL_ERROR;
3052         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_INTERNAL_ERROR);
3053         goto err;
3054     }
3055
3056     EVP_PKEY_CTX_free(pkey_ctx);
3057     s->s3->tmp.pms = pms;
3058     s->s3->tmp.pmslen = pmslen;
3059
3060     return 1;
3061  err:
3062     EVP_PKEY_CTX_free(pkey_ctx);
3063     OPENSSL_clear_free(pms, pmslen);
3064     EVP_MD_CTX_free(ukm_hash);
3065     return 0;
3066 #else
3067     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_GOST, ERR_R_INTERNAL_ERROR);
3068     *al = SSL_AD_INTERNAL_ERROR;
3069     return 0;
3070 #endif
3071 }
3072
3073 static int tls_construct_cke_srp(SSL *s, WPACKET *pkt, int *al)
3074 {
3075 #ifndef OPENSSL_NO_SRP
3076     unsigned char *abytes = NULL;
3077
3078     if (s->srp_ctx.A == NULL
3079             || !WPACKET_sub_allocate_bytes_u16(pkt, BN_num_bytes(s->srp_ctx.A),
3080                                                &abytes)) {
3081         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_SRP, ERR_R_INTERNAL_ERROR);
3082         return 0;
3083     }
3084     BN_bn2bin(s->srp_ctx.A, abytes);
3085
3086     OPENSSL_free(s->session->srp_username);
3087     s->session->srp_username = OPENSSL_strdup(s->srp_ctx.login);
3088     if (s->session->srp_username == NULL) {
3089         SSLerr(SSL_F_TLS_CONSTRUCT_CKE_SRP, ERR_R_MALLOC_FAILURE);
3090         return 0;
3091     }
3092
3093     return 1;
3094 #else
3095     SSLerr(SSL_F_TLS_CONSTRUCT_CKE_SRP, ERR_R_INTERNAL_ERROR);
3096     *al = SSL_AD_INTERNAL_ERROR;
3097     return 0;
3098 #endif
3099 }
3100
3101 int tls_construct_client_key_exchange(SSL *s, WPACKET *pkt)
3102 {
3103     unsigned long alg_k;
3104     int al = -1;
3105
3106     alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
3107
3108     if ((alg_k & SSL_PSK)
3109         && !tls_construct_cke_psk_preamble(s, pkt, &al))
3110         goto err;
3111
3112     if (alg_k & (SSL_kRSA | SSL_kRSAPSK)) {
3113         if (!tls_construct_cke_rsa(s, pkt, &al))
3114             goto err;
3115     } else if (alg_k & (SSL_kDHE | SSL_kDHEPSK)) {
3116         if (!tls_construct_cke_dhe(s, pkt, &al))
3117             goto err;
3118     } else if (alg_k & (SSL_kECDHE | SSL_kECDHEPSK)) {
3119         if (!tls_construct_cke_ecdhe(s, pkt, &al))
3120             goto err;
3121     } else if (alg_k & SSL_kGOST) {
3122         if (!tls_construct_cke_gost(s, pkt, &al))
3123             goto err;
3124     } else if (alg_k & SSL_kSRP) {
3125         if (!tls_construct_cke_srp(s, pkt, &al))
3126             goto err;
3127     } else if (!(alg_k & SSL_kPSK)) {
3128         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_HANDSHAKE_FAILURE);
3129         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_KEY_EXCHANGE, ERR_R_INTERNAL_ERROR);
3130         goto err;
3131     }
3132
3133     return 1;
3134  err:
3135     if (al != -1)
3136         ssl3_send_alert(s, SSL3_AL_FATAL, al);
3137     OPENSSL_clear_free(s->s3->tmp.pms, s->s3->tmp.pmslen);
3138     s->s3->tmp.pms = NULL;
3139 #ifndef OPENSSL_NO_PSK
3140     OPENSSL_clear_free(s->s3->tmp.psk, s->s3->tmp.psklen);
3141     s->s3->tmp.psk = NULL;
3142 #endif
3143     return 0;
3144 }
3145
3146 int tls_client_key_exchange_post_work(SSL *s)
3147 {
3148     unsigned char *pms = NULL;
3149     size_t pmslen = 0;
3150
3151     pms = s->s3->tmp.pms;
3152     pmslen = s->s3->tmp.pmslen;
3153
3154 #ifndef OPENSSL_NO_SRP
3155     /* Check for SRP */
3156     if (s->s3->tmp.new_cipher->algorithm_mkey & SSL_kSRP) {
3157         if (!srp_generate_client_master_secret(s)) {
3158             SSLerr(SSL_F_TLS_CLIENT_KEY_EXCHANGE_POST_WORK,
3159                    ERR_R_INTERNAL_ERROR);
3160             goto err;
3161         }
3162         return 1;
3163     }
3164 #endif
3165
3166     if (pms == NULL && !(s->s3->tmp.new_cipher->algorithm_mkey & SSL_kPSK)) {
3167         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3168         SSLerr(SSL_F_TLS_CLIENT_KEY_EXCHANGE_POST_WORK, ERR_R_MALLOC_FAILURE);
3169         goto err;
3170     }
3171     if (!ssl_generate_master_secret(s, pms, pmslen, 1)) {
3172         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3173         SSLerr(SSL_F_TLS_CLIENT_KEY_EXCHANGE_POST_WORK, ERR_R_INTERNAL_ERROR);
3174         /* ssl_generate_master_secret frees the pms even on error */
3175         pms = NULL;
3176         pmslen = 0;
3177         goto err;
3178     }
3179     pms = NULL;
3180     pmslen = 0;
3181
3182 #ifndef OPENSSL_NO_SCTP
3183     if (SSL_IS_DTLS(s)) {
3184         unsigned char sctpauthkey[64];
3185         char labelbuffer[sizeof(DTLS1_SCTP_AUTH_LABEL)];
3186
3187         /*
3188          * Add new shared key for SCTP-Auth, will be ignored if no SCTP
3189          * used.
3190          */
3191         memcpy(labelbuffer, DTLS1_SCTP_AUTH_LABEL,
3192                sizeof(DTLS1_SCTP_AUTH_LABEL));
3193
3194         if (SSL_export_keying_material(s, sctpauthkey,
3195                                        sizeof(sctpauthkey), labelbuffer,
3196                                        sizeof(labelbuffer), NULL, 0, 0) <= 0)
3197             goto err;
3198
3199         BIO_ctrl(SSL_get_wbio(s), BIO_CTRL_DGRAM_SCTP_ADD_AUTH_KEY,
3200                  sizeof(sctpauthkey), sctpauthkey);
3201     }
3202 #endif
3203
3204     return 1;
3205  err:
3206     OPENSSL_clear_free(pms, pmslen);
3207     s->s3->tmp.pms = NULL;
3208     return 0;
3209 }
3210
3211 /*
3212  * Check a certificate can be used for client authentication. Currently check
3213  * cert exists, if we have a suitable digest for TLS 1.2 if static DH client
3214  * certificates can be used and optionally checks suitability for Suite B.
3215  */
3216 static int ssl3_check_client_certificate(SSL *s)
3217 {
3218     /* If no suitable signature algorithm can't use certificate */
3219     if (!tls_choose_sigalg(s, NULL) || s->s3->tmp.sigalg == NULL)
3220         return 0;
3221     /*
3222      * If strict mode check suitability of chain before using it. This also
3223      * adjusts suite B digest if necessary.
3224      */
3225     if (s->cert->cert_flags & SSL_CERT_FLAGS_CHECK_TLS_STRICT &&
3226         !tls1_check_chain(s, NULL, NULL, NULL, -2))
3227         return 0;
3228     return 1;
3229 }
3230
3231 WORK_STATE tls_prepare_client_certificate(SSL *s, WORK_STATE wst)
3232 {
3233     X509 *x509 = NULL;
3234     EVP_PKEY *pkey = NULL;
3235     int i;
3236
3237     if (wst == WORK_MORE_A) {
3238         /* Let cert callback update client certificates if required */
3239         if (s->cert->cert_cb) {
3240             i = s->cert->cert_cb(s, s->cert->cert_cb_arg);
3241             if (i < 0) {
3242                 s->rwstate = SSL_X509_LOOKUP;
3243                 return WORK_MORE_A;
3244             }
3245             if (i == 0) {
3246                 ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3247                 ossl_statem_set_error(s);
3248                 return 0;
3249             }
3250             s->rwstate = SSL_NOTHING;
3251         }
3252         if (ssl3_check_client_certificate(s))
3253             return WORK_FINISHED_CONTINUE;
3254
3255         /* Fall through to WORK_MORE_B */
3256         wst = WORK_MORE_B;
3257     }
3258
3259     /* We need to get a client cert */
3260     if (wst == WORK_MORE_B) {
3261         /*
3262          * If we get an error, we need to ssl->rwstate=SSL_X509_LOOKUP;
3263          * return(-1); We then get retied later
3264          */
3265         i = ssl_do_client_cert_cb(s, &x509, &pkey);
3266         if (i < 0) {
3267             s->rwstate = SSL_X509_LOOKUP;
3268             return WORK_MORE_B;
3269         }
3270         s->rwstate = SSL_NOTHING;
3271         if ((i == 1) && (pkey != NULL) && (x509 != NULL)) {
3272             if (!SSL_use_certificate(s, x509) || !SSL_use_PrivateKey(s, pkey))
3273                 i = 0;
3274         } else if (i == 1) {
3275             i = 0;
3276             SSLerr(SSL_F_TLS_PREPARE_CLIENT_CERTIFICATE,
3277                    SSL_R_BAD_DATA_RETURNED_BY_CALLBACK);
3278         }
3279
3280         X509_free(x509);
3281         EVP_PKEY_free(pkey);
3282         if (i && !ssl3_check_client_certificate(s))
3283             i = 0;
3284         if (i == 0) {
3285             if (s->version == SSL3_VERSION) {
3286                 s->s3->tmp.cert_req = 0;
3287                 ssl3_send_alert(s, SSL3_AL_WARNING, SSL_AD_NO_CERTIFICATE);
3288                 return WORK_FINISHED_CONTINUE;
3289             } else {
3290                 s->s3->tmp.cert_req = 2;
3291                 if (!ssl3_digest_cached_records(s, 0)) {
3292                     ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3293                     ossl_statem_set_error(s);
3294                     return 0;
3295                 }
3296             }
3297         }
3298
3299         return WORK_FINISHED_CONTINUE;
3300     }
3301
3302     /* Shouldn't ever get here */
3303     return WORK_ERROR;
3304 }
3305
3306 int tls_construct_client_certificate(SSL *s, WPACKET *pkt)
3307 {
3308     int al = SSL_AD_INTERNAL_ERROR;
3309
3310     /*
3311      * TODO(TLS1.3): For now we must put an empty context. Needs to be filled in
3312      * later
3313      */
3314     if ((SSL_IS_TLS13(s) && !WPACKET_put_bytes_u8(pkt, 0))
3315             || !ssl3_output_cert_chain(s, pkt,
3316                                (s->s3->tmp.cert_req == 2) ? NULL
3317                                                           : s->cert->key,
3318                                 &al)) {
3319         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_CERTIFICATE, ERR_R_INTERNAL_ERROR);
3320         goto err;
3321     }
3322
3323     if (SSL_IS_TLS13(s)
3324             && SSL_IS_FIRST_HANDSHAKE(s)
3325             && (!s->method->ssl3_enc->change_cipher_state(s,
3326                     SSL3_CC_HANDSHAKE | SSL3_CHANGE_CIPHER_CLIENT_WRITE))) {
3327         SSLerr(SSL_F_TLS_CONSTRUCT_CLIENT_CERTIFICATE,
3328                SSL_R_CANNOT_CHANGE_CIPHER);
3329         goto err;
3330     }
3331
3332     return 1;
3333  err:
3334     ssl3_send_alert(s, SSL3_AL_FATAL, al);
3335     return 0;
3336 }
3337
3338 #define has_bits(i,m)   (((i)&(m)) == (m))
3339
3340 int ssl3_check_cert_and_algorithm(SSL *s)
3341 {
3342     int i;
3343 #ifndef OPENSSL_NO_EC
3344     int idx;
3345 #endif
3346     long alg_k, alg_a;
3347     EVP_PKEY *pkey = NULL;
3348     int al = SSL_AD_HANDSHAKE_FAILURE;
3349
3350     alg_k = s->s3->tmp.new_cipher->algorithm_mkey;
3351     alg_a = s->s3->tmp.new_cipher->algorithm_auth;
3352
3353     /* we don't have a certificate */
3354     if ((alg_a & SSL_aNULL) || (alg_k & SSL_kPSK))
3355         return (1);
3356
3357     /* This is the passed certificate */
3358
3359 #ifndef OPENSSL_NO_EC
3360     idx = s->session->peer_type;
3361     if (idx == SSL_PKEY_ECC) {
3362         if (ssl_check_srvr_ecc_cert_and_alg(s->session->peer, s) == 0) {
3363             /* check failed */
3364             SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM, SSL_R_BAD_ECC_CERT);
3365             goto f_err;
3366         } else {
3367             return 1;
3368         }
3369     } else if (alg_a & SSL_aECDSA) {
3370         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM,
3371                SSL_R_MISSING_ECDSA_SIGNING_CERT);
3372         goto f_err;
3373     }
3374 #endif
3375     pkey = X509_get0_pubkey(s->session->peer);
3376     i = X509_certificate_type(s->session->peer, pkey);
3377
3378     /* Check that we have a certificate if we require one */
3379     if ((alg_a & SSL_aRSA) && !has_bits(i, EVP_PK_RSA | EVP_PKT_SIGN)) {
3380         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM,
3381                SSL_R_MISSING_RSA_SIGNING_CERT);
3382         goto f_err;
3383     }
3384 #ifndef OPENSSL_NO_DSA
3385     else if ((alg_a & SSL_aDSS) && !has_bits(i, EVP_PK_DSA | EVP_PKT_SIGN)) {
3386         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM,
3387                SSL_R_MISSING_DSA_SIGNING_CERT);
3388         goto f_err;
3389     }
3390 #endif
3391 #ifndef OPENSSL_NO_RSA
3392     if (alg_k & (SSL_kRSA | SSL_kRSAPSK) &&
3393         !has_bits(i, EVP_PK_RSA | EVP_PKT_ENC)) {
3394         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM,
3395                SSL_R_MISSING_RSA_ENCRYPTING_CERT);
3396         goto f_err;
3397     }
3398 #endif
3399 #ifndef OPENSSL_NO_DH
3400     if ((alg_k & SSL_kDHE) && (s->s3->peer_tmp == NULL)) {
3401         al = SSL_AD_INTERNAL_ERROR;
3402         SSLerr(SSL_F_SSL3_CHECK_CERT_AND_ALGORITHM, ERR_R_INTERNAL_ERROR);
3403         goto f_err;
3404     }
3405 #endif
3406
3407     return (1);
3408  f_err:
3409     ssl3_send_alert(s, SSL3_AL_FATAL, al);
3410     return (0);
3411 }
3412
3413 #ifndef OPENSSL_NO_NEXTPROTONEG
3414 int tls_construct_next_proto(SSL *s, WPACKET *pkt)
3415 {
3416     size_t len, padding_len;
3417     unsigned char *padding = NULL;
3418
3419     len = s->ext.npn_len;
3420     padding_len = 32 - ((len + 2) % 32);
3421
3422     if (!WPACKET_sub_memcpy_u8(pkt, s->ext.npn, len)
3423             || !WPACKET_sub_allocate_bytes_u8(pkt, padding_len, &padding)) {
3424         SSLerr(SSL_F_TLS_CONSTRUCT_NEXT_PROTO, ERR_R_INTERNAL_ERROR);
3425         goto err;
3426     }
3427
3428     memset(padding, 0, padding_len);
3429
3430     return 1;
3431  err:
3432     ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_INTERNAL_ERROR);
3433     return 0;
3434 }
3435 #endif
3436
3437 MSG_PROCESS_RETURN tls_process_hello_req(SSL *s, PACKET *pkt)
3438 {
3439     if (PACKET_remaining(pkt) > 0) {
3440         /* should contain no data */
3441         SSLerr(SSL_F_TLS_PROCESS_HELLO_REQ, SSL_R_LENGTH_MISMATCH);
3442         ssl3_send_alert(s, SSL3_AL_FATAL, SSL_AD_DECODE_ERROR);
3443         ossl_statem_set_error(s);
3444         return MSG_PROCESS_ERROR;
3445     }
3446
3447     /*
3448      * This is a historical discrepancy (not in the RFC) maintained for
3449      * compatibility reasons. If a TLS client receives a HelloRequest it will
3450      * attempt an abbreviated handshake. However if a DTLS client receives a
3451      * HelloRequest it will do a full handshake. Either behaviour is reasonable
3452      * but doing one for TLS and another for DTLS is odd.
3453      */
3454     if (SSL_IS_DTLS(s))
3455         SSL_renegotiate(s);
3456     else
3457         SSL_renegotiate_abbreviated(s);
3458
3459     return MSG_PROCESS_FINISHED_READING;
3460 }
3461
3462 static MSG_PROCESS_RETURN tls_process_encrypted_extensions(SSL *s, PACKET *pkt)
3463 {
3464     int al = SSL_AD_INTERNAL_ERROR;
3465     PACKET extensions;
3466     RAW_EXTENSION *rawexts = NULL;
3467
3468     if (!PACKET_as_length_prefixed_2(pkt, &extensions)) {
3469         al = SSL_AD_DECODE_ERROR;
3470         SSLerr(SSL_F_TLS_PROCESS_ENCRYPTED_EXTENSIONS, SSL_R_LENGTH_MISMATCH);
3471         goto err;
3472     }
3473
3474     if (!tls_collect_extensions(s, &extensions, EXT_TLS1_3_ENCRYPTED_EXTENSIONS,
3475                                 &rawexts, &al, NULL)
3476             || !tls_parse_all_extensions(s, EXT_TLS1_3_ENCRYPTED_EXTENSIONS,
3477                                          rawexts, NULL, 0, &al))
3478         goto err;
3479
3480     OPENSSL_free(rawexts);
3481     return MSG_PROCESS_CONTINUE_READING;
3482
3483  err:
3484     ssl3_send_alert(s, SSL3_AL_FATAL, al);
3485     ossl_statem_set_error(s);
3486     OPENSSL_free(rawexts);
3487     return MSG_PROCESS_ERROR;
3488 }
3489
3490 int ssl_do_client_cert_cb(SSL *s, X509 **px509, EVP_PKEY **ppkey)
3491 {
3492     int i = 0;
3493 #ifndef OPENSSL_NO_ENGINE
3494     if (s->ctx->client_cert_engine) {
3495         i = ENGINE_load_ssl_client_cert(s->ctx->client_cert_engine, s,
3496                                         SSL_get_client_CA_list(s),
3497                                         px509, ppkey, NULL, NULL, NULL);
3498         if (i != 0)
3499             return i;
3500     }
3501 #endif
3502     if (s->ctx->client_cert_cb)
3503         i = s->ctx->client_cert_cb(s, px509, ppkey);
3504     return i;
3505 }
3506
3507 int ssl_cipher_list_to_bytes(SSL *s, STACK_OF(SSL_CIPHER) *sk, WPACKET *pkt)
3508 {
3509     int i;
3510     size_t totlen = 0, len, maxlen;
3511     int empty_reneg_info_scsv = !s->renegotiate;
3512     /* Set disabled masks for this session */
3513     ssl_set_client_disabled(s);
3514
3515     if (sk == NULL)
3516         return (0);
3517
3518 #ifdef OPENSSL_MAX_TLS1_2_CIPHER_LENGTH
3519 # if OPENSSL_MAX_TLS1_2_CIPHER_LENGTH < 6
3520 #  error Max cipher length too short
3521 # endif
3522     /*
3523      * Some servers hang if client hello > 256 bytes as hack workaround
3524      * chop number of supported ciphers to keep it well below this if we
3525      * use TLS v1.2
3526      */
3527     if (TLS1_get_version(s) >= TLS1_2_VERSION)
3528         maxlen = OPENSSL_MAX_TLS1_2_CIPHER_LENGTH & ~1;
3529     else
3530 #endif
3531         /* Maximum length that can be stored in 2 bytes. Length must be even */
3532         maxlen = 0xfffe;
3533
3534     if (empty_reneg_info_scsv)
3535         maxlen -= 2;
3536     if (s->mode & SSL_MODE_SEND_FALLBACK_SCSV)
3537         maxlen -= 2;
3538
3539     for (i = 0; i < sk_SSL_CIPHER_num(sk) && totlen < maxlen; i++) {
3540         const SSL_CIPHER *c;
3541
3542         c = sk_SSL_CIPHER_value(sk, i);
3543         /* Skip disabled ciphers */
3544         if (ssl_cipher_disabled(s, c, SSL_SECOP_CIPHER_SUPPORTED))
3545             continue;
3546
3547         if (!s->method->put_cipher_by_char(c, pkt, &len)) {
3548             SSLerr(SSL_F_SSL_CIPHER_LIST_TO_BYTES, ERR_R_INTERNAL_ERROR);
3549             return 0;
3550         }
3551
3552         totlen += len;
3553     }
3554
3555     if (totlen == 0) {
3556         SSLerr(SSL_F_SSL_CIPHER_LIST_TO_BYTES, SSL_R_NO_CIPHERS_AVAILABLE);
3557         return 0;
3558     }
3559
3560     if (totlen != 0) {
3561         if (empty_reneg_info_scsv) {
3562             static SSL_CIPHER scsv = {
3563                 0, NULL, SSL3_CK_SCSV, 0, 0, 0, 0, 0, 0, 0, 0, 0
3564             };
3565             if (!s->method->put_cipher_by_char(&scsv, pkt, &len)) {
3566                 SSLerr(SSL_F_SSL_CIPHER_LIST_TO_BYTES, ERR_R_INTERNAL_ERROR);
3567                 return 0;
3568             }
3569         }
3570         if (s->mode & SSL_MODE_SEND_FALLBACK_SCSV) {
3571             static SSL_CIPHER scsv = {
3572                 0, NULL, SSL3_CK_FALLBACK_SCSV, 0, 0, 0, 0, 0, 0, 0, 0, 0
3573             };
3574             if (!s->method->put_cipher_by_char(&scsv, pkt, &len)) {
3575                 SSLerr(SSL_F_SSL_CIPHER_LIST_TO_BYTES, ERR_R_INTERNAL_ERROR);
3576                 return 0;
3577             }
3578         }
3579     }
3580
3581     return 1;
3582 }
3583
3584 int tls_construct_end_of_early_data(SSL *s, WPACKET *pkt)
3585 {
3586     if (s->early_data_state != SSL_EARLY_DATA_WRITE_RETRY
3587             && s->early_data_state != SSL_EARLY_DATA_FINISHED_WRITING) {
3588         SSLerr(SSL_F_TLS_CONSTRUCT_END_OF_EARLY_DATA,
3589                ERR_R_SHOULD_NOT_HAVE_BEEN_CALLED);
3590         return 0;
3591     }
3592
3593     s->early_data_state = SSL_EARLY_DATA_FINISHED_WRITING;
3594     return 1;
3595 }