Question

问题

简短描述：当连接到具有自己的cabundle的服务器时，python请求继续抛出SSL：CERTIFICATE_VERIFY_FAILED：

In [1]:  import requests
In [3]: requests.get('https://activeo.monitowl.com', verify=True)      
Out[3]: <Response [200]>
In [4]: requests.get('https://activeo.monitowl.com', verify="./ca_bundle.crt")
---------------------------------------------------------------------------
SSLError                                  Traceback (most recent call last)
<ipython-input-3-c92a3091d6ce> in <module>()
----> 1 requests.get('https://activeo.monitowl.com', verify="./ca_bundle.crt")

/home/vagrant/.virtualenvs/test/local/lib/python2.7/site-packages/requests/api.pyc in get(url, params, **kwargs)
     67 
     68     kwargs.setdefault('allow_redirects', True)
---> 69     return request('get', url, params=params, **kwargs)
     70 
     71 

/home/vagrant/.virtualenvs/test/local/lib/python2.7/site-packages/requests/api.pyc in request(method, url, **kwargs)
     48 
     49     session = sessions.Session()
---> 50     response = session.request(method=method, url=url, **kwargs)
     51     # By explicitly closing the session, we avoid leaving sockets open which
     52     # can trigger a ResourceWarning in some cases, and look like a memory leak

/home/vagrant/.virtualenvs/test/local/lib/python2.7/site-packages/requests/sessions.pyc in request(self, method, url, params, data, headers, cookies, files, auth, timeout, allow_redirects, proxies, hooks, stream, verify, cert, json)
    463         }
    464         send_kwargs.update(settings)
--> 465         resp = self.send(prep, **send_kwargs)
    466 
    467         return resp

/home/vagrant/.virtualenvs/test/local/lib/python2.7/site-packages/requests/sessions.pyc in send(self, request, **kwargs)
    571 
    572         # Send the request
--> 573         r = adapter.send(request, **kwargs)
    574 
    575         # Total elapsed time of the request (approximately)

/home/vagrant/.virtualenvs/test/local/lib/python2.7/site-packages/requests/adapters.pyc in send(self, request, stream, timeout, verify, cert, proxies)
    429         except (_SSLError, _HTTPError) as e:
    430             if isinstance(e, _SSLError):
--> 431                 raise SSLError(e, request=request)
    432             elif isinstance(e, ReadTimeoutError):
    433                 raise ReadTimeout(e, request=request)

SSLError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c:581)

In [5]: requests.get('https://activeo.monitowl.com', verify="./ca_bundle_ff.crt")    
[same error]
In [7]:  import ssl; ssl.OPENSSL_VERSION
Out[7]: 'OpenSSL 1.0.1k 8 Jan 2015'
In [8]: import sys; print (sys.version)
2.7.9 (default, Mar  1 2015, 12:57:24) 
[GCC 4.9.2]
In [2]: requests.__version__
Out[2]: '2.7.0'

故事

我们正在使用MonitOwl代理中的请求与API服务器进行通信。几天前我们为* .monitowl.com订购了新证书并将其部署到新实例，我们的发行人是nazwa.pl。将webbrowser指向https://activeo.monitowl.com完美无缺，当设置verify =“。/ cabundle.crt”时，请求似乎有些问题。

技术说明

在龙卷风服务器处理ssl之前，有一个“透明”的haproxy检查SNI并重新分配流量，这是配置文件的一部分：

acl app_activeo req_ssl_sni -i activeo.monitowl.com
use_backend bk_activeo if app_activeo

由于安全问题和部署脚本，我们需要提供自己的cabundle来控制接受的内容。我们到处都在使用debian jessie。

我已经使用ssl checker对服务器进行了测试，除了接受旧的加密算法之外没有任何问题。

# from issuer https://panel.nazwa.pl/uploads/ssl/nazwaSSL_SHA-2.zip
$ cat monitowlcom.crt nazwasslsha2.pem certumca-ctncasha2.pem gscasha2.pem > ./ca_bundle.crt
# exported from firefox
$ cat monitowl.com nazwaSSL CertumTrustedNetworkCA CertumGlobalServicesCASHA2 > ca_bundle_ff.crt
$  openssl verify -untrusted ./ca.crt  monitowlcom.crt 
monitowlcom.crt: OK
$ c_rehash ./
$ openssl s_client -CApath ./  -connect activeo.monitowl.com:443 -servername activeo.monitowl.com
CONNECTED(00000003)
depth=4 C = PL, O = Unizeto Sp. z o.o., CN = Certum CA
verify return:1
depth=3 C = PL, O = Unizeto Technologies S.A., OU = Certum Certification Authority, CN = Certum Trusted Network CA
verify return:1
depth=2 C = PL, O = Unizeto Technologies S.A., OU = Certum Certification Authority, CN = Certum Global Services CA SHA2
verify return:1
depth=1 C = PL, O = nazwa.pl S.A., OU = http://nazwa.pl, CN = nazwaSSL
verify return:1
depth=0 C = PL, CN = *.monitowl.com, emailAddress = ***@whitehats.pl
verify return:1
[...]
*    Verify return code: 0 (ok)*

$ curl -I --cacert ca_bundle.crt https://activeo.monitowl.com 
HTTP/1.1 200 OK
$ curl -I --cacert ca_bundle_ff.crt https://activeo.monitowl.com 
HTTP/1.1 200 OK

正如您所看到的，openssl s_client验证连接，curl可以正常工作。

在服务器端（龙卷风）： SSLError: [SSL: TLSV1_ALERT_UNKNOWN_CA] tlsv1 alert unknown ca (_ssl.c:581)

我让一些朋友用从网络浏览器导出的包进行测试，并且：

Python==2.7.9 + OpenSSL==1.0.1k => FAILS
Python==2.7.10 + OpenSSL==1.0.1k => FAILS
Python==2.7.9 + OpenSSL==1.0.1l => FAILS
Python==2.7.10 + OpenSSL==1.0.1p => WORKS
Python==2.7.10 + OpenSSL==1.0.2d => WORKS
Python==2.7.9 + OpenSSL 1.0.2d  => WORKS

我知道python验证证书differently而不是网络浏览器，但看起来不是这里的东西。

问题

你有什么线索有什么问题吗？我还能检查什么？

这是一个错误吗？在请求中，openssl，python还是urllib3？

Answer 1

不要使用你的ca包文件。尝试使用verify=True并将您的证书文件的内容粘贴到/usr/local/lib/python2.7/dist-packages/requests/cacert.pem的底部，该位置取决于您的Linux版本或dist（ CentOS，Debian等。）。请使用find / -name requests找到系统中安装请求的位置，然后找出cacert.pem。

这是因为请求默认使用此cacert.pem作为其自己的ca包。

如果这不起作用，那么您应该将高级颁发者证书作为证书文件。

Answer 2

正如Lukasa（请求协作者之一）指出的那样，问题在于python中对交叉签名链的支持不足：

SHA256软件包的问题在于，在这种情况下，'root'证书与SHA-1证书交叉签名，但是较旧的OpenSSL根本不会这样。旧的OpenSSL构建证书链的方式是，它可以从远程服务器提供的证书中构建最长的证书链，然后查找签署该链的可信证书。如果它找不到该证书，它将会挽救，而不会检查它是否可以使用其信任根构建一个较短的链。

这是SHA1根证书弃用的持续问题：请参阅certifi/python-certifi#26。不幸的是，唯一的解决方法是暂时使用信任库中的SHA1 root或升级到较新的OpenSSL版本。

https://github.com/kennethreitz/requests/issues/2783

作为临时修复，我在我的cabundle中也包含了SHA1路径：

 cat ca_sha1.crt ca_sha256.crt > cabundle.crt

请求SSL：CERTIFICATE_VERIFY_FAILED，其中包含verify =“。/ cabundle.crt”

问题

故事

技术说明

问题

2 个答案: