MUT-BC-SS-01: Mutationsbasiertes Testen von X.509-BasicConstraints in OpenSSL

Überblick

Dieses Repository implementiert ein spezifikationsgetriebenes Mutations-Testexperiment, das das Validierungsverhalten von X.509-Zertifikaten in OpenSSL untersucht.

Das Experiment basiert auf dem Mutationsoperator:

MUT-BC-SS-01

der die BasicConstraints-Erweiterung modifiziert:

CA:TRUE → CA:FALSE

Ziel ist es zu bewerten, ob die Zertifikatsvalidierung die RFC-5280-Anforderungen korrekt durchsetzt, und das Verhalten im Zusammenhang mit der durch CVE-2021-3450 repräsentierten Schwachstellenklasse zu untersuchen.

Repository-Struktur

MUT-BC-SS-01/
│
│
├── configs/
│   ├── ca.cnf
│   └── leaf.cnf
│
├── src/
│   └── poc.c
|   └── poc_fixed.c
│
├── check_prerequisites.sh
├── install_openssl111h.sh
├── environment.sh
├── generate_certs.sh
├── build.sh
├── run.sh
├── build_version3.sh
├── run_version3.sh
│
│
└── README.md

Experimentbeschreibung

Das Experiment erzeugt die folgende Zertifikatskette:

Root CA (CA:TRUE)
        │
        ▼
Mutant Intermediate (CA:FALSE)
        │
        ▼
Subleaf Certificate

Das mutierte Zertifikat ist absichtlich konfiguriert mit:

basicConstraints = CA:FALSE

während es weiterhin verwendet wird, um ein anderes Zertifikat zu signieren.

Die Validierungsumgebung bewertet, ob OpenSSL diese ungültige Kette korrekt ablehnt.

Systemanforderungen

Das Experiment wurde auf Linux-Systemen getestet mit:

• GCC
• GNU Make
• Perl
• OpenSSL-Quellcode-Build-Werkzeugen

Schnellstart

1. Repository klonen

git clone https://github.com/dedellix/MUT-BC-SS-01.git
cd MUT-BC-SS-01

2. Skripte ausführbar machen

chmod +x *.sh

3. Voraussetzungen prüfen und installieren

./check_prerequisites.sh

Dieses Skript prüft die benötigten Pakete und installiert fehlende Abhängigkeiten automatisch.

Zu den benötigten Paketen gehören:

• build-essential
• gcc
• g++
• make
• perl
• wget
• curl
• git
• tar
• gzip
• zlib1g-dev
• libssl-dev

4. OpenSSL 1.1.1h installieren

./install_openssl111h.sh

Dieses lädt OpenSSL 1.1.1h herunter, erstellt es und installiert es lokal unter:

$HOME/openssl-1.1.1h-install

Es werden keine systemweiten OpenSSL-Dateien verändert.

5. Umgebung konfigurieren

./environment.sh

Dieses konfiguriert:

LD_LIBRARY_PATH

und überprüft, dass die korrekten OpenSSL-Bibliotheken geladen werden.

6. Zertifikate erzeugen

./generate_certs.sh

Dieses erzeugt:

• Root-CA
• Mutiertes Zwischenzertifikat
• Subleaf-Zertifikat

und speichert sie in:

certs/

7. Proof-of-Concept erstellen

./build.sh
./build_version3.sh

Dieses kompiliert:

src/poc.c

und erzeugt:

./poc

im Projektstammverzeichnis.

8. Experiment ausführen

./run.sh
./run_version3.sh

oder direkt:

./poc

Neuaufbau von Grund auf

Um alle erzeugten Artefakte vollständig zu entfernen:

rm -rf certs
rm -f poc

Um die lokale OpenSSL-Installation zu entfernen:

rm -rf $HOME/openssl-1.1.1h-install
rm -rf tls-test

Um die Umgebungsvariablen zu löschen:

unset LD_LIBRARY_PATH
unset OPENSSL111H