MUT-BC-SS-01: Teste de Mutação de BasicConstraints X.509 no OpenSSL

Visão Geral

Este repositório implementa um experimento de teste de mutação orientado por especificação, visando o comportamento de validação de certificados X.509 no OpenSSL.

O experimento é baseado no operador de mutação:

MUT-BC-SS-01

que modifica a extensão BasicConstraints:

CA:TRUE → CA:FALSE

O objetivo é avaliar se a validação de certificados aplica corretamente os requisitos da RFC 5280 e investigar o comportamento relacionado à classe de vulnerabilidade representada por CVE-2021-3450.

Estrutura do Repositório

MUT-BC-SS-01/
│
│
├── configs/
│   ├── ca.cnf
│   └── leaf.cnf
│
├── src/
│   └── poc.c
|   └── poc_fixed.c
│
├── check_prerequisites.sh
├── install_openssl111h.sh
├── environment.sh
├── generate_certs.sh
├── build.sh
├── run.sh
├── build_version3.sh
├── run_version3.sh
│
│
└── README.md

Descrição do Experimento

O experimento cria a seguinte cadeia de certificados:

Root CA (CA:TRUE)
        │
        ▼
Mutant Intermediate (CA:FALSE)
        │
        ▼
Subleaf Certificate

O certificado mutante é intencionalmente configurado com:

basicConstraints = CA:FALSE

enquanto ainda é usado para assinar outro certificado.

O harness de validação avalia se o OpenSSL rejeita corretamente esta cadeia inválida.

Requisitos do Sistema

O experimento foi testado em sistemas Linux usando:

• GCC
• GNU Make
• Perl
• Ferramentas de construção do OpenSSL (fonte)

Início Rápido

1. Clonar o Repositório

git clone https://github.com/dedellix/MUT-BC-SS-01.git
cd MUT-BC-SS-01

2. Tornar Scripts Executáveis

chmod +x *.sh

3. Verificar e Instalar Pré-requisitos

./check_prerequisites.sh

Este script verifica os pacotes necessários e instala automaticamente quaisquer dependências ausentes.

Os pacotes necessários incluem:

• build-essential
• gcc
• g++
• make
• perl
• wget
• curl
• git
• tar
• gzip
• zlib1g-dev
• libssl-dev

4. Instalar OpenSSL 1.1.1h

./install_openssl111h.sh

Isso baixa, compila e instala o OpenSSL 1.1.1h localmente em:

$HOME/openssl-1.1.1h-install

Nenhum arquivo de sistema do OpenSSL é modificado.

5. Configurar Ambiente

./environment.sh

Isso configura:

LD_LIBRARY_PATH

e verifica se as bibliotecas corretas do OpenSSL estão carregadas.

6. Gerar Certificados

./generate_certs.sh

Isso gera:

• Root CA
• Certificado intermediário mutante
• Certificado subleaf

e os armazena em:

certs/

7. Compilar a Prova de Conceito

./build.sh
./build_version3.sh

Isso compila:

src/poc.c

e produz:

./poc

no diretório raiz do projeto.

8. Executar o Experimento

./run.sh
./run_version3.sh

ou diretamente:

./poc

Reconstruir do Zero

Para remover completamente os artefatos gerados:

rm -rf certs
rm -f poc

Para remover a instalação local do OpenSSL:

rm -rf $HOME/openssl-1.1.1h-install
rm -rf tls-test

Para limpar as variáveis de ambiente:

unset LD_LIBRARY_PATH
unset OPENSSL111H