ustream-openssl: clear error stack before SSL_read/SSL_write

The OpenSSL library uses a global error queue per thread which needs to
be cleared prior to calling I/O functions in order to get reliable error
results.

Failure to do so will lead to stray errors reported by SSL_get_error()
when an unrelated connection within the same thread encountered a TLS
error since the last SSL_read() or SSL_write() on the current connection.

This issue was frequently triggered by Google Chrome which usually
initiates simultaneous TLS connections (presumably for protocol support
probing) and subsequently closes most of them with a "certificate unknown"
TLS error, causing the next SSL_get_error() to report an SSL library error
instead of the expected SSL_WANT_READ or SSL_WANT_WRITE error states.

Solve this issue by invoking ERR_clear_error() prior to invoking SSL_read()
or SSL_write() to ensure that the subsequent SSL_get_error() returns
current valid results.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>
(cherry picked from commit 5e1bc3429cbf9c3be4db65ef5dbf21ea99cf5b95)

ustream-ssl: mbedtls: fix ssl client verification

The ustream_ssl_update_own_cert() function should, like the name suggests, only
update the local ssl peer's own certificate and not the any of the CA's.

By overwriting the CA's certifcates when setting the own certificate, the code
broke SSL client verification.

This bug was only triggerd when:
 ustream_ssl_context_set_crt_file()
was called after
 ustream_ssl_context_add_ca_crt_file()

Signed-off-by: Daniel Danzberger <daniel@dd-wrt.com>

ustream-ssl: mbedtls: fix net_sockets.h include warning

mbedtls/net.h is deprecated in favor of mbedtls/net_sockets.h

Signed-off-by: Daniel Danzberger <daniel@dd-wrt.com>

ustream-ssl: skip writing pending data if .eof is true after connect

Check the .eof member of the underlying ustream after the call to
__ustream_ssl_connect() since existing users of the library appear
to set the eof flag as a way to signal connection termination upon
failing certificate verification.

This is a stop-gap measure to address TALOS-2019-0893 but a proper
API redesign is required to give applications proper control over
whether certificate failures are to be ignored or not and the default
implementation without custom callbacks should always terminate on
verification failures.

Signed-off-by: Jo-Philipp Wich <jo@mein.io>

wolfssl: adjust to new API in v4.2.0

WolfSSL has recently added many openssl 1.1+ calls, including
TLS_server_method & TLS_client_method, which were being redefined,
causing compilation failure:
ustream-openssl.c:113:0: error: "TLS_server_method" redefined [-Werror]
ustream-openssl.c:114:0: error: "TLS_client_method" redefined [-Werror]

Only define the symbols if not previously defined.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Update example certificate & key, fix typo

The current crypto libraries will fail to load small RSA keys, so a new
certificate was generated with a 2048-bit RSA key.

Also fixed a typo in ustream-example-client.c

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

wolfssl: enable CN validation

WolfSSL added a wolfSSL_X509_check_host function to perform CN
validation in v3.10.4, depending on the build-time configure options:
--enable-nginx enables it for all supported versions;
--enable-opensslextra, since v3.14.2.

If the function is unavailable, then SSL_get_verify_result will be
called, and 'valid_cert' will be true if that call suceeds and we
have a peer certificate, just as it happens with openssl. Only
'valid_cn' will not be set.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

ustream-io-cyassl.c: fix client-mode connections

Starting in v3.13.2, wolfSSL stores the BIO send and recv callbacks
in the SSL struct.  When the SSL session is created, it inherits the
calls from the SSL_CTX, but they do not get updated when the SSL_CTX
callbacks are changed.

Currently, ustream-ssl sets the callbacks after the SSL session is
created, causing failures.  Client apps, such as uclient-fetch fail
immediately to connect to https URLs with a 'Connection failed' error
message.  uhttpd seems unaffected.

New calls to set them directly to the SSL struct were added in 4.1.0, so
we can use them, with a check in CMakeLists.txt to detect their
presence.  Otherwise, another call to ustream_set_io is done before
creating the SSL session to properly set the callbacks.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Remove CyaSSL, WolfSSL < 3.10.4 support

This updates the CyaSSL names to wolfSSL, and removes obsolete code to
support old versions of the library < v3.10.4.

Some #include statements were moved around, so that wolfssl/options.h is
loaded before any other wolfssl/openssl header.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Revise supported ciphersuites

CBC ciphersuites have been under scrutiny because of the many padding
oracle vulnerabilities that keep popping up; it seems that we won't be
able to patch up the inherent wakness of MAC-then-encrypt forever.  They
have been blacklisted by HTTP/2, and recently dropped from Mozilla's
Security/Serverside TLS intermediate compatibility list:
https://wiki.mozilla.org/Security/Server_Side_TLS

This commit removes ECDSA-CBC ciphersuites.  Basically, you can choose a
level of ciphersuite security, using the private-key type as a switch:

For RSA keys, CBC and RSA-key exchange ciphers will be enabled--mostly
matching Mozilla's Old backward compatibility list.

If you use an EC private key, then only ephemeral-key, authenticated
ciphers will be used, along the lines of what Mozilla's Intermediate
compatibility list prescribes.

The order does not match Mozilla's list 100% because in most embedded
systems, the server is going to be the least-capable machine.  So,
chacha20-poly1305 is moved ahead of AES, and the cipher preference is
always given to the server.  Also, DHE ciphers are not used for server.

The client list had the order changed to prioritize authenticated
ciphers, so DHE-chacha and DHE-GCM were moved ahead of ECDHE-CBC.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

wolfssl, openssl: use TLS 1.3, set ciphersuites

For wolfssl, instead of hard-coding TLS 1.2, use generic method and
disable older protocols, adding the necessary ciphersuites.

Openssl already had TLS 1.3 compatiblity, but its ciphersuite ordering
needs a separate call, so this sets the ciphersuite preference when
using TLS 1.3.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

ustream-ssl: mbedtls: use chacha-poly ciphersuites

These ciphersuites were added in mbedtls v2.12.0,
so we may add them to the ustream-ssl ciphersuite list.
They were already part of the list for openssl and wolfssl.
Chacha20-Poly1305 is a 256-bit cipher with AEAD, much faster than AES on
CPUs without special AES instructions (the case for most embedded
chips).

Signed-off-by: Eneas U de Queiroz <cote2004-github@yahoo.com>

openssl, wolfssl: match mbedTLS ciphersuite list

The sender domain has a DMARC Reject/Quarantine policy which disallows
sending mailing list messages using the original "From" header.

To mitigate this problem, the original message has been wrapped
automatically by the mailing list software.
Use the same ciphersuite list as mbedTLS.
wolfssl was not honoring setting the minimum protocol with
SSL_CTX_set_options, so we must use TLSv1_2_server_method.

Signed-off-by: Eneas U de Queiroz <cote2004-github@yahoo.com>

ustream-ssl: Revised security on mbedtls

The sender domain has a DMARC Reject/Quarantine policy which disallows
sending mailing list messages using the original "From" header.

To mitigate this problem, the original message has been wrapped
automatically by the mailing list software.
I've revised the security options, and made them more uniform across the
ssl libraries.

- use only TLS 1.2 in server mode
- changed the ciphersuite ordering

Signed-off-by: Eneas U de Queiroz <cote2004-github@yahoo.com>

ustream-ssl: add openssl-1.1.0 compatibility

The sender domain has a DMARC Reject/Quarantine policy which disallows
sending mailing list messages using the original "From" header.

To mitigate this problem, the original message has been wrapped
automatically by the mailing list software.
Patch to compile ustream-ssl with openssl-1.1.0, maintaining
compatibility with openssl 1.0.2.

Fixed flag handling in ustream-io-openssl.c.

Signed-off-by: Eneas U de Queiroz <cote2004-github@yahoo.com>

don't use SSL_CTX_set_ecdh_auto with wolfSSL

SSL_CTX_set_ecdh_auto() isn't support by wolfSSL (yet).

Signed-off-by: Daniel Golle <daniel@makrotopia.org>

mbedtls: Fix setting allowed cipher suites

The cipher suites should be set after the default settings are done,
otherwise the settings will be overwritten with the defaults later on
again.
Also make the list of supported cipher suites match what Chrome tries to
use.

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

mbedtls: Add support for a session cache

This allows the client to reuse the settings from a previous session and
no full key exchange is needed.
The partially key exchange takes less than 0.1 seconds compared to over
a second needed for a full key exchange.

Signed-off-by: Hauke Mehrtens <hauke@hauke-m.de>

ustream-ssl: Remove RC4 from ciphersuite in server mode.

SSLlabs complains that RC4 is enabled as it is insecure, thereby capping the grade to B.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

ustream-ssl: Enable ECDHE with OpenSSL.

When used with LuCI, SSLlabs complains that Forward Secrecy is not enabled and thus caps the score to a B.

Signed-off-by: Rosen Penev <rosenp@gmail.com>

remove polarssl support

polarssl (aka mbedTLS 1.3) has been EOL since end of 2016

Signed-off-by: Felix Fietkau <nbd@nbd.name>

cmake: Find libubox/ustream.h header file

Add a CMake FIND_PATH and INCLUDE_DIRECTORIES searching for
libubox/ustream-ssl.h.  Some external toolchains which do not include
standard locations would fail to find the header otherwise.

Signed-off-by: Florian Fainelli <f.fainelli@gmail.com>

ustream-ssl: cyassl compatibility with build time options

Adds a HAVE_CYASSL definition to be consistent with polar/mbedtls.
Uses that definition to include the wolfssl build time options.
This enables the correct pullin of the "remainder" of the wolfssl openssl
compatibility options, if they were enabled in the build of wolfssl in the
first place.

Signed-off-by: Karl Palsson <karlp@etactica.com>

openssl: keep compatibility with older TLS/SSL protocols

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

openssl: force TLS v1.2 instead of v1

Fixes some connection issues

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

openssl: use 1.0.2 openssl API for host name validation

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

polarssl: fix handling SSL close notification

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

mbedtls: fix handling SSL close notification

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

mbedtls: sync with polarssl ciphersuite changes

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

polarssl: enable DHE in default client ciphersuite

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

polarssl: init certificate storage

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

polarssl: fix memory leak

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

add mbedtls variant

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

polarssl: remove support for version 1.2

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

polarssl: disable RC4 support (for security reasons)

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

ustream-ssl: make ustream_ssl.server_name const

Signed-off-by: Alexander Couzens <lynxis@fe80.eu>

polarssl: add mising string include

Signed-off-by: Jo-Philipp Wich <jow@openwrt.org>

polarssl: fix long writes

Enable to write more data then defined in SSL_MAX_CONTENT_LEN.

Signed-off-by: Luka Perkov <luka@openwrt.org>

polarssl: fix return code of entropy function

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

cmake: Do not hardcode /opt/local/include for Apple.

Signed-off-by: Yousong Zhou <yszhou4tech@gmail.com>

examples: add .notify_write callback.

Signed-off-by: Yousong Zhou <yszhou4tech@gmail.com>

Add support for Server Name Indication

Signed-off-by: Christoph Ziebuhr <chris@codefrickler.de>

openssl: Fix host_pattern_match

Signed-off-by: Christoph Ziebuhr <chris@codefrickler.de>

Fix ustream_ssl_poll

Signed-off-by: Christoph Ziebuhr <chris@codefrickler.de>

openssl: set quiet shutdown flag to ensure that shutdown always succeeds

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

openssl: un-inline ustream_ssl_session_free

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

openssl: fix subjectAltNames leak

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

openssl: free peer certificate after validating it

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

add missing include files

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

openssl: disable host CN checks for cyassl (TODO)

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

polarssl: check us->notify_verify_error for NULL before calling it

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

ustream-example-client: fix usage information

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

implement certificate validation (including CN verification)

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

fix CyaSSL build

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

Write pending data after connecting

fixes issues with incoming writes before the ssl negotiation is complete

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

add client example code

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

polarssl: enable client side ssl verification if a certificate was loaded

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

give the main context a type instead of making it void *

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

ustream-ssl: always check connection at the beginning of a session

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

ustream-server-example: close connection on error

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

example: rename to ustream-example-server

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

polarssl: fix error check on write

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

polarssl: add support for version 1.3

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

Add version detection of CyaSSL and make the cyassl backend compatible with both legacy and current CyaSSL versions

avoid installing internal header files

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

polarssl: disable perfect forward secrecy, it slows down each connection handshake by about 130 ms of cpu-bound activity

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

consume all data after a socket write error

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

add polarssl support

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

split cyassl and openssl sources, add ssl library abstraction

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

example: ignore SIGPIPE

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

build: remove install prefix override

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

fix read polling by putting the buffer prepare in a loop

allow user to process more than a single buffer's worth of data in one call

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

add s->poll wrapper

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

use libm with cyassl

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

remove commented out include/link directories

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

add copyright info and license

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

fix compile errors on linux

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

return -1/0 instead of ssl specific return codes when setting crt/key files

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

only export one symbol from the lib, containing a struct with all functions. useful for using ustream-ssl as a plugin

Signed-off-by: Felix Fietkau <nbd@openwrt.org>

install headers and library

fix logic inversion

Initial import