python - Python 2.6 中是否有用于 TLS 1.1 或 TLS 1.2 的库？

Question

我的任务是创建一个可以安全通信的套接字服务器和客户端。我必须使用 TLS 1.1 或 1.2 来避免 BEAST 攻击。我们获得了 Python 2.6 版，但它不支持 TLS 1.1 或 1.2。

有没有你们知道的在 Python 2.6 中实现这个的外部库，或者我最好使用增加支持的 Python 3.4 开发版本？

Answer 1

通过快速测试，如果您构建 pyOpenSSL在 OpenSSL 1.0.1 之上，您似乎获得了 TLSv1.1 和 1.2 支持。并且它支持 Python 2.6+/3.2+。

API 不同于普通的 ssl 模块，但是 Connection object 与 ssl.SSLSocket 没有太大区别，因此移植很可能只是一个微不足道的搜索和替换。

在当前发布的 0.13.1 版本中，隐式支持 TLS 1.1 和 1.2，但无法明确请求或要求它们。您可以从客户端做的最好的事情是设置 SSLv23_METHOD 添加 OP_NO_SSLv2 和 OP_NO_SSLv3 选项，这保证了 TLS 1.0、1.1 或 1.2。我还没有测试您可以从服务器端做什么。

主干代码(#1020632 中的补丁已提交)，有明确的 1.1 和 1.2 支持。从客户端，您可以使用 TLSv1_1_METHOD 仅获取 TLSv1.1，TLSv1_2_METHOD 仅获取 TLSv1.2，并且可能(我尚未测试) SSLv23_METHOD 与 OP_NO_SSLv2、OP_NO_SSLv3 和 OP_NO_TLSv1 以获得 1.1 或 1.2。同样，我还没有测试您可以从服务器端执行的操作。

你应该能够pip install bzr+lp:pyopenssl来安装主干；如果没有，检查它或下载当前的 tarball 和 pip install 那个。

---

我的猜测是，当使用正确构建的 pyOpenSSL 0.13.1 和 OpenSSL 1.0.0 或更高版本时，您可以编写始终获得 1.2 的代码，但如果客户端或服务器环境以某种方式构建，则可能会默默地使用更糟糕的东西不符合这些要求，并且无法检测到问题。如果您希望连接失败而不是在那种情况下回退(您可能会这样做)，看起来您需要更新的 pyOpenSSL。

---

这是我在安装了 Homebrew 和 pip 的基本干净的 OS X 10.8.5 机器上的第一次测试:

$ brew install --universal openssl
$ sudo LDFLAGS=-L/usr/local/opt/openssl/lib CPPFLAGS=-I/usr/local/opt/openssl/include pip-2.6 install pyOpenSSL
$ python2.6
>>> import socket, OpenSSL
>>> OpenSSL.SSL.SSLeay_version(OpenSSL.SSL.SSLEAY_VERSION)
'OpenSSL 1.0.1e 11 Feb 2013'
>>> ctx = OpenSSL.SSL.Context(OpenSSL.SSL.SSLv23_METHOD)
>>> sock = socket.socket()
>>> ssock = OpenSSL.SSL.Connection(ctx, sock)
>>> ssock.connect_ex(('www.ssllabs.com', 443))
0
>>> ssock.send('GET /ssltest/viewMyClient.html HTTP/1.1\r\nHost: www.ssllabs.com\r\n\r\n')
66
>>> ssock.recv(16384)
-- snipped headers for chunked reply
>>> ssock.recv(16384)
'2000\r\n'
>>> d = ssock.recv(16384)
>>> d.find('TLS 1.1')
2324
>>> d.find('TLS 1.0')
2432
>>> d[2324:2432]
'TLS 1.1</td>\r\n\t\t<td class="tableRight">Yes</td>\t\t\t\r\n\t</tr>\r\n\t<tr class="tableRow">\r\n\t\t<td class="tableLeft">'

这证明(假设 ssltest.org 是正确的)我们不仅声称支持 TLS 1.1，而且还建立了 1.2 或 1.1 连接。