secure/lib/libcrypto/man/man3/SSL_CTX_set_verify.3

   1 .\" Automatically generated by Pod::Man 4.11 (Pod::Simple 3.40)
   2 .\"
   3 .\" Standard preamble:
   4 .\" ========================================================================
   5 .de Sp \" Vertical space (when we can't use .PP)
   6 .if t .sp .5v
   7 .if n .sp
   8 ..
   9 .de Vb \" Begin verbatim text
  10 .ft CW
  11 .nf
  12 .ne \\$1
  13 ..
  14 .de Ve \" End verbatim text
  15 .ft R
  16 .fi
  17 ..
  18 .\" Set up some character translations and predefined strings.  \*(-- will
  19 .\" give an unbreakable dash, \*(PI will give pi, \*(L" will give a left
  20 .\" double quote, and \*(R" will give a right double quote.  \*(C+ will
  21 .\" give a nicer C++.  Capital omega is used to do unbreakable dashes and
  22 .\" therefore won't be available.  \*(C` and \*(C' expand to `' in nroff,
  23 .\" nothing in troff, for use with C<>.
  24 .tr \(*W-
  25 .ds C+ C\v'-.1v'\h'-1p'\s-2+\h'-1p'+\s0\v'.1v'\h'-1p'
  26 .ie n \{\
  27 .    ds -- \(*W-
  28 .    ds PI pi
  29 .    if (\n(.H=4u)&(1m=24u) .ds -- \(*W\h'-12u'\(*W\h'-12u'-\" diablo 10 pitch
  30 .    if (\n(.H=4u)&(1m=20u) .ds -- \(*W\h'-12u'\(*W\h'-8u'-\"  diablo 12 pitch
  31 .    ds L" ""
  32 .    ds R" ""
  33 .    ds C` ""
  34 .    ds C' ""
  35 'br\}
  36 .el\{\
  37 .    ds -- \|\(em\|
  38 .    ds PI \(*p
  39 .    ds L" ``
  40 .    ds R" ''
  41 .    ds C`
  42 .    ds C'
  43 'br\}
  44 .\"
  45 .\" Escape single quotes in literal strings from groff's Unicode transform.
  46 .ie \n(.g .ds Aq \(aq
  47 .el       .ds Aq '
  48 .\"
  49 .\" If the F register is >0, we'll generate index entries on stderr for
  50 .\" titles (.TH), headers (.SH), subsections (.SS), items (.Ip), and index
  51 .\" entries marked with X<> in POD.  Of course, you'll have to process the
  52 .\" output yourself in some meaningful fashion.
  53 .\"
  54 .\" Avoid warning from groff about undefined register 'F'.
  55 .de IX
  56 ..
  57 .nr rF 0
  58 .if \n(.g .if rF .nr rF 1
  59 .if (\n(rF:(\n(.g==0)) \{\
  60 .    if \nF \{\
  61 .        de IX
  62 .        tm Index:\\$1\t\\n%\t"\\$2"
  63 ..
  64 .        if !\nF==2 \{\
  65 .            nr % 0
  66 .            nr F 2
  67 .        \}
  68 .    \}
  69 .\}
  70 .rr rF
  71 .\"
  72 .\" Accent mark definitions (@(#)ms.acc 1.5 88/02/08 SMI; from UCB 4.2).
  73 .\" Fear.  Run.  Save yourself.  No user-serviceable parts.
  74 .    \" fudge factors for nroff and troff
  75 .if n \{\
  76 .    ds #H 0
  77 .    ds #V .8m
  78 .    ds #F .3m
  79 .    ds #[ \f1
  80 .    ds #] \fP
  81 .\}
  82 .if t \{\
  83 .    ds #H ((1u-(\\\\n(.fu%2u))*.13m)
  84 .    ds #V .6m
  85 .    ds #F 0
  86 .    ds #[ \&
  87 .    ds #] \&
  88 .\}
  89 .    \" simple accents for nroff and troff
  90 .if n \{\
  91 .    ds ' \&
  92 .    ds ` \&
  93 .    ds ^ \&
  94 .    ds , \&
  95 .    ds ~ ~
  96 .    ds /
  97 .\}
  98 .if t \{\
  99 .    ds ' \\k:\h'-(\\n(.wu*8/10-\*(#H)'\'\h"|\\n:u"
 100 .    ds ` \\k:\h'-(\\n(.wu*8/10-\*(#H)'\`\h'|\\n:u'
 101 .    ds ^ \\k:\h'-(\\n(.wu*10/11-\*(#H)'^\h'|\\n:u'
 102 .    ds , \\k:\h'-(\\n(.wu*8/10)',\h'|\\n:u'
 103 .    ds ~ \\k:\h'-(\\n(.wu-\*(#H-.1m)'~\h'|\\n:u'
 104 .    ds / \\k:\h'-(\\n(.wu*8/10-\*(#H)'\z\(sl\h'|\\n:u'
 105 .\}
 106 .    \" troff and (daisy-wheel) nroff accents
 107 .ds : \\k:\h'-(\\n(.wu*8/10-\*(#H+.1m+\*(#F)'\v'-\*(#V'\z.\h'.2m+\*(#F'.\h'|\\n:u'\v'\*(#V'
 108 .ds 8 \h'\*(#H'\(*b\h'-\*(#H'
 109 .ds o \\k:\h'-(\\n(.wu+\w'\(de'u-\*(#H)/2u'\v'-.3n'\*(#[\z\(de\v'.3n'\h'|\\n:u'\*(#]
 110 .ds d- \h'\*(#H'\(pd\h'-\w'~'u'\v'-.25m'\f2\(hy\fP\v'.25m'\h'-\*(#H'
 111 .ds D- D\\k:\h'-\w'D'u'\v'-.11m'\z\(hy\v'.11m'\h'|\\n:u'
 112 .ds th \*(#[\v'.3m'\s+1I\s-1\v'-.3m'\h'-(\w'I'u*2/3)'\s-1o\s+1\*(#]
 113 .ds Th \*(#[\s+2I\s-2\h'-\w'I'u*3/5'\v'-.3m'o\v'.3m'\*(#]
 114 .ds ae a\h'-(\w'a'u*4/10)'e
 115 .ds Ae A\h'-(\w'A'u*4/10)'E
 116 .    \" corrections for vroff
 117 .if v .ds ~ \\k:\h'-(\\n(.wu*9/10-\*(#H)'\s-2\u~\d\s+2\h'|\\n:u'
 118 .if v .ds ^ \\k:\h'-(\\n(.wu*10/11-\*(#H)'\v'-.4m'^\v'.4m'\h'|\\n:u'
 119 .    \" for low resolution devices (crt and lpr)
 120 .if \n(.H>23 .if \n(.V>19 \
 121 \{\
 122 .    ds : e
 123 .    ds 8 ss
 124 .    ds o a
 125 .    ds d- d\h'-1'\(ga
 126 .    ds D- D\h'-1'\(hy
 127 .    ds th \o'bp'
 128 .    ds Th \o'LP'
 129 .    ds ae ae
 130 .    ds Ae AE
 131 .\}
 132 .rm #[ #] #H #V #F C
 133 .\" ========================================================================
 134 .\"
 135 .IX Title "SSL_CTX_SET_VERIFY 3"
 136 .TH SSL_CTX_SET_VERIFY 3 "2020-04-21" "1.1.1g" "OpenSSL"
 137 .\" For nroff, turn off justification.  Always turn off hyphenation; it makes
 138 .\" way too many mistakes in technical documents.
 139 .if n .ad l
 140 .nh
 141 .SH "NAME"
 142 SSL_get_ex_data_X509_STORE_CTX_idx, SSL_CTX_set_verify, SSL_set_verify, SSL_CTX_set_verify_depth, SSL_set_verify_depth, SSL_verify_cb, SSL_verify_client_post_handshake, SSL_set_post_handshake_auth, SSL_CTX_set_post_handshake_auth \&\- set peer certificate verification parameters
 143 .SH "SYNOPSIS"
 144 .IX Header "SYNOPSIS"
 145 .Vb 1
 146 \& #include <openssl/ssl.h>
 147 \&
 148 \& typedef int (*SSL_verify_cb)(int preverify_ok, X509_STORE_CTX *x509_ctx);
 149 \&
 150 \& void SSL_CTX_set_verify(SSL_CTX *ctx, int mode, SSL_verify_cb verify_callback);
 151 \& void SSL_set_verify(SSL *ssl, int mode, SSL_verify_cb verify_callback);
 152 \& SSL_get_ex_data_X509_STORE_CTX_idx(void);
 153 \&
 154 \& void SSL_CTX_set_verify_depth(SSL_CTX *ctx, int depth);
 155 \& void SSL_set_verify_depth(SSL *ssl, int depth);
 156 \&
 157 \& int SSL_verify_client_post_handshake(SSL *ssl);
 158 \& void SSL_CTX_set_post_handshake_auth(SSL_CTX *ctx, int val);
 159 \& void SSL_set_post_handshake_auth(SSL *ssl, int val);
 160 .Ve
 161 .SH "DESCRIPTION"
 162 .IX Header "DESCRIPTION"
 163 \&\fBSSL_CTX_set_verify()\fR sets the verification flags for \fBctx\fR to be \fBmode\fR and
 164 specifies the \fBverify_callback\fR function to be used. If no callback function
 165 shall be specified, the \s-1NULL\s0 pointer can be used for \fBverify_callback\fR.
 166 .PP
 167 \&\fBSSL_set_verify()\fR sets the verification flags for \fBssl\fR to be \fBmode\fR and
 168 specifies the \fBverify_callback\fR function to be used. If no callback function
 169 shall be specified, the \s-1NULL\s0 pointer can be used for \fBverify_callback\fR. In
 170 this case last \fBverify_callback\fR set specifically for this \fBssl\fR remains. If
 171 no special \fBcallback\fR was set before, the default callback for the underlying
 172 \&\fBctx\fR is used, that was valid at the time \fBssl\fR was created with
 173 \&\fBSSL_new\fR\|(3). Within the callback function,
 174 \&\fBSSL_get_ex_data_X509_STORE_CTX_idx\fR can be called to get the data index
 175 of the current \s-1SSL\s0 object that is doing the verification.
 176 .PP
 177 \&\fBSSL_CTX_set_verify_depth()\fR sets the maximum \fBdepth\fR for the certificate chain
 178 verification that shall be allowed for \fBctx\fR.
 179 .PP
 180 \&\fBSSL_set_verify_depth()\fR sets the maximum \fBdepth\fR for the certificate chain
 181 verification that shall be allowed for \fBssl\fR.
 182 .PP
 183 \&\fBSSL_CTX_set_post_handshake_auth()\fR and \fBSSL_set_post_handshake_auth()\fR enable the
 184 Post-Handshake Authentication extension to be added to the ClientHello such that
 185 post-handshake authentication can be requested by the server. If \fBval\fR is 0
 186 then the extension is not sent, otherwise it is. By default the extension is not
 187 sent. A certificate callback will need to be set via
 188 \&\fBSSL_CTX_set_client_cert_cb()\fR if no certificate is provided at initialization.
 189 .PP
 190 \&\fBSSL_verify_client_post_handshake()\fR causes a CertificateRequest message to be
 191 sent by a server on the given \fBssl\fR connection. The \s-1SSL_VERIFY_PEER\s0 flag must
 192 be set; the \s-1SSL_VERIFY_POST_HANDSHAKE\s0 flag is optional.
 193 .SH "NOTES"
 194 .IX Header "NOTES"
 195 The verification of certificates can be controlled by a set of logically
 196 or'ed \fBmode\fR flags:
 197 .IP "\s-1SSL_VERIFY_NONE\s0" 4
 198 .IX Item "SSL_VERIFY_NONE"
 199 \&\fBServer mode:\fR the server will not send a client certificate request to the
 200 client, so the client will not send a certificate.
 201 .Sp
 202 \&\fBClient mode:\fR if not using an anonymous cipher (by default disabled), the
 203 server will send a certificate which will be checked. The result of the
 204 certificate verification process can be checked after the \s-1TLS/SSL\s0 handshake
 205 using the \fBSSL_get_verify_result\fR\|(3) function.
 206 The handshake will be continued regardless of the verification result.
 207 .IP "\s-1SSL_VERIFY_PEER\s0" 4
 208 .IX Item "SSL_VERIFY_PEER"
 209 \&\fBServer mode:\fR the server sends a client certificate request to the client.
 210 The certificate returned (if any) is checked. If the verification process
 211 fails, the \s-1TLS/SSL\s0 handshake is
 212 immediately terminated with an alert message containing the reason for
 213 the verification failure.
 214 The behaviour can be controlled by the additional
 215 \&\s-1SSL_VERIFY_FAIL_IF_NO_PEER_CERT, SSL_VERIFY_CLIENT_ONCE\s0 and
 216 \&\s-1SSL_VERIFY_POST_HANDSHAKE\s0 flags.
 217 .Sp
 218 \&\fBClient mode:\fR the server certificate is verified. If the verification process
 219 fails, the \s-1TLS/SSL\s0 handshake is
 220 immediately terminated with an alert message containing the reason for
 221 the verification failure. If no server certificate is sent, because an
 222 anonymous cipher is used, \s-1SSL_VERIFY_PEER\s0 is ignored.
 223 .IP "\s-1SSL_VERIFY_FAIL_IF_NO_PEER_CERT\s0" 4
 224 .IX Item "SSL_VERIFY_FAIL_IF_NO_PEER_CERT"
 225 \&\fBServer mode:\fR if the client did not return a certificate, the \s-1TLS/SSL\s0
 226 handshake is immediately terminated with a \*(L"handshake failure\*(R" alert.
 227 This flag must be used together with \s-1SSL_VERIFY_PEER.\s0
 228 .Sp
 229 \&\fBClient mode:\fR ignored (see \s-1BUGS\s0)
 230 .IP "\s-1SSL_VERIFY_CLIENT_ONCE\s0" 4
 231 .IX Item "SSL_VERIFY_CLIENT_ONCE"
 232 \&\fBServer mode:\fR only request a client certificate once during the
 233 connection. Do not ask for a client certificate again during
 234 renegotiation or post-authentication if a certificate was requested
 235 during the initial handshake. This flag must be used together with
 236 \&\s-1SSL_VERIFY_PEER.\s0
 237 .Sp
 238 \&\fBClient mode:\fR ignored (see \s-1BUGS\s0)
 239 .IP "\s-1SSL_VERIFY_POST_HANDSHAKE\s0" 4
 240 .IX Item "SSL_VERIFY_POST_HANDSHAKE"
 241 \&\fBServer mode:\fR the server will not send a client certificate request
 242 during the initial handshake, but will send the request via
 243 \&\fBSSL_verify_client_post_handshake()\fR. This allows the \s-1SSL_CTX\s0 or \s-1SSL\s0
 244 to be configured for post-handshake peer verification before the
 245 handshake occurs. This flag must be used together with
 246 \&\s-1SSL_VERIFY_PEER.\s0 TLSv1.3 only; no effect on pre\-TLSv1.3 connections.
 247 .Sp
 248 \&\fBClient mode:\fR ignored (see \s-1BUGS\s0)
 249 .PP
 250 If the \fBmode\fR is \s-1SSL_VERIFY_NONE\s0 none of the other flags may be set.
 251 .PP
 252 The actual verification procedure is performed either using the built-in
 253 verification procedure or using another application provided verification
 254 function set with
 255 \&\fBSSL_CTX_set_cert_verify_callback\fR\|(3).
 256 The following descriptions apply in the case of the built-in procedure. An
 257 application provided procedure also has access to the verify depth information
 258 and the \fBverify_callback()\fR function, but the way this information is used
 259 may be different.
 260 .PP
 261 \&\fBSSL_CTX_set_verify_depth()\fR and \fBSSL_set_verify_depth()\fR set a limit on the
 262 number of certificates between the end-entity and trust-anchor certificates.
 263 Neither the
 264 end-entity nor the trust-anchor certificates count against \fBdepth\fR. If the
 265 certificate chain needed to reach a trusted issuer is longer than \fBdepth+2\fR,
 266 X509_V_ERR_CERT_CHAIN_TOO_LONG will be issued.
 267 The depth count is \*(L"level 0:peer certificate\*(R", \*(L"level 1: \s-1CA\s0 certificate\*(R",
 268 \&\*(L"level 2: higher level \s-1CA\s0 certificate\*(R", and so on. Setting the maximum
 269 depth to 2 allows the levels 0, 1, 2 and 3 (0 being the end-entity and 3 the
 270 trust-anchor).
 271 The default depth limit is 100,
 272 allowing for the peer certificate, at most 100 intermediate \s-1CA\s0 certificates and
 273 a final trust anchor certificate.
 274 .PP
 275 The \fBverify_callback\fR function is used to control the behaviour when the
 276 \&\s-1SSL_VERIFY_PEER\s0 flag is set. It must be supplied by the application and
 277 receives two arguments: \fBpreverify_ok\fR indicates, whether the verification of
 278 the certificate in question was passed (preverify_ok=1) or not
 279 (preverify_ok=0). \fBx509_ctx\fR is a pointer to the complete context used
 280 for the certificate chain verification.
 281 .PP
 282 The certificate chain is checked starting with the deepest nesting level
 283 (the root \s-1CA\s0 certificate) and worked upward to the peer's certificate.
 284 At each level signatures and issuer attributes are checked. Whenever
 285 a verification error is found, the error number is stored in \fBx509_ctx\fR
 286 and \fBverify_callback\fR is called with \fBpreverify_ok\fR=0. By applying
 287 X509_CTX_store_* functions \fBverify_callback\fR can locate the certificate
 288 in question and perform additional steps (see \s-1EXAMPLES\s0). If no error is
 289 found for a certificate, \fBverify_callback\fR is called with \fBpreverify_ok\fR=1
 290 before advancing to the next level.
 291 .PP
 292 The return value of \fBverify_callback\fR controls the strategy of the further
 293 verification process. If \fBverify_callback\fR returns 0, the verification
 294 process is immediately stopped with \*(L"verification failed\*(R" state. If
 295 \&\s-1SSL_VERIFY_PEER\s0 is set, a verification failure alert is sent to the peer and
 296 the \s-1TLS/SSL\s0 handshake is terminated. If \fBverify_callback\fR returns 1,
 297 the verification process is continued. If \fBverify_callback\fR always returns
 298 1, the \s-1TLS/SSL\s0 handshake will not be terminated with respect to verification
 299 failures and the connection will be established. The calling process can
 300 however retrieve the error code of the last verification error using
 301 \&\fBSSL_get_verify_result\fR\|(3) or by maintaining its
 302 own error storage managed by \fBverify_callback\fR.
 303 .PP
 304 If no \fBverify_callback\fR is specified, the default callback will be used.
 305 Its return value is identical to \fBpreverify_ok\fR, so that any verification
 306 failure will lead to a termination of the \s-1TLS/SSL\s0 handshake with an
 307 alert message, if \s-1SSL_VERIFY_PEER\s0 is set.
 308 .PP
 309 After calling \fBSSL_set_post_handshake_auth()\fR, the client will need to add a
 310 certificate or certificate callback to its configuration before it can
 311 successfully authenticate. This must be called before \fBSSL_connect()\fR.
 312 .PP
 313 \&\fBSSL_verify_client_post_handshake()\fR requires that verify flags have been
 314 previously set, and that a client sent the post-handshake authentication
 315 extension. When the client returns a certificate the verify callback will be
 316 invoked. A write operation must take place for the Certificate Request to be
 317 sent to the client, this can be done with \fBSSL_do_handshake()\fR or \fBSSL_write_ex()\fR.
 318 Only one certificate request may be outstanding at any time.
 319 .PP
 320 When post-handshake authentication occurs, a refreshed NewSessionTicket
 321 message is sent to the client.
 322 .SH "BUGS"
 323 .IX Header "BUGS"
 324 In client mode, it is not checked whether the \s-1SSL_VERIFY_PEER\s0 flag
 325 is set, but whether any flags other than \s-1SSL_VERIFY_NONE\s0 are set. This can
 326 lead to unexpected behaviour if \s-1SSL_VERIFY_PEER\s0 and other flags are not used as
 327 required.
 328 .SH "RETURN VALUES"
 329 .IX Header "RETURN VALUES"
 330 The SSL*_set_verify*() functions do not provide diagnostic information.
 331 .PP
 332 The \fBSSL_verify_client_post_handshake()\fR function returns 1 if the request
 333 succeeded, and 0 if the request failed. The error stack can be examined
 334 to determine the failure reason.
 335 .SH "EXAMPLES"
 336 .IX Header "EXAMPLES"
 337 The following code sequence realizes an example \fBverify_callback\fR function
 338 that will always continue the \s-1TLS/SSL\s0 handshake regardless of verification
 339 failure, if wished. The callback realizes a verification depth limit with
 340 more informational output.
 341 .PP
 342 All verification errors are printed; information about the certificate chain
 343 is printed on request.
 344 The example is realized for a server that does allow but not require client
 345 certificates.
 346 .PP
 347 The example makes use of the ex_data technique to store application data
 348 into/retrieve application data from the \s-1SSL\s0 structure
 349 (see \fBCRYPTO_get_ex_new_index\fR\|(3),
 350 \&\fBSSL_get_ex_data_X509_STORE_CTX_idx\fR\|(3)).
 351 .PP
 352 .Vb 7
 353 \& ...
 354 \& typedef struct {
 355 \&   int verbose_mode;
 356 \&   int verify_depth;
 357 \&   int always_continue;
 358 \& } mydata_t;
 359 \& int mydata_index;
 360 \&
 361 \& ...
 362 \& static int verify_callback(int preverify_ok, X509_STORE_CTX *ctx)
 363 \& {
 364 \&     char    buf[256];
 365 \&     X509   *err_cert;
 366 \&     int     err, depth;
 367 \&     SSL    *ssl;
 368 \&     mydata_t *mydata;
 369 \&
 370 \&     err_cert = X509_STORE_CTX_get_current_cert(ctx);
 371 \&     err = X509_STORE_CTX_get_error(ctx);
 372 \&     depth = X509_STORE_CTX_get_error_depth(ctx);
 373 \&
 374 \&     /*
 375 \&      * Retrieve the pointer to the SSL of the connection currently treated
 376 \&      * and the application specific data stored into the SSL object.
 377 \&      */
 378 \&     ssl = X509_STORE_CTX_get_ex_data(ctx, SSL_get_ex_data_X509_STORE_CTX_idx());
 379 \&     mydata = SSL_get_ex_data(ssl, mydata_index);
 380 \&
 381 \&     X509_NAME_oneline(X509_get_subject_name(err_cert), buf, 256);
 382 \&
 383 \&     /*
 384 \&      * Catch a too long certificate chain. The depth limit set using
 385 \&      * SSL_CTX_set_verify_depth() is by purpose set to "limit+1" so
 386 \&      * that whenever the "depth>verify_depth" condition is met, we
 387 \&      * have violated the limit and want to log this error condition.
 388 \&      * We must do it here, because the CHAIN_TOO_LONG error would not
 389 \&      * be found explicitly; only errors introduced by cutting off the
 390 \&      * additional certificates would be logged.
 391 \&      */
 392 \&     if (depth > mydata\->verify_depth) {
 393 \&         preverify_ok = 0;
 394 \&         err = X509_V_ERR_CERT_CHAIN_TOO_LONG;
 395 \&         X509_STORE_CTX_set_error(ctx, err);
 396 \&     }
 397 \&     if (!preverify_ok) {
 398 \&         printf("verify error:num=%d:%s:depth=%d:%s\en", err,
 399 \&                X509_verify_cert_error_string(err), depth, buf);
 400 \&     } else if (mydata\->verbose_mode) {
 401 \&         printf("depth=%d:%s\en", depth, buf);
 402 \&     }
 403 \&
 404 \&     /*
 405 \&      * At this point, err contains the last verification error. We can use
 406 \&      * it for something special
 407 \&      */
 408 \&     if (!preverify_ok && (err == X509_V_ERR_UNABLE_TO_GET_ISSUER_CERT)) {
 409 \&         X509_NAME_oneline(X509_get_issuer_name(err_cert), buf, 256);
 410 \&         printf("issuer= %s\en", buf);
 411 \&     }
 412 \&
 413 \&     if (mydata\->always_continue)
 414 \&         return 1;
 415 \&     else
 416 \&         return preverify_ok;
 417 \& }
 418 \& ...
 419 \&
 420 \& mydata_t mydata;
 421 \&
 422 \& ...
 423 \& mydata_index = SSL_get_ex_new_index(0, "mydata index", NULL, NULL, NULL);
 424 \&
 425 \& ...
 426 \& SSL_CTX_set_verify(ctx, SSL_VERIFY_PEER | SSL_VERIFY_CLIENT_ONCE,
 427 \&                    verify_callback);
 428 \&
 429 \& /*
 430 \&  * Let the verify_callback catch the verify_depth error so that we get
 431 \&  * an appropriate error in the logfile.
 432 \&  */
 433 \& SSL_CTX_set_verify_depth(verify_depth + 1);
 434 \&
 435 \& /*
 436 \&  * Set up the SSL specific data into "mydata" and store it into th SSL
 437 \&  * structure.
 438 \&  */
 439 \& mydata.verify_depth = verify_depth; ...
 440 \& SSL_set_ex_data(ssl, mydata_index, &mydata);
 441 \&
 442 \& ...
 443 \& SSL_accept(ssl);       /* check of success left out for clarity */
 444 \& if (peer = SSL_get_peer_certificate(ssl)) {
 445 \&     if (SSL_get_verify_result(ssl) == X509_V_OK) {
 446 \&         /* The client sent a certificate which verified OK */
 447 \&     }
 448 \& }
 449 .Ve
 450 .SH "SEE ALSO"
 451 .IX Header "SEE ALSO"
 452 \&\fBssl\fR\|(7), \fBSSL_new\fR\|(3),
 453 \&\fBSSL_CTX_get_verify_mode\fR\|(3),
 454 \&\fBSSL_get_verify_result\fR\|(3),
 455 \&\fBSSL_CTX_load_verify_locations\fR\|(3),
 456 \&\fBSSL_get_peer_certificate\fR\|(3),
 457 \&\fBSSL_CTX_set_cert_verify_callback\fR\|(3),
 458 \&\fBSSL_get_ex_data_X509_STORE_CTX_idx\fR\|(3),
 459 \&\fBSSL_CTX_set_client_cert_cb\fR\|(3),
 460 \&\fBCRYPTO_get_ex_new_index\fR\|(3)
 461 .SH "HISTORY"
 462 .IX Header "HISTORY"
 463 The \s-1SSL_VERIFY_POST_HANDSHAKE\s0 option, and the \fBSSL_verify_client_post_handshake()\fR
 464 and \fBSSL_set_post_handshake_auth()\fR functions were added in OpenSSL 1.1.1.
 465 .SH "COPYRIGHT"
 466 .IX Header "COPYRIGHT"
 467 Copyright 2000\-2019 The OpenSSL Project Authors. All Rights Reserved.
 468 .PP
 469 Licensed under the OpenSSL license (the \*(L"License\*(R").  You may not use
 470 this file except in compliance with the License.  You can obtain a copy
 471 in the file \s-1LICENSE\s0 in the source distribution or at
 472 <https://www.openssl.org/source/license.html>.