Question

我一直试图在MacOS X 10.9.5和Python 2.7.9下使用Python-LDAP（版本2.4.19）

我希望在我调用.start_tls_s()之后验证我与给定LDAP服务器的连接（或者如果无法验证证书则使方法引发和异常）。（我也想检查CRL，但那是另一回事。）

这是我的代码：

#!python
#!/usr/bin/env python
import ConfigParser, os, sys
import ldap

CACERTFILE='./ca_ldap.bad'
## CACERTFILE='./ca_ldap.crt'

config = ConfigParser.ConfigParser()
config.read(os.path.expanduser('~/.ssh/creds.ini'))
uid = config.get('LDAP', 'uid')
pwd = config.get('LDAP', 'pwd')
svr = config.get('LDAP', 'svr')
bdn = config.get('LDAP', 'bdn')

ld = ldap.initialize(svr)
ld.protocol_version=ldap.VERSION3
ld.set_option(ldap.OPT_DEBUG_LEVEL, 255 )
ld.set_option(ldap.OPT_PROTOCOL_VERSION, 3)
ld.set_option(ldap.OPT_X_TLS_CACERTFILE, CACERTFILE)
ld.set_option(ldap.OPT_X_TLS_DEMAND, True )
ld.set_option(ldap.OPT_X_TLS_REQUIRE_CERT, ldap.OPT_X_TLS_HARD)

## From: https://stackoverflow.com/a/7810308/149076
## and : http://python-ldap.cvs.sourceforge.net/viewvc/python-ldap/python-ldap/Demo/initialize.py?revision=1.14&view=markup

ld.start_tls_s()

for each in dir(ldap):
    if 'OPT_X_TLS' in each:
        try:
            print '\t*** %s: %s' % (each, ld.get_option((getattr(ldap, each))))
        except Exception, e:
            print >> sys.stderr, '... Except %s: %s\n' % (each, e)

ld.simple_bind_s(uid, pwd)
results = ld.search_s(bdn, ldap.SCOPE_SUBTREE)

print 'Found %s entries under %s' % (len(results), bdn)
sys.exit()

正如评论中所述，我已经从https://stackoverflow.com/a/7810308/149076和http://python-ldap.cvs.sourceforge.net/viewvc/python-ldap/python-ldap/Demo/initialize.py?revision=1.14&view=markup复制了大部分内容......虽然我尝试了很多变体和序列。

如图所示，我有两个代表坏证书的文件和一个应该有效的文件（它实际上取自我们配置为运行sssd的系统之一（系统安全服务守护程序），假定正确检查这一点。

在＆＃34;坏＆＃34;副本我只是用字母＆＃39; x＆＃39;来替换每个关键字的第一个字符。假设这会破坏CA密钥并导致任何试图验证签名链失败的代码。

然而，似乎Python LDAP代码忽略了这一点;即使我将其设置为/dev/null或我的代码仍在运行的完全虚假路径，仍然绑定到LDAP服务器并仍然完成我的搜索请求。

所以问题是，我如何得到这个＆＃34;失败＆＃34;按照预期（或者更广泛地说，如何防止我的代码容易受到MITM（Mallory）攻击？

如果在此讨论中有任何后果，请参阅我的OpenSSL版本：

$ openssl version
OpenSSL 0.9.8za 5 Jun 2014

LDAP服务器正在运行OpenLDAP，但我不知道有关其版本和配置的任何详细信息。

这是我的代码输出的示例：

    *** OPT_X_TLS: 0
    *** OPT_X_TLS_ALLOW: 0
    *** OPT_X_TLS_CACERTDIR: None
    *** OPT_X_TLS_CACERTFILE: /bogus/null
    *** OPT_X_TLS_CERTFILE: None
    *** OPT_X_TLS_CIPHER_SUITE: None
    *** OPT_X_TLS_CRLCHECK: 0
    *** OPT_X_TLS_CRLFILE: None
    *** OPT_X_TLS_CRL_ALL: 1
    *** OPT_X_TLS_CRL_NONE: {'info_version': 1, 'extensions': ('X_OPENLDAP', 'THREAD_SAFE', 'SESSION_THREAD_SAFE', 'OPERATION_THREAD_SAFE', 'X_OPENLDAP_THREAD_SAFE'), 'vendor_version': 20428, 'protocol_version': 3, 'vendor_name': 'OpenLDAP', 'api_version': 3001}
    *** OPT_X_TLS_CRL_PEER: 3
... Except OPT_X_TLS_CTX: unknown option 24577

    *** OPT_X_TLS_DEMAND: 1
    *** OPT_X_TLS_DHFILE: None
    *** OPT_X_TLS_HARD: 3
    *** OPT_X_TLS_KEYFILE: None
    *** OPT_X_TLS_NEVER: {'info_version': 1, 'extensions': ('X_OPENLDAP', 'THREAD_SAFE', 'SESSION_THREAD_SAFE', 'OPERATION_THREAD_SAFE', 'X_OPENLDAP_THREAD_SAFE'), 'vendor_version': 20428, 'protocol_version': 3, 'vendor_name': 'OpenLDAP', 'api_version': 3001}
... Except OPT_X_TLS_NEWCTX: unknown option 24591

    *** OPT_X_TLS_PACKAGE: OpenSSL
    *** OPT_X_TLS_PROTOCOL_MIN: 0
    *** OPT_X_TLS_RANDOM_FILE: None
    *** OPT_X_TLS_REQUIRE_CERT: 1
    *** OPT_X_TLS_TRY: 0

Found 883 entries under [... redacted ...]

Answer 1

您的代码可以按预期使用。实际上，当我第一次执行你的代码时，我遇到了完全相反的问题。始终表示“证书验证失败”。添加以下行修复了此问题：

# Force libldap to create a new SSL context (must be last TLS option!)
ld.set_option(ldap.OPT_X_TLS_NEWCTX, 0)

现在，当我使用错误的CA证书或按照您的描述修改过的证书时，结果就是以下错误消息：

Traceback (most recent call last):
  File "ldap_ssl.py", line 28, in <module>
    ld.start_tls_s()
  File "/Library/Python/2.7/site-packages/python_ldap-2.4.19-py2.7-macosx-10.10-intel.egg/ldap/ldapobject.py", line 571, in start_tls_s
    return self._ldap_call(self._l.start_tls_s)
  File "/Library/Python/2.7/site-packages/python_ldap-2.4.19-py2.7-macosx-10.10-intel.egg/ldap/ldapobject.py", line 106, in _ldap_call
    result = func(*args,**kwargs)
ldap.CONNECT_ERROR: {'info': 'error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed (unable to get local issuer certificate)', 'desc': 'Connect error'}

当我使用正确的CA证书时，输出就像你的那样。

现在有趣的问题是：我们的设置之间有什么区别，尤其是哪种差异会导致您的计算机出现这种奇怪的行为？

我的设置是：

Mac OS X 10.10
Python 2.7.6
python-ldap 2.4.19（手动安装）
OpenLDAP 2.4.39（通过Homebrew）
OpenSSL 1.0.1l（通过Homebrew）

我运行了一个本地OpenLDAP，与Homebrew一起安装：

brew install homebrew/dupes/openldap --with-berkeley-db

On Yosemite python-ldap在使用pip安装时非常错误（参见Python-ldap set_option not working on Yosemite），因此我必须下载tarball并编译/安装它，幸运的是很简单，因为我已经安装了OpenLDAP使用当前的libs / headers：

首先在 setup.cfg 中编辑[_ldap]部分，如下所示：

[_ldap]
library_dirs = /usr/local/opt/openldap/lib /usr/lib /usr/local/lib
include_dirs = /usr/local/opt/openldap/include /usr/include/sasl /usr/include /usr/local/include
extra_compile_args = -g -arch x86_64
extra_objects = 
libs = ldap_r lber sasl2 ssl crypto

某些头文件位于Mac OS SDK中，将目录（根据您的版本更改路径）链接到/ usr / include：

sudo ln -s /Applications/Xcode.app/Contents/Developer/Platforms/MacOSX.platform/Developer/SDKs/MacOSX10.10.sdk/usr/include/ /usr/include

然后构建并安装：

python setup.py build
sudo python setup.py install

otool的输出显示python-ldap现在链接到OpenLDAP 2.4.39和OpenSSL 0.9.8的库：

$ otool -L /Library/Python/2.7/site-packages/python_ldap-2.4.19-py2.7-macosx-10.10-intel.egg/_ldap.so
/Library/Python/2.7/site-packages/python_ldap-2.4.19-py2.7-macosx-10.10-intel.egg/_ldap.so:
    /usr/local/lib/libldap_r-2.4.2.dylib (compatibility version 13.0.0, current version 13.2.0)
    /usr/local/lib/liblber-2.4.2.dylib (compatibility version 13.0.0, current version 13.2.0)
    /usr/lib/libsasl2.2.dylib (compatibility version 3.0.0, current version 3.15.0)
    /usr/lib/libssl.0.9.8.dylib (compatibility version 0.9.8, current version 0.9.8)
    /usr/lib/libcrypto.0.9.8.dylib (compatibility version 0.9.8, current version 0.9.8)
    /usr/lib/libSystem.B.dylib (compatibility version 1.0.0, current version 1213.0.0)

构建python-ldap的另一种方法是仅安装构建所需的OpenLDAP库和头文件：http://projects.skurfer.com/posts/2011/python_ldap_lion/

所有这些步骤也应该在Mavericks下工作，我假设使用最新的OpenLDAP和OpenSSL库将解决您的问题。

使用.start_tls_s（）时，如何强制Python LDAP验证/验证SSL证书

1 个答案: