Line data Source code
1 : /*
2 : * Copyright (c) 2004 - 2008 Kungliga Tekniska Högskolan
3 : * (Royal Institute of Technology, Stockholm, Sweden).
4 : * All rights reserved.
5 : *
6 : * Redistribution and use in source and binary forms, with or without
7 : * modification, are permitted provided that the following conditions
8 : * are met:
9 : *
10 : * 1. Redistributions of source code must retain the above copyright
11 : * notice, this list of conditions and the following disclaimer.
12 : *
13 : * 2. Redistributions in binary form must reproduce the above copyright
14 : * notice, this list of conditions and the following disclaimer in the
15 : * documentation and/or other materials provided with the distribution.
16 : *
17 : * 3. Neither the name of the Institute nor the names of its contributors
18 : * may be used to endorse or promote products derived from this software
19 : * without specific prior written permission.
20 : *
21 : * THIS SOFTWARE IS PROVIDED BY THE INSTITUTE AND CONTRIBUTORS ``AS IS'' AND
22 : * ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
23 : * IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE
24 : * ARE DISCLAIMED. IN NO EVENT SHALL THE INSTITUTE OR CONTRIBUTORS BE LIABLE
25 : * FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
26 : * DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS
27 : * OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
28 : * HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT
29 : * LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY
30 : * OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF
31 : * SUCH DAMAGE.
32 : */
33 :
34 : #include "hx_locl.h"
35 :
36 : #ifdef HAVE_DLOPEN
37 :
38 : #include "ref/pkcs11.h"
39 :
40 : struct p11_slot {
41 : uint64_t flags;
42 : #define P11_SESSION 1
43 : #define P11_SESSION_IN_USE 2
44 : #define P11_LOGIN_REQ 4
45 : #define P11_LOGIN_DONE 8
46 : #define P11_TOKEN_PRESENT 16
47 : CK_SESSION_HANDLE session;
48 : CK_SLOT_ID id;
49 : CK_BBOOL token;
50 : char *name;
51 : hx509_certs certs;
52 : char *pin;
53 : struct {
54 : CK_MECHANISM_TYPE_PTR list;
55 : CK_ULONG num;
56 : CK_MECHANISM_INFO_PTR *infos;
57 : } mechs;
58 : };
59 :
60 : struct p11_module {
61 : void *dl_handle;
62 : CK_FUNCTION_LIST_PTR funcs;
63 : CK_ULONG num_slots;
64 : unsigned int ref;
65 : unsigned int selected_slot;
66 : struct p11_slot *slot;
67 : };
68 :
69 : #define P11FUNC(module,f,args) (*(module)->funcs->C_##f)args
70 :
71 : static int p11_get_session(hx509_context,
72 : struct p11_module *,
73 : struct p11_slot *,
74 : hx509_lock,
75 : CK_SESSION_HANDLE *);
76 : static int p11_put_session(struct p11_module *,
77 : struct p11_slot *,
78 : CK_SESSION_HANDLE);
79 : static void p11_release_module(struct p11_module *);
80 :
81 : static int p11_list_keys(hx509_context,
82 : struct p11_module *,
83 : struct p11_slot *,
84 : CK_SESSION_HANDLE,
85 : hx509_lock,
86 : hx509_certs *);
87 :
88 : /*
89 : *
90 : */
91 :
92 : struct p11_rsa {
93 : struct p11_module *p;
94 : struct p11_slot *slot;
95 : CK_OBJECT_HANDLE private_key;
96 : CK_OBJECT_HANDLE public_key;
97 : };
98 :
99 : static int
100 : p11_rsa_public_encrypt(int flen,
101 : const unsigned char *from,
102 : unsigned char *to,
103 : RSA *rsa,
104 : int padding)
105 : {
106 : return -1;
107 : }
108 :
109 : static int
110 : p11_rsa_public_decrypt(int flen,
111 : const unsigned char *from,
112 : unsigned char *to,
113 : RSA *rsa,
114 : int padding)
115 : {
116 : return -1;
117 : }
118 :
119 :
120 : static int
121 : p11_rsa_private_encrypt(int flen,
122 : const unsigned char *from,
123 : unsigned char *to,
124 : RSA *rsa,
125 : int padding)
126 : {
127 : struct p11_rsa *p11rsa = RSA_get_app_data(rsa);
128 : CK_OBJECT_HANDLE key = p11rsa->private_key;
129 : CK_SESSION_HANDLE session;
130 : CK_MECHANISM mechanism;
131 : CK_ULONG ck_sigsize;
132 : int ret;
133 :
134 : if (padding != RSA_PKCS1_PADDING)
135 : return -1;
136 :
137 : memset(&mechanism, 0, sizeof(mechanism));
138 : mechanism.mechanism = CKM_RSA_PKCS;
139 :
140 : ck_sigsize = RSA_size(rsa);
141 :
142 : ret = p11_get_session(NULL, p11rsa->p, p11rsa->slot, NULL, &session);
143 : if (ret)
144 : return -1;
145 :
146 : ret = P11FUNC(p11rsa->p, SignInit, (session, &mechanism, key));
147 : if (ret != CKR_OK) {
148 : p11_put_session(p11rsa->p, p11rsa->slot, session);
149 : return -1;
150 : }
151 :
152 : ret = P11FUNC(p11rsa->p, Sign,
153 : (session, (CK_BYTE *)(intptr_t)from, flen, to, &ck_sigsize));
154 : p11_put_session(p11rsa->p, p11rsa->slot, session);
155 : if (ret != CKR_OK)
156 : return -1;
157 :
158 : return ck_sigsize;
159 : }
160 :
161 : static int
162 : p11_rsa_private_decrypt(int flen, const unsigned char *from, unsigned char *to,
163 : RSA * rsa, int padding)
164 : {
165 : struct p11_rsa *p11rsa = RSA_get_app_data(rsa);
166 : CK_OBJECT_HANDLE key = p11rsa->private_key;
167 : CK_SESSION_HANDLE session;
168 : CK_MECHANISM mechanism;
169 : CK_ULONG ck_sigsize;
170 : int ret;
171 :
172 : if (padding != RSA_PKCS1_PADDING)
173 : return -1;
174 :
175 : memset(&mechanism, 0, sizeof(mechanism));
176 : mechanism.mechanism = CKM_RSA_PKCS;
177 :
178 : ck_sigsize = RSA_size(rsa);
179 :
180 : ret = p11_get_session(NULL, p11rsa->p, p11rsa->slot, NULL, &session);
181 : if (ret)
182 : return -1;
183 :
184 : ret = P11FUNC(p11rsa->p, DecryptInit, (session, &mechanism, key));
185 : if (ret != CKR_OK) {
186 : p11_put_session(p11rsa->p, p11rsa->slot, session);
187 : return -1;
188 : }
189 :
190 : ret = P11FUNC(p11rsa->p, Decrypt,
191 : (session, (CK_BYTE *)(intptr_t)from, flen, to, &ck_sigsize));
192 : p11_put_session(p11rsa->p, p11rsa->slot, session);
193 : if (ret != CKR_OK)
194 : return -1;
195 :
196 : return ck_sigsize;
197 : }
198 :
199 : static int
200 : p11_rsa_init(RSA *rsa)
201 : {
202 : return 1;
203 : }
204 :
205 : static int
206 : p11_rsa_finish(RSA *rsa)
207 : {
208 : struct p11_rsa *p11rsa = RSA_get_app_data(rsa);
209 : p11_release_module(p11rsa->p);
210 : free(p11rsa);
211 : return 1;
212 : }
213 :
214 : static const RSA_METHOD p11_rsa_pkcs1_method = {
215 : "hx509 PKCS11 PKCS#1 RSA",
216 : p11_rsa_public_encrypt,
217 : p11_rsa_public_decrypt,
218 : p11_rsa_private_encrypt,
219 : p11_rsa_private_decrypt,
220 : NULL,
221 : NULL,
222 : p11_rsa_init,
223 : p11_rsa_finish,
224 : 0,
225 : NULL,
226 : NULL,
227 : NULL,
228 : NULL
229 : };
230 :
231 : /*
232 : *
233 : */
234 :
235 : static int
236 : p11_mech_info(hx509_context context,
237 : struct p11_module *p,
238 : struct p11_slot *slot,
239 : int num)
240 : {
241 : CK_ULONG i;
242 : int ret;
243 :
244 : ret = P11FUNC(p, GetMechanismList, (slot->id, NULL_PTR, &i));
245 : if (ret) {
246 : hx509_set_error_string(context, 0, HX509_PKCS11_NO_MECH,
247 : "Failed to get mech list count for slot %d",
248 : num);
249 : return HX509_PKCS11_NO_MECH;
250 : }
251 : if (i == 0) {
252 : hx509_set_error_string(context, 0, HX509_PKCS11_NO_MECH,
253 : "no mech supported for slot %d", num);
254 : return HX509_PKCS11_NO_MECH;
255 : }
256 : slot->mechs.list = calloc(i, sizeof(slot->mechs.list[0]));
257 : if (slot->mechs.list == NULL) {
258 : hx509_set_error_string(context, 0, ENOMEM,
259 : "out of memory");
260 : return ENOMEM;
261 : }
262 : slot->mechs.num = i;
263 : ret = P11FUNC(p, GetMechanismList, (slot->id, slot->mechs.list, &i));
264 : if (ret) {
265 : hx509_set_error_string(context, 0, HX509_PKCS11_NO_MECH,
266 : "Failed to get mech list for slot %d",
267 : num);
268 : return HX509_PKCS11_NO_MECH;
269 : }
270 : assert(i == slot->mechs.num);
271 :
272 : slot->mechs.infos = calloc(i, sizeof(*slot->mechs.infos));
273 : if (slot->mechs.list == NULL) {
274 : hx509_set_error_string(context, 0, ENOMEM,
275 : "out of memory");
276 : return ENOMEM;
277 : }
278 :
279 : for (i = 0; i < slot->mechs.num; i++) {
280 : slot->mechs.infos[i] = calloc(1, sizeof(*(slot->mechs.infos[0])));
281 : if (slot->mechs.infos[i] == NULL) {
282 : hx509_set_error_string(context, 0, ENOMEM,
283 : "out of memory");
284 : return ENOMEM;
285 : }
286 : ret = P11FUNC(p, GetMechanismInfo, (slot->id, slot->mechs.list[i],
287 : slot->mechs.infos[i]));
288 : if (ret) {
289 : hx509_set_error_string(context, 0, HX509_PKCS11_NO_MECH,
290 : "Failed to get mech info for slot %d",
291 : num);
292 : return HX509_PKCS11_NO_MECH;
293 : }
294 : }
295 :
296 : return 0;
297 : }
298 :
299 : static int
300 : p11_init_slot(hx509_context context,
301 : struct p11_module *p,
302 : hx509_lock lock,
303 : CK_SLOT_ID id,
304 : int num,
305 : struct p11_slot *slot)
306 : {
307 : CK_SESSION_HANDLE session;
308 : CK_SLOT_INFO slot_info;
309 : CK_TOKEN_INFO token_info;
310 : size_t i;
311 : int ret;
312 :
313 : slot->certs = NULL;
314 : slot->id = id;
315 :
316 : ret = P11FUNC(p, GetSlotInfo, (slot->id, &slot_info));
317 : if (ret) {
318 : hx509_set_error_string(context, 0, HX509_PKCS11_TOKEN_CONFUSED,
319 : "Failed to init PKCS11 slot %d",
320 : num);
321 : return HX509_PKCS11_TOKEN_CONFUSED;
322 : }
323 :
324 : for (i = sizeof(slot_info.slotDescription) - 1; i > 0; i--) {
325 : char c = slot_info.slotDescription[i];
326 : if (c == ' ' || c == '\t' || c == '\n' || c == '\r' || c == '\0')
327 : continue;
328 : i++;
329 : break;
330 : }
331 :
332 : ret = asprintf(&slot->name, "%.*s", (int)i,
333 : slot_info.slotDescription);
334 : if (ret == -1)
335 : return ENOMEM;
336 :
337 : if ((slot_info.flags & CKF_TOKEN_PRESENT) == 0)
338 : return 0;
339 :
340 : ret = P11FUNC(p, GetTokenInfo, (slot->id, &token_info));
341 : if (ret) {
342 : hx509_set_error_string(context, 0, HX509_PKCS11_NO_TOKEN,
343 : "Failed to init PKCS11 slot %d "
344 : "with error 0x%08x",
345 : num, ret);
346 : return HX509_PKCS11_NO_TOKEN;
347 : }
348 : slot->flags |= P11_TOKEN_PRESENT;
349 :
350 : if (token_info.flags & CKF_LOGIN_REQUIRED)
351 : slot->flags |= P11_LOGIN_REQ;
352 :
353 : ret = p11_get_session(context, p, slot, lock, &session);
354 : if (ret)
355 : return ret;
356 :
357 : ret = p11_mech_info(context, p, slot, num);
358 : if (ret)
359 : goto out;
360 :
361 : ret = p11_list_keys(context, p, slot, session, lock, &slot->certs);
362 : out:
363 : p11_put_session(p, slot, session);
364 :
365 : return ret;
366 : }
367 :
368 : static int
369 : p11_get_session(hx509_context context,
370 : struct p11_module *p,
371 : struct p11_slot *slot,
372 : hx509_lock lock,
373 : CK_SESSION_HANDLE *psession)
374 : {
375 : CK_RV ret;
376 :
377 : if (slot->flags & P11_SESSION_IN_USE)
378 : _hx509_abort("slot already in session");
379 :
380 : if (slot->flags & P11_SESSION) {
381 : slot->flags |= P11_SESSION_IN_USE;
382 : *psession = slot->session;
383 : return 0;
384 : }
385 :
386 : ret = P11FUNC(p, OpenSession, (slot->id,
387 : CKF_SERIAL_SESSION,
388 : NULL,
389 : NULL,
390 : &slot->session));
391 : if (ret != CKR_OK) {
392 : if (context)
393 : hx509_set_error_string(context, 0, HX509_PKCS11_OPEN_SESSION,
394 : "Failed to OpenSession for slot id %d "
395 : "with error: 0x%08x",
396 : (int)slot->id, ret);
397 : return HX509_PKCS11_OPEN_SESSION;
398 : }
399 :
400 : slot->flags |= P11_SESSION;
401 :
402 : /*
403 : * If we have have to login, and haven't tried before and have a
404 : * prompter or known to work pin code.
405 : *
406 : * This code is very conversative and only uses the prompter in
407 : * the hx509_lock, the reason is that it's bad to try many
408 : * passwords on a pkcs11 token, it might lock up and have to be
409 : * unlocked by a administrator.
410 : *
411 : * XXX try harder to not use pin several times on the same card.
412 : */
413 :
414 : if ( (slot->flags & P11_LOGIN_REQ)
415 : && (slot->flags & P11_LOGIN_DONE) == 0
416 : && (lock || slot->pin))
417 : {
418 : hx509_prompt prompt;
419 : char pin[20];
420 : char *str;
421 :
422 : if (slot->pin == NULL) {
423 :
424 : memset(&prompt, 0, sizeof(prompt));
425 :
426 : ret = asprintf(&str, "PIN code for %s: ", slot->name);
427 : if (ret == -1 || str == NULL) {
428 : if (context)
429 : hx509_set_error_string(context, 0, ENOMEM, "out of memory");
430 : return ENOMEM;
431 : }
432 : prompt.prompt = str;
433 : prompt.type = HX509_PROMPT_TYPE_PASSWORD;
434 : prompt.reply.data = pin;
435 : prompt.reply.length = sizeof(pin);
436 :
437 : ret = hx509_lock_prompt(lock, &prompt);
438 : if (ret) {
439 : free(str);
440 : if (context)
441 : hx509_set_error_string(context, 0, ret,
442 : "Failed to get pin code for slot "
443 : "id %d with error: %d",
444 : (int)slot->id, ret);
445 : return ret;
446 : }
447 : free(str);
448 : } else {
449 : strlcpy(pin, slot->pin, sizeof(pin));
450 : }
451 :
452 : ret = P11FUNC(p, Login, (slot->session, CKU_USER,
453 : (unsigned char*)pin, strlen(pin)));
454 : if (ret != CKR_OK) {
455 : if (context)
456 : hx509_set_error_string(context, 0, HX509_PKCS11_LOGIN,
457 : "Failed to login on slot id %d "
458 : "with error: 0x%08x",
459 : (int)slot->id, ret);
460 : switch(ret) {
461 : case CKR_PIN_LOCKED:
462 : return HX509_PKCS11_PIN_LOCKED;
463 : case CKR_PIN_EXPIRED:
464 : return HX509_PKCS11_PIN_EXPIRED;
465 : case CKR_PIN_INCORRECT:
466 : return HX509_PKCS11_PIN_INCORRECT;
467 : case CKR_USER_PIN_NOT_INITIALIZED:
468 : return HX509_PKCS11_PIN_NOT_INITIALIZED;
469 : default:
470 : return HX509_PKCS11_LOGIN;
471 : }
472 : } else
473 : slot->flags |= P11_LOGIN_DONE;
474 :
475 : if (slot->pin == NULL) {
476 : slot->pin = strdup(pin);
477 : if (slot->pin == NULL) {
478 : if (context)
479 : hx509_set_error_string(context, 0, ENOMEM,
480 : "out of memory");
481 : return ENOMEM;
482 : }
483 : }
484 : } else
485 : slot->flags |= P11_LOGIN_DONE;
486 :
487 : slot->flags |= P11_SESSION_IN_USE;
488 :
489 : *psession = slot->session;
490 :
491 : return 0;
492 : }
493 :
494 : static int
495 : p11_put_session(struct p11_module *p,
496 : struct p11_slot *slot,
497 : CK_SESSION_HANDLE session)
498 : {
499 : if ((slot->flags & P11_SESSION_IN_USE) == 0)
500 : _hx509_abort("slot not in session");
501 : slot->flags &= ~P11_SESSION_IN_USE;
502 :
503 : return 0;
504 : }
505 :
506 : static int
507 : iterate_entries(hx509_context context,
508 : struct p11_module *p, struct p11_slot *slot,
509 : CK_SESSION_HANDLE session,
510 : CK_ATTRIBUTE *search_data, int num_search_data,
511 : CK_ATTRIBUTE *query, int num_query,
512 : int (*func)(hx509_context,
513 : struct p11_module *, struct p11_slot *,
514 : CK_SESSION_HANDLE session,
515 : CK_OBJECT_HANDLE object,
516 : void *, CK_ATTRIBUTE *, int), void *ptr)
517 : {
518 : CK_OBJECT_HANDLE object;
519 : CK_ULONG object_count;
520 : int ret, ret2, i;
521 :
522 : ret = P11FUNC(p, FindObjectsInit, (session, search_data, num_search_data));
523 : if (ret != CKR_OK) {
524 : return -1;
525 : }
526 : while (1) {
527 : ret = P11FUNC(p, FindObjects, (session, &object, 1, &object_count));
528 : if (ret != CKR_OK) {
529 : return -1;
530 : }
531 : if (object_count == 0)
532 : break;
533 :
534 : for (i = 0; i < num_query; i++)
535 : query[i].pValue = NULL;
536 :
537 : ret = P11FUNC(p, GetAttributeValue,
538 : (session, object, query, num_query));
539 : if (ret != CKR_OK) {
540 : return -1;
541 : }
542 : for (i = 0; i < num_query; i++) {
543 : query[i].pValue = malloc(query[i].ulValueLen);
544 : if (query[i].pValue == NULL) {
545 : ret = ENOMEM;
546 : goto out;
547 : }
548 : }
549 : ret = P11FUNC(p, GetAttributeValue,
550 : (session, object, query, num_query));
551 : if (ret != CKR_OK) {
552 : ret = -1;
553 : goto out;
554 : }
555 :
556 : ret = (*func)(context, p, slot, session, object, ptr, query, num_query);
557 : if (ret)
558 : goto out;
559 :
560 : for (i = 0; i < num_query; i++) {
561 : if (query[i].pValue)
562 : free(query[i].pValue);
563 : query[i].pValue = NULL;
564 : }
565 : }
566 : out:
567 :
568 : for (i = 0; i < num_query; i++) {
569 : if (query[i].pValue)
570 : free(query[i].pValue);
571 : query[i].pValue = NULL;
572 : }
573 :
574 : ret2 = P11FUNC(p, FindObjectsFinal, (session));
575 : if (ret2 != CKR_OK) {
576 : return ret2;
577 : }
578 :
579 : return ret;
580 : }
581 :
582 : static BIGNUM *
583 : getattr_bn(struct p11_module *p,
584 : struct p11_slot *slot,
585 : CK_SESSION_HANDLE session,
586 : CK_OBJECT_HANDLE object,
587 : unsigned int type)
588 : {
589 : CK_ATTRIBUTE query;
590 : BIGNUM *bn;
591 : int ret;
592 :
593 : query.type = type;
594 : query.pValue = NULL;
595 : query.ulValueLen = 0;
596 :
597 : ret = P11FUNC(p, GetAttributeValue,
598 : (session, object, &query, 1));
599 : if (ret != CKR_OK)
600 : return NULL;
601 :
602 : query.pValue = malloc(query.ulValueLen);
603 :
604 : ret = P11FUNC(p, GetAttributeValue,
605 : (session, object, &query, 1));
606 : if (ret != CKR_OK) {
607 : free(query.pValue);
608 : return NULL;
609 : }
610 : bn = BN_bin2bn(query.pValue, query.ulValueLen, NULL);
611 : free(query.pValue);
612 :
613 : return bn;
614 : }
615 :
616 : static int
617 : collect_private_key(hx509_context context,
618 : struct p11_module *p, struct p11_slot *slot,
619 : CK_SESSION_HANDLE session,
620 : CK_OBJECT_HANDLE object,
621 : void *ptr, CK_ATTRIBUTE *query, int num_query)
622 : {
623 : struct hx509_collector *collector = ptr;
624 : hx509_private_key key;
625 : heim_octet_string localKeyId;
626 : int ret;
627 : RSA *rsa;
628 : struct p11_rsa *p11rsa;
629 :
630 : localKeyId.data = query[0].pValue;
631 : localKeyId.length = query[0].ulValueLen;
632 :
633 : ret = hx509_private_key_init(&key, NULL, NULL);
634 : if (ret)
635 : return ret;
636 :
637 : rsa = RSA_new();
638 : if (rsa == NULL)
639 : _hx509_abort("out of memory");
640 :
641 : /*
642 : * The exponent and modulus should always be present according to
643 : * the pkcs11 specification, but some smartcards leaves it out,
644 : * let ignore any failure to fetch it.
645 : */
646 : rsa->n = getattr_bn(p, slot, session, object, CKA_MODULUS);
647 : rsa->e = getattr_bn(p, slot, session, object, CKA_PUBLIC_EXPONENT);
648 :
649 : p11rsa = calloc(1, sizeof(*p11rsa));
650 : if (p11rsa == NULL)
651 : _hx509_abort("out of memory");
652 :
653 : p11rsa->p = p;
654 : p11rsa->slot = slot;
655 : p11rsa->private_key = object;
656 :
657 : if (p->ref == 0)
658 : _hx509_abort("pkcs11 ref == 0 on alloc");
659 : p->ref++;
660 : if (p->ref == UINT_MAX)
661 : _hx509_abort("pkcs11 ref == UINT_MAX on alloc");
662 :
663 : RSA_set_method(rsa, &p11_rsa_pkcs1_method);
664 : ret = RSA_set_app_data(rsa, p11rsa);
665 : if (ret != 1)
666 : _hx509_abort("RSA_set_app_data");
667 :
668 : hx509_private_key_assign_rsa(key, rsa);
669 :
670 : ret = _hx509_collector_private_key_add(context,
671 : collector,
672 : hx509_signature_rsa(),
673 : key,
674 : NULL,
675 : &localKeyId);
676 :
677 : if (ret) {
678 : hx509_private_key_free(&key);
679 : return ret;
680 : }
681 : return 0;
682 : }
683 :
684 : static void
685 : p11_cert_release(hx509_cert cert, void *ctx)
686 : {
687 : struct p11_module *p = ctx;
688 : p11_release_module(p);
689 : }
690 :
691 :
692 : static int
693 : collect_cert(hx509_context context,
694 : struct p11_module *p, struct p11_slot *slot,
695 : CK_SESSION_HANDLE session,
696 : CK_OBJECT_HANDLE object,
697 : void *ptr, CK_ATTRIBUTE *query, int num_query)
698 : {
699 : struct hx509_collector *collector = ptr;
700 : heim_error_t error = NULL;
701 : hx509_cert cert;
702 : int ret;
703 :
704 : if ((CK_LONG)query[0].ulValueLen == -1 ||
705 : (CK_LONG)query[1].ulValueLen == -1)
706 : {
707 : return 0;
708 : }
709 :
710 : cert = hx509_cert_init_data(context, query[1].pValue,
711 : query[1].ulValueLen, &error);
712 : if (cert == NULL) {
713 : ret = heim_error_get_code(error);
714 : heim_release(error);
715 : return ret;
716 : }
717 :
718 : if (p->ref == 0)
719 : _hx509_abort("pkcs11 ref == 0 on alloc");
720 : p->ref++;
721 : if (p->ref == UINT_MAX)
722 : _hx509_abort("pkcs11 ref to high");
723 :
724 : _hx509_cert_set_release(cert, p11_cert_release, p);
725 :
726 : {
727 : heim_octet_string data;
728 :
729 : data.data = query[0].pValue;
730 : data.length = query[0].ulValueLen;
731 :
732 : _hx509_set_cert_attribute(context,
733 : cert,
734 : &asn1_oid_id_pkcs_9_at_localKeyId,
735 : &data);
736 : }
737 :
738 : if ((CK_LONG)query[2].ulValueLen != -1) {
739 : char *str;
740 :
741 : ret = asprintf(&str, "%.*s",
742 : (int)query[2].ulValueLen, (char *)query[2].pValue);
743 : if (ret != -1 && str) {
744 : hx509_cert_set_friendly_name(cert, str);
745 : free(str);
746 : }
747 : }
748 :
749 : ret = _hx509_collector_certs_add(context, collector, cert);
750 : hx509_cert_free(cert);
751 :
752 : return ret;
753 : }
754 :
755 :
756 : static int
757 : p11_list_keys(hx509_context context,
758 : struct p11_module *p,
759 : struct p11_slot *slot,
760 : CK_SESSION_HANDLE session,
761 : hx509_lock lock,
762 : hx509_certs *certs)
763 : {
764 : struct hx509_collector *collector;
765 : CK_OBJECT_CLASS key_class;
766 : CK_ATTRIBUTE search_data[] = {
767 : {CKA_CLASS, NULL, 0},
768 : };
769 : CK_ATTRIBUTE query_data[3] = {
770 : {CKA_ID, NULL, 0},
771 : {CKA_VALUE, NULL, 0},
772 : {CKA_LABEL, NULL, 0}
773 : };
774 : int ret;
775 :
776 : search_data[0].pValue = &key_class;
777 : search_data[0].ulValueLen = sizeof(key_class);
778 :
779 : if (lock == NULL)
780 : lock = _hx509_empty_lock;
781 :
782 : ret = _hx509_collector_alloc(context, lock, &collector);
783 : if (ret)
784 : return ret;
785 :
786 : key_class = CKO_PRIVATE_KEY;
787 : ret = iterate_entries(context, p, slot, session,
788 : search_data, 1,
789 : query_data, 1,
790 : collect_private_key, collector);
791 : if (ret)
792 : goto out;
793 :
794 : key_class = CKO_CERTIFICATE;
795 : ret = iterate_entries(context, p, slot, session,
796 : search_data, 1,
797 : query_data, 3,
798 : collect_cert, collector);
799 : if (ret)
800 : goto out;
801 :
802 : ret = _hx509_collector_collect_certs(context, collector, &slot->certs);
803 :
804 : out:
805 : _hx509_collector_free(collector);
806 :
807 : return ret;
808 : }
809 :
810 :
811 : static int
812 : p11_init(hx509_context context,
813 : hx509_certs certs, void **data, int flags,
814 : const char *residue, hx509_lock lock)
815 : {
816 : CK_C_GetFunctionList getFuncs;
817 : struct p11_module *p;
818 : char *list, *str;
819 : int ret;
820 :
821 : *data = NULL;
822 :
823 : if (flags & HX509_CERTS_NO_PRIVATE_KEYS) {
824 : hx509_set_error_string(context, 0, ENOTSUP,
825 : "PKCS#11 store does not support "
826 : "HX509_CERTS_NO_PRIVATE_KEYS flag");
827 : return ENOTSUP;
828 : }
829 :
830 : if (residue == NULL || residue[0] == '\0') {
831 : hx509_set_error_string(context, 0, EINVAL,
832 : "PKCS#11 store not specified");
833 : return EINVAL;
834 : }
835 : list = strdup(residue);
836 : if (list == NULL)
837 : return ENOMEM;
838 :
839 : p = calloc(1, sizeof(*p));
840 : if (p == NULL) {
841 : free(list);
842 : return ENOMEM;
843 : }
844 :
845 : p->ref = 1;
846 : p->selected_slot = 0;
847 :
848 : str = strchr(list, ',');
849 : if (str)
850 : *str++ = '\0';
851 : while (str) {
852 : char *strnext;
853 : strnext = strchr(str, ',');
854 : if (strnext)
855 : *strnext++ = '\0';
856 : if (strncasecmp(str, "slot=", 5) == 0)
857 : p->selected_slot = atoi(str + 5);
858 : str = strnext;
859 : }
860 :
861 : p->dl_handle = dlopen(list, RTLD_NOW | RTLD_LOCAL | RTLD_GROUP);
862 : if (p->dl_handle == NULL) {
863 : ret = HX509_PKCS11_LOAD;
864 : hx509_set_error_string(context, 0, ret,
865 : "Failed to open %s: %s", list, dlerror());
866 : goto out;
867 : }
868 :
869 : getFuncs = (CK_C_GetFunctionList) dlsym(p->dl_handle, "C_GetFunctionList");
870 : if (getFuncs == NULL) {
871 : ret = HX509_PKCS11_LOAD;
872 : hx509_set_error_string(context, 0, ret,
873 : "C_GetFunctionList missing in %s: %s",
874 : list, dlerror());
875 : goto out;
876 : }
877 :
878 : ret = (*getFuncs)(&p->funcs);
879 : if (ret) {
880 : ret = HX509_PKCS11_LOAD;
881 : hx509_set_error_string(context, 0, ret,
882 : "C_GetFunctionList failed in %s", list);
883 : goto out;
884 : }
885 :
886 : ret = P11FUNC(p, Initialize, (NULL_PTR));
887 : if (ret != CKR_OK) {
888 : ret = HX509_PKCS11_TOKEN_CONFUSED;
889 : hx509_set_error_string(context, 0, ret,
890 : "Failed initialize the PKCS11 module");
891 : goto out;
892 : }
893 :
894 : ret = P11FUNC(p, GetSlotList, (FALSE, NULL, &p->num_slots));
895 : if (ret) {
896 : ret = HX509_PKCS11_TOKEN_CONFUSED;
897 : hx509_set_error_string(context, 0, ret,
898 : "Failed to get number of PKCS11 slots");
899 : goto out;
900 : }
901 :
902 : if (p->num_slots == 0) {
903 : ret = HX509_PKCS11_NO_SLOT;
904 : hx509_set_error_string(context, 0, ret,
905 : "Selected PKCS11 module have no slots");
906 : goto out;
907 : }
908 :
909 :
910 : {
911 : CK_SLOT_ID_PTR slot_ids;
912 : int num_tokens = 0;
913 : size_t i;
914 :
915 : slot_ids = malloc(p->num_slots * sizeof(*slot_ids));
916 : if (slot_ids == NULL) {
917 : hx509_clear_error_string(context);
918 : ret = ENOMEM;
919 : goto out;
920 : }
921 :
922 : ret = P11FUNC(p, GetSlotList, (FALSE, slot_ids, &p->num_slots));
923 : if (ret) {
924 : free(slot_ids);
925 : hx509_set_error_string(context, 0, HX509_PKCS11_TOKEN_CONFUSED,
926 : "Failed getting slot-list from "
927 : "PKCS11 module");
928 : ret = HX509_PKCS11_TOKEN_CONFUSED;
929 : goto out;
930 : }
931 :
932 : p->slot = calloc(p->num_slots, sizeof(p->slot[0]));
933 : if (p->slot == NULL) {
934 : free(slot_ids);
935 : hx509_set_error_string(context, 0, ENOMEM,
936 : "Failed to get memory for slot-list");
937 : ret = ENOMEM;
938 : goto out;
939 : }
940 :
941 : for (i = 0; i < p->num_slots; i++) {
942 : if ((p->selected_slot != 0) && (slot_ids[i] != (p->selected_slot - 1)))
943 : continue;
944 : ret = p11_init_slot(context, p, lock, slot_ids[i], i, &p->slot[i]);
945 : if (!ret) {
946 : if (p->slot[i].flags & P11_TOKEN_PRESENT)
947 : num_tokens++;
948 : }
949 : }
950 : free(slot_ids);
951 : if (ret)
952 : goto out;
953 : if (num_tokens == 0) {
954 : ret = HX509_PKCS11_NO_TOKEN;
955 : goto out;
956 : }
957 : }
958 :
959 : free(list);
960 :
961 : *data = p;
962 :
963 : return 0;
964 : out:
965 : if (list)
966 : free(list);
967 : p11_release_module(p);
968 : return ret;
969 : }
970 :
971 : static void
972 : p11_release_module(struct p11_module *p)
973 : {
974 : size_t i;
975 :
976 : if (p->ref == 0)
977 : _hx509_abort("pkcs11 ref to low");
978 : if (--p->ref > 0)
979 : return;
980 :
981 : for (i = 0; i < p->num_slots; i++) {
982 : if (p->slot[i].flags & P11_SESSION_IN_USE)
983 : _hx509_abort("pkcs11 module release while session in use");
984 : if (p->slot[i].flags & P11_SESSION) {
985 : P11FUNC(p, CloseSession, (p->slot[i].session));
986 : }
987 :
988 : if (p->slot[i].name)
989 : free(p->slot[i].name);
990 : if (p->slot[i].pin) {
991 : memset(p->slot[i].pin, 0, strlen(p->slot[i].pin));
992 : free(p->slot[i].pin);
993 : }
994 : if (p->slot[i].mechs.num) {
995 : free(p->slot[i].mechs.list);
996 :
997 : if (p->slot[i].mechs.infos) {
998 : size_t j;
999 :
1000 : for (j = 0 ; j < p->slot[i].mechs.num ; j++)
1001 : free(p->slot[i].mechs.infos[j]);
1002 : free(p->slot[i].mechs.infos);
1003 : }
1004 : }
1005 : }
1006 : free(p->slot);
1007 :
1008 : if (p->funcs)
1009 : P11FUNC(p, Finalize, (NULL));
1010 :
1011 : if (p->dl_handle)
1012 : dlclose(p->dl_handle);
1013 :
1014 : memset(p, 0, sizeof(*p));
1015 : free(p);
1016 : }
1017 :
1018 : static int
1019 : p11_free(hx509_certs certs, void *data)
1020 : {
1021 : struct p11_module *p = data;
1022 : size_t i;
1023 :
1024 : for (i = 0; i < p->num_slots; i++) {
1025 : if (p->slot[i].certs)
1026 : hx509_certs_free(&p->slot[i].certs);
1027 : }
1028 : p11_release_module(p);
1029 : return 0;
1030 : }
1031 :
1032 : struct p11_cursor {
1033 : hx509_certs certs;
1034 : void *cursor;
1035 : };
1036 :
1037 : static int
1038 : p11_iter_start(hx509_context context,
1039 : hx509_certs certs, void *data, void **cursor)
1040 : {
1041 : struct p11_module *p = data;
1042 : struct p11_cursor *c;
1043 : int ret;
1044 : size_t i;
1045 :
1046 : c = malloc(sizeof(*c));
1047 : if (c == NULL) {
1048 : hx509_clear_error_string(context);
1049 : return ENOMEM;
1050 : }
1051 : ret = hx509_certs_init(context, "MEMORY:pkcs11-iter", 0, NULL, &c->certs);
1052 : if (ret) {
1053 : free(c);
1054 : return ret;
1055 : }
1056 :
1057 : for (i = 0 ; i < p->num_slots; i++) {
1058 : if (p->slot[i].certs == NULL)
1059 : continue;
1060 : ret = hx509_certs_merge(context, c->certs, p->slot[i].certs);
1061 : if (ret) {
1062 : hx509_certs_free(&c->certs);
1063 : free(c);
1064 : return ret;
1065 : }
1066 : }
1067 :
1068 : ret = hx509_certs_start_seq(context, c->certs, &c->cursor);
1069 : if (ret) {
1070 : hx509_certs_free(&c->certs);
1071 : free(c);
1072 : return 0;
1073 : }
1074 : *cursor = c;
1075 :
1076 : return 0;
1077 : }
1078 :
1079 : static int
1080 : p11_iter(hx509_context context,
1081 : hx509_certs certs, void *data, void *cursor, hx509_cert *cert)
1082 : {
1083 : struct p11_cursor *c = cursor;
1084 : return hx509_certs_next_cert(context, c->certs, c->cursor, cert);
1085 : }
1086 :
1087 : static int
1088 : p11_iter_end(hx509_context context,
1089 : hx509_certs certs, void *data, void *cursor)
1090 : {
1091 : struct p11_cursor *c = cursor;
1092 : int ret;
1093 : ret = hx509_certs_end_seq(context, c->certs, c->cursor);
1094 : hx509_certs_free(&c->certs);
1095 : free(c);
1096 : return ret;
1097 : }
1098 :
1099 : #define MECHFLAG(x) { "unknown-flag-" #x, x }
1100 : static struct units mechflags[] = {
1101 : MECHFLAG(0x80000000),
1102 : MECHFLAG(0x40000000),
1103 : MECHFLAG(0x20000000),
1104 : MECHFLAG(0x10000000),
1105 : MECHFLAG(0x08000000),
1106 : MECHFLAG(0x04000000),
1107 : {"ec-compress", 0x2000000 },
1108 : {"ec-uncompress", 0x1000000 },
1109 : {"ec-namedcurve", 0x0800000 },
1110 : {"ec-ecparameters", 0x0400000 },
1111 : {"ec-f-2m", 0x0200000 },
1112 : {"ec-f-p", 0x0100000 },
1113 : {"derive", 0x0080000 },
1114 : {"unwrap", 0x0040000 },
1115 : {"wrap", 0x0020000 },
1116 : {"genereate-key-pair", 0x0010000 },
1117 : {"generate", 0x0008000 },
1118 : {"verify-recover", 0x0004000 },
1119 : {"verify", 0x0002000 },
1120 : {"sign-recover", 0x0001000 },
1121 : {"sign", 0x0000800 },
1122 : {"digest", 0x0000400 },
1123 : {"decrypt", 0x0000200 },
1124 : {"encrypt", 0x0000100 },
1125 : MECHFLAG(0x00080),
1126 : MECHFLAG(0x00040),
1127 : MECHFLAG(0x00020),
1128 : MECHFLAG(0x00010),
1129 : MECHFLAG(0x00008),
1130 : MECHFLAG(0x00004),
1131 : MECHFLAG(0x00002),
1132 : {"hw", 0x0000001 },
1133 : { NULL, 0x0000000 }
1134 : };
1135 : #undef MECHFLAG
1136 :
1137 : static int
1138 : p11_printinfo(hx509_context context,
1139 : hx509_certs certs,
1140 : void *data,
1141 : int (*func)(void *, const char *),
1142 : void *ctx)
1143 : {
1144 : struct p11_module *p = data;
1145 : size_t i, j;
1146 :
1147 : _hx509_pi_printf(func, ctx, "pkcs11 driver with %d slot%s",
1148 : p->num_slots, p->num_slots > 1 ? "s" : "");
1149 :
1150 : for (i = 0; i < p->num_slots; i++) {
1151 : struct p11_slot *s = &p->slot[i];
1152 :
1153 : _hx509_pi_printf(func, ctx, "slot %d: id: %d name: %s flags: %08x",
1154 : i, (int)s->id, s->name, s->flags);
1155 :
1156 : _hx509_pi_printf(func, ctx, "number of supported mechanisms: %lu",
1157 : (unsigned long)s->mechs.num);
1158 : for (j = 0; j < s->mechs.num; j++) {
1159 : const char *mechname = "unknown";
1160 : char flags[256], unknownname[40];
1161 : #define MECHNAME(s,n) case s: mechname = n; break
1162 : switch(s->mechs.list[j]) {
1163 : MECHNAME(CKM_RSA_PKCS_KEY_PAIR_GEN, "rsa-pkcs-key-pair-gen");
1164 : MECHNAME(CKM_RSA_PKCS, "rsa-pkcs");
1165 : MECHNAME(CKM_RSA_X_509, "rsa-x-509");
1166 : MECHNAME(CKM_MD5_RSA_PKCS, "md5-rsa-pkcs");
1167 : MECHNAME(CKM_SHA1_RSA_PKCS, "sha1-rsa-pkcs");
1168 : MECHNAME(CKM_SHA256_RSA_PKCS, "sha256-rsa-pkcs");
1169 : MECHNAME(CKM_SHA384_RSA_PKCS, "sha384-rsa-pkcs");
1170 : MECHNAME(CKM_SHA512_RSA_PKCS, "sha512-rsa-pkcs");
1171 : MECHNAME(CKM_RIPEMD160_RSA_PKCS, "ripemd160-rsa-pkcs");
1172 : MECHNAME(CKM_RSA_PKCS_OAEP, "rsa-pkcs-oaep");
1173 : MECHNAME(CKM_SHA512_HMAC, "sha512-hmac");
1174 : MECHNAME(CKM_SHA512, "sha512");
1175 : MECHNAME(CKM_SHA384_HMAC, "sha384-hmac");
1176 : MECHNAME(CKM_SHA384, "sha384");
1177 : MECHNAME(CKM_SHA256_HMAC, "sha256-hmac");
1178 : MECHNAME(CKM_SHA256, "sha256");
1179 : MECHNAME(CKM_SHA_1, "sha1");
1180 : MECHNAME(CKM_MD5, "md5");
1181 : MECHNAME(CKM_RIPEMD160, "ripemd-160");
1182 : MECHNAME(CKM_DES_ECB, "des-ecb");
1183 : MECHNAME(CKM_DES_CBC, "des-cbc");
1184 : MECHNAME(CKM_AES_ECB, "aes-ecb");
1185 : MECHNAME(CKM_AES_CBC, "aes-cbc");
1186 : MECHNAME(CKM_DH_PKCS_PARAMETER_GEN, "dh-pkcs-parameter-gen");
1187 : default:
1188 : snprintf(unknownname, sizeof(unknownname),
1189 : "unknown-mech-%lu",
1190 : (unsigned long)s->mechs.list[j]);
1191 : mechname = unknownname;
1192 : break;
1193 : }
1194 : #undef MECHNAME
1195 : unparse_flags(s->mechs.infos[j]->flags, mechflags,
1196 : flags, sizeof(flags));
1197 :
1198 : _hx509_pi_printf(func, ctx, " %s: %s", mechname, flags);
1199 : }
1200 : }
1201 :
1202 : return 0;
1203 : }
1204 :
1205 : static struct hx509_keyset_ops keyset_pkcs11 = {
1206 : "PKCS11",
1207 : 0,
1208 : p11_init,
1209 : NULL,
1210 : p11_free,
1211 : NULL,
1212 : NULL,
1213 : p11_iter_start,
1214 : p11_iter,
1215 : p11_iter_end,
1216 : p11_printinfo,
1217 : NULL,
1218 : NULL,
1219 : NULL
1220 : };
1221 :
1222 : #endif /* HAVE_DLOPEN */
1223 :
1224 : HX509_LIB_FUNCTION void HX509_LIB_CALL
1225 759605 : _hx509_ks_pkcs11_register(hx509_context context)
1226 : {
1227 : #ifdef HAVE_DLOPEN
1228 : _hx509_ks_register(context, &keyset_pkcs11);
1229 : #endif
1230 759605 : }
|
