git://git.exim.org / exim.git / blobdiff
? search:
summary | shortlog | log | commit | commitdiff | tree
raw | inline | side by side
Testsuite: harden for TLS1.3 under GnuTLS
[exim.git] / test / scripts / 2000-GnuTLS / 2014
diff --git a/test/scripts/2000-GnuTLS/2014 b/test/scripts/2000-GnuTLS/2014
index 3e6710b596bdb8d8f8dae385f68e3910aab99d73..5bd5858db856c825941b9bd9f639d245ece9f35f 100644 (file)
--- a/test/scripts/2000-GnuTLS/2014
+++ b/test/scripts/2000-GnuTLS/2014
@@ -1,11 +1,12 @@
 # TLS server: mandatory, optional, and revoked certificates
 gnutls
 # TLS server: mandatory, optional, and revoked certificates
 gnutls
+munge gnutls_unexpected
 exim -DSERVER=server -bd -oX PORT_D
 ****
 exim -DSERVER=server -bd -oX PORT_D
 ****
-# No certificate, certificate required
+### No certificate, certificate required
 client-gnutls HOSTIPV4 PORT_D
 ??? 220
 client-gnutls HOSTIPV4 PORT_D
 ??? 220
-ehlo rhu.barb
+ehlo rhu1.barb
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
@@ -14,11 +15,13 @@ ehlo rhu.barb
 ??? 250
 starttls
 ??? 220
 ??? 250
 starttls
 ??? 220
+nop
+????554
 ****
 ****
-# No certificate, certificate optional at TLS time, required by ACL
+### No certificate, certificate optional at TLS time, required by ACL
 client-gnutls 127.0.0.1 PORT_D
 ??? 220
 client-gnutls 127.0.0.1 PORT_D
 ??? 220
-ehlo rhu.barb
+ehlo rhu2.barb
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
@@ -27,7 +30,7 @@ ehlo rhu.barb
 ??? 250
 starttls
 ??? 220
 ??? 250
 starttls
 ??? 220
-helo rhu.barb
+helo rhu2tls.barb
 ??? 250
 mail from:<userx@test.ex>
 ??? 250
 ??? 250
 mail from:<userx@test.ex>
 ??? 250
@@ -36,10 +39,10 @@ rcpt to:<userx@test.ex>
 quit
 ??? 221
 ****
 quit
 ??? 221
 ****
-# Good certificate, certificate required
-client-gnutls HOSTIPV4 PORT_D aux-fixed/cert2 aux-fixed/cert2
+### Good certificate, certificate required
+client-gnutls HOSTIPV4 PORT_D aux-fixed/exim-ca/example.com/server1.example.com/server1.example.com.chain.pem aux-fixed/exim-ca/example.com/server1.example.com/server1.example.com.unlocked.key
 ??? 220
 ??? 220
-ehlo rhu.barb
+ehlo rhu3.barb
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
@@ -55,10 +58,10 @@ rcpt to:<userx@test.ex>
 quit
 ??? 221
 ****
 quit
 ??? 221
 ****
-# Good certificate, certificate optional at TLS time, checked by ACL
-client-gnutls 127.0.0.1 PORT_D aux-fixed/cert2 aux-fixed/cert2
+### Good certificate, certificate optional at TLS time, checked by ACL
+client-gnutls 127.0.0.1 PORT_D aux-fixed/exim-ca/example.com/server1.example.com/server1.example.com.chain.pem aux-fixed/exim-ca/example.com/server1.example.com/server1.example.com.unlocked.key
 ??? 220
 ??? 220
-ehlo rhu.barb
+ehlo rhu4.barb
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
@@ -74,10 +77,12 @@ rcpt to:<userx@test.ex>
 quit
 ??? 221
 ****
 quit
 ??? 221
 ****
-# Bad certificate, certificate required
-client-gnutls HOSTIPV4 PORT_D aux-fixed/cert1 aux-fixed/cert1
+### Bad certificate, certificate required
+# Actually this test does not have the client presenting a cert at all, as it filters what it has
+# by the options offered by the server first.  So it's not a good testcase.
+client-gnutls HOSTIPV4 PORT_D aux-fixed/exim-ca/example.net/server1.example.net/server1.example.net.chain.pem aux-fixed/exim-ca/example.net/server1.example.net/server1.example.net.unlocked.key
 ??? 220
 ??? 220
-ehlo rhu.barb
+ehlo rhu5.barb
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
@@ -86,11 +91,14 @@ ehlo rhu.barb
 ??? 250
 starttls
 ??? 220
 ??? 250
 starttls
 ??? 220
+nop
+????554
 ****
 ****
-# Bad certificate, certificate optional at TLS time, reject at ACL time
-client-gnutls 127.0.0.1 PORT_D aux-fixed/cert1 aux-fixed/cert1
+### Bad certificate, certificate optional at TLS time, reject at ACL time
+# (situation as above)
+client-gnutls 127.0.0.1 PORT_D aux-fixed/exim-ca/example.net/server1.example.net/server1.example.net.chain.pem aux-fixed/exim-ca/example.net/server1.example.net/server1.example.net.unlocked.key
 ??? 220
 ??? 220
-ehlo rhu.barb
+ehlo rhu6.barb
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
@@ -102,18 +110,22 @@ starttls
 mail from:<userx@test.ex>
 ??? 250
 rcpt to:<userx@test.ex>
 mail from:<userx@test.ex>
 ??? 250
 rcpt to:<userx@test.ex>
-??? 550-
 ??? 550
 quit
 ??? 221
 ****
 killdaemon
 ??? 550
 quit
 ??? 221
 ****
 killdaemon
-exim -DCRL=DIR/aux-fixed/crl.pem -DSERVER=server -bd -oX PORT_D
+#
+#
+#
+#
+exim -DCRL=DIR/aux-fixed/exim-ca/example.com/CA/crl.v2.pem -DSERVER=server -bd -oX PORT_D
 ****
 ****
-# Good but revoked certificate, certificate required
-client-gnutls HOSTIPV4 PORT_D aux-fixed/cert2 aux-fixed/cert2
+### Otherwise good but revoked certificate, certificate required
+# GnuTLS seems to not mind the lack of CRLs for the nonleaf certs in the chain, unlike under OpenSSL
+client-gnutls HOSTIPV4 PORT_D aux-fixed/exim-ca/example.com/revoked1.example.com/revoked1.example.com.chain.pem aux-fixed/exim-ca/example.com/revoked1.example.com/revoked1.example.com.unlocked.key
 ??? 220
 ??? 220
-ehlo rhu.barb
+ehlo rhu7.barb
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
@@ -122,11 +134,13 @@ ehlo rhu.barb
 ??? 250
 starttls
 ??? 220
 ??? 250
 starttls
 ??? 220
+mail from:<userx@test.ex>
+??? 554
 ****
 ****
-# Revoked certificate, certificate optional at TLS time, reject at ACL time
-client-gnutls 127.0.0.1 PORT_D aux-fixed/cert1 aux-fixed/cert1
+### Revoked certificate, certificate optional at TLS time, reject at ACL time
+client-gnutls 127.0.0.1 PORT_D aux-fixed/exim-ca/example.com/revoked1.example.com/revoked1.example.com.chain.pem aux-fixed/exim-ca/example.com/revoked1.example.com/revoked1.example.com.unlocked.key
 ??? 220
 ??? 220
-ehlo rhu.barb
+ehlo rhu8.barb
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
 ??? 250-
@@ -138,9 +152,27 @@ starttls
 mail from:<userx@test.ex>
 ??? 250
 rcpt to:<userx@test.ex>
 mail from:<userx@test.ex>
 ??? 250
 rcpt to:<userx@test.ex>
-??? 550-
 ??? 550
 quit
 ??? 221
 ****
 ??? 550
 quit
 ??? 221
 ****
+### Good certificate, certificate required - but nonmatching CRL also present
+client-gnutls HOSTIPV4 PORT_D aux-fixed/exim-ca/example.com/server1.example.com/server1.example.com.chain.pem aux-fixed/exim-ca/example.com/server1.example.com/server1.example.com.unlocked.key
+??? 220
+ehlo rhu9.barb
+??? 250-
+??? 250-
+??? 250-
+??? 250-
+??? 250-
+??? 250
+starttls
+??? 220
+mail from:<userx@test.ex>
+??? 250
+rcpt to:<userx@test.ex>
+??? 250
+quit
+??? 221
+****
 killdaemon
 killdaemon
Master Exim source repository