Vérifiez Peer en python

Question

J'essaie de créer une connexion socket en utilisant python.

Voici mon code python ...

socket = socket.socket(socket.AF_INET, socket.SOCK_STREAM) 
socket.settimeout(config['timeout']) 
self.socket.connect((config['host'], config['port'])) 

self.ssl = ssl.wrap_socket(
    self.socket, 
    certfile=config['certificate'], 
    keyfile=config['key'] 
) 

Il ne fonctionne pas comme le certificat de serveur distant semble être auto-signé ou manquant du magasin de confiance. Je suis nouveau sur python et je n'arrive pas à comprendre comment désactiver verify_peer en python pour que la connexion fonctionne.

Je code de travail en php ...

$context = stream_context_create([ 
    'ssl' => [ 
     'verify_peer' => false, 
     'local_cert' => $config['certificate'], 
     'local_pk' => $config['key'] 
    ] 
]); 

$socket = stream_socket_client(
    'ssl://secure.test.com:700', 
    $errno, $errstr, $config['timeout'], 
    STREAM_CLIENT_CONNECT, $context 
); 

Réglage 'verify_peer' => false aide à établir la connexion. Comment puis-je faire quelque chose comme ça en python?

OpenSSL debug

openssl s_client -connect secure.test.com:700 

verify error:num=20:unable to get local issuer certificate 
verify return:1 

verify error:num=21:unable to verify the first certificate 
verify return:1 

S'il vous plaît aider et suggérer. Merci

Answer 1

Désactiver la validation de certificat peut simplement être fait en ajoutant cert_reqs = ssl.CERT_NONE. Mais, juste la validation du certificat de désactivation est une très mauvaise idée puisque vous savez ouvert à man-in-the-middle attacks.

Par conséquent, vous devez vérifier que le certificat est celui attendu. Avec les certificats auto-signés (et d'autres), vous pouvez vérifier par exemple que le certificat reçu correspond à l'empreinte digitale du certificat prévu, comme dans le code suivant:

import socket 
import ssl 
import hashlib 

dst = ('www.paypal.com',443) 
fp_expected = '0722d46c216327bab8075f5db57ebed64d80e6699204c249c3f6ea9cc281c15b' 

# connect to the target with TCP 
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM) 
s.connect(dst) 

# upgrade the socket to SSL without checking the certificate 
s = ssl.wrap_socket(s,cert_reqs = ssl.CERT_NONE) 

# get certificate, compute fingerprint and check against expected value 
cert_bin = s.getpeercert(True) 
fp = hashlib.sha256() 
fp.update(cert_bin) 
assert(fp.hexdigest() == fp_expected)