如何避免 OpenSSL 静态链接风险？

2024-07-26 15:34:30

如何避免静态链接 OpenSSL：探索动态链接的奥秘

在软件开发的世界里，OpenSSL 堪称加密和安全通信领域的基石。我们开发的许多应用程序，特别是那些需要网络通信的程序，都离不开 OpenSSL 的支持。然而，当我们需要在共享库中使用 OpenSSL 时，常常会遇到一个棘手的问题：OpenSSL 默认采用静态链接的方式。这种方式虽然看似方便，但在实际应用中却可能引发内存分配冲突等一系列问题。

想象一下，你正在开发一个需要加载到应用程序中的共享库。这个库依赖于 libcurl 和 OpenSSL（包括 libcrypto）来实现网络通信和数据加密。由于某些特殊的需求，你需要使用 curl_global_init_mem 和 CRYPTO_set_mem_functions 函数来覆盖默认的内存分配函数。你可能会尝试在应用程序和库调用这些函数时进行时间上的分离，但 CRYPTO_set_mem_functions 函数并不能清除或取消设置。更糟糕的是，你无法保证这样做不会破坏应用程序的其他功能。

静态链接 OpenSSL：便利背后的隐患

将 OpenSSL 静态链接到共享库中似乎是解决问题的捷径，但这种做法存在着明显的弊端：

安全更新的阻碍 : OpenSSL 经常会发布安全更新来修复漏洞，而静态链接的库无法享受到这些更新带来的好处，从而将你的应用程序暴露在安全风险之下。
库文件体积膨胀 : 静态链接会将 OpenSSL 的代码直接整合到你的库文件中，导致文件体积增大，进而影响加载时间和内存占用。

动态链接：灵活性的选择

为了规避静态链接 OpenSSL 带来的问题，我们可以转向另一种更为灵活的方式：动态链接。这意味着你的共享库将在运行时加载 OpenSSL 库，而不是在编译阶段将其嵌入。

然而，动态链接并非一帆风顺，它也面临着一些挑战：

OpenSSL 实例冲突 : 应用程序可能已经加载了 OpenSSL，而你的库需要使用相同的 OpenSSL 实例，避免版本或配置上的不一致。
LD_PRELOAD 技巧的局限性 : LD_PRELOAD 允许我们在程序运行前加载指定的共享库，但由于你的库是在应用程序启动后加载的，因此无法使用该技巧。

Linux 平台上的动态链接解决方案

幸运的是，在 Linux 平台上，我们可以借助一些强大的特性来实现 OpenSSL 的动态链接：

RTLD_GLOBAL 标志 : dlopen 函数可以加载共享库，而 RTLD_GLOBAL 标志则可以将库的符号表添加到全局作用域中，使你的库能够使用应用程序已加载的 OpenSSL 实例。
dlsym 函数 : 该函数可以从已加载的 OpenSSL 库中获取函数指针，让你无需静态链接即可调用 OpenSSL 函数。

以下代码示例展示了如何使用 dlopen、RTLD_GLOBAL 和 dlsym 函数动态加载 OpenSSL：

#include <dlfcn.h>

// 定义 OpenSSL 函数指针
typedef void (*CRYPTO_set_mem_functions_t)(void *(*malloc_func)(size_t),
                                             void *(*realloc_func)(void *, size_t),
                                             void (*free_func)(void *));

int main() {
  // 动态加载 OpenSSL 库
  void *openssl_handle = dlopen("libcrypto.so", RTLD_LAZY | RTLD_GLOBAL);
  if (!openssl_handle) {
    // 处理错误
  }

  // 获取 CRYPTO_set_mem_functions 函数指针
  CRYPTO_set_mem_functions_t CRYPTO_set_mem_functions =
      (CRYPTO_set_mem_functions_t)dlsym(openssl_handle, "CRYPTO_set_mem_functions");
  if (!CRYPTO_set_mem_functions) {
    // 处理错误
  }

  // 现在你可以使用 CRYPTO_set_mem_functions 函数
  CRYPTO_set_mem_functions(my_malloc, my_realloc, my_free);

  // ...

  // 关闭 OpenSSL 库句柄
  dlclose(openssl_handle);

  return 0;
}

深入分析：代码解读

这段代码首先定义了一个指向 CRYPTO_set_mem_functions 函数的指针类型 CRYPTO_set_mem_functions_t。接着，使用 dlopen 函数加载 libcrypto.so 库，并指定 RTLD_LAZY 和 RTLD_GLOBAL 标志。 RTLD_LAZY 表示在首次使用时才解析符号，而 RTLD_GLOBAL 则将库的符号表添加到全局作用域中。

如果加载成功，代码会使用 dlsym 函数获取 CRYPTO_set_mem_functions 函数的地址，并将其存储在 CRYPTO_set_mem_functions 指针中。最后，我们可以像使用静态链接的函数一样使用 CRYPTO_set_mem_functions 函数，并在使用完毕后调用 dlclose 函数关闭库句柄。