python - 如何配置 Python 忽略主机名验证？

Question

我们对 Python 比较陌生，因此问题可能太简单了。我们使用的是 Python 2.7.15 版。

我们正在尝试通过 TLS 使用 Python，但没有成功。

这是我们的代码:

import ssl,socket
import urllib2

context = ssl.SSLContext(ssl.PROTOCOL_TLS)
context.verify_mode = ssl.CERT_REQUIRED
context.check_hostname = False
context.load_verify_locations("/py-test/python/bin/certificate.pem")
url = "https://10.0.0.12"
request = urllib2.Request(url)
websocket = urllib2.urlopen(request,None,None,None,None,None,context)
pages=websocket.readlines()
print pages

如您所见，我们已经配置了context.check_hostname = False

不幸的是，它因以下异常而失败

Traceback (most recent call last):
 File "./test.py", line 11, in <module>
   websocket = urllib2.urlopen(request,None,None,None,None,None,context)
 File "/py-test/python/lib/python2.7/urllib2.py", line 154, in urlopen
   return opener.open(url, data, timeout)
 File "/py-test/python/lib/python2.7/urllib2.py", line 429, in open
   response = self._open(req, data)
 File "/py-test/python/lib/python2.7/urllib2.py", line 447, in _open
   '_open', req)
 File "/py-test/python/lib/python2.7/urllib2.py", line 407, in _call_chain
   result = func(*args)
 File "/py-test/python/lib/python2.7/urllib2.py", line 1241, in https_open
   context=self._context)
 File "/py-test/python/lib/python2.7/urllib2.py", line 1198, in do_open
   raise URLError(err)
urllib2.URLError: <urlopen error [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c:726)>

肯定是主机名验证。如果我们使用正确的证书和正确的主机名，请求就会成功。

如果我们使用错误的证书，它将失败并出现以下异常。

File "./test.py", line 8, in <module>
   context.load_verify_locations("/py-test/python/bin/certificate_bad.pem")
ssl.SSLError: [X509] PEM lib (_ssl.c:3027)

因此，我们需要帮助来了解如何配置 Python 以忽略主机名验证。

还有一个问题(可以在单独的线程中提出)。

我们在 Python 中有一个包含所有已知 CA 的 trustore 文件吗？就像 Java 中的 cacerts.jks。我们在哪里可以找到 trustore？

已添加

我们“想要验证证书是否由有效的 CA 签署”，但我们“不关心它是否标识了您实际连接到的站点”。

我们需要帮助来配置 Python 以忽略主机名验证吗？我们的代码有什么错误？我们已尝试根据文档 https://docs.python.org/2/library/ssl.html 创建代码

添加了 2

我们投入了很多时间，但遗憾的是我们没有取得进展。

有人有 Python 2.7 中的工作示例吗？我的意思是如果您使用其他 URL 访问然后出现在证书中，代码是否有效。可能是 Python 2.7 无法配置为忽略主机名验证？

我们的问题是什么？我们在 CentOS 6 上使用它。可能与 OpenSSL 有关？我们使用最新版本的openssl-1.0.1e-57.el6.x86_64。也许我们应该升级到 Python 3.x？

Answer 1

正如您发现的那样，您可以通过自定义用于验证连接的 SSLContext 对象来实现这一点。

但是，要将其连接到 urllib2.urlopen 中，您需要构建并安装自定义开启器。

这是一个例子:

import httplib
import socket
import ssl
import urllib2

import certifi


class InterceptedHttpsConnection(httplib.HTTPSConnection):
    def connect(self):
        # Open an unencrypted TCP socket first
        sock = socket.create_connection((self.host, self.port), self.timeout)

        # Build up a custom SSLContext. (Might be better to do this once rather
        # than on every request.)
        context = ssl.SSLContext(ssl.PROTOCOL_TLS)

        # We require the SSL context to verify the certificate.
        context.verify_mode = ssl.CERT_REQUIRED

        # But we instruct the SSL context to *not* validate the hostname.
        context.check_hostname = False

        # Load CA certificates from the certifi bundle.
        context.load_verify_locations(cafile=certifi.where())

        # Use our SSLContext object to wrap the bare socket into an SSL socket.
        self.sock = context.wrap_socket(sock, server_hostname=self.host)


class InterceptedHttpsHandler(urllib2.HTTPSHandler):
    def https_open(self, req):
        return self.do_open(InterceptedHttpsConnection, req)


def main():
    opener = urllib2.build_opener(InterceptedHttpsHandler)
    urllib2.install_opener(opener)

    contents = urllib2.urlopen('https://example.com/').read()
    print contents