]> git.ipfire.org Git - thirdparty/suricata.git/commit
tls: fix problem with tls.store keyword 904/head
authorEric Leblond <eric@regit.org>
Fri, 21 Mar 2014 10:15:47 +0000 (11:15 +0100)
committerEric Leblond <eric@regit.org>
Fri, 21 Mar 2014 10:15:47 +0000 (11:15 +0100)
commit9e0355023033956f89b705592a15b237044cb534
tree3ec054432e3adda78b0cb29c10ae3bf854e4b05f
parent03091dfbda16a55defbe4bc05334013a29223bbc
tls: fix problem with tls.store keyword

Pierre Chifflier pointed out that a rule like:
 alert tls any any -> any any (msg:"TLS store"; tls.issuerdn:!"C=FR"; tls.store;)
was alerting but not storing the certificate. If the filter was
removed:
 alert tls any any -> any any (msg:"TLS store"; tls.store;)
then tls.store is working as expected.

This was linked with fact that logging is only done once for a SSL
state. So without filter, once we have the info we can log and we
run the storage. But when there is a filter, we log and then there
is a filter analysis and alerting. And as logging as already be done
we don't enter in the logging function and there is no storage.

This patch forces the entrance in the log function when there is a
request for TLS storage. And it adds an exit in the logging function
to only do the storage part if the TLS state has already being logged.
src/log-tlslog.c