如何在OpenSSL加密套接字中获取SO_TIMESTAMP时间戳？

最优方案：手动读取原始套接字数据并喂给OpenSSL #

这是最实用且无需修改OpenSSL源码的方案，步骤如下：

1. 配置套接字启用SO_TIMESTAMP
   和非加密场景一致，先给TCP套接字设置时间戳选项：

   int enable = 1;
   setsockopt(sock, SOL_SOCKET, SO_TIMESTAMP, &enable, sizeof(enable));
   

2. 用recvmsg读取原始数据并提取时间戳
   调用recvmsg()读取底层TCP字节，同时从msg.msg_control中解析SO_TIMESTAMP信息，这一步和非加密场景完全相同。

3. 将数据传入OpenSSL处理解密
   绕过OpenSSL的自动套接字读取，手动把数据喂给SSL对象的输入缓冲区，可通过内存BIO实现：

   // 初始化时创建内存BIO并关联到SSL
   BIO *in_bio = BIO_new(BIO_s_mem());
   SSL_set_bio(ssl, in_bio, SSL_get_wbio(ssl)); // 保留原输出BIO，或自行设置
   
   // 拿到recvmsg的数据后，写入输入BIO
   int bio_written = BIO_write(in_bio, recv_buf, num_bytes);
   if (bio_written != num_bytes) {
       // 处理写入错误
   }
   
   // 正常调用SSL_read读取解密后的数据
   int decrypted_bytes = SSL_read(ssl, app_buf, app_buf_size);
   

   该方式可覆盖SSL握手、应用数据传输等所有阶段的读取，同时完整保留时间戳信息。

其他方案分析 #

• 分支/扩展OpenSSL：
  理论上可修改OpenSSL源码，在调用底层recvmsg()的节点（如s23_lib.c或bio_sock.c中的读取逻辑）添加时间戳的传递和存储，但维护成本极高——需持续跟进OpenSSL版本更新、合并官方补丁，自定义分支还可能引入兼容性和安全风险，仅适合有特殊定制需求且具备长期维护能力的场景。

• 更换其他TLS库：
  部分TLS库（如GnuTLS）支持自定义I/O回调，允许在读取底层数据时直接获取时间戳，但换库意味着大规模代码重构，需评估现有项目对OpenSSL的依赖程度，仅适合新项目或重构成本较低的场景。

内容的提问来源于stack exchange，提问作者Joris Peeters