python - 扭曲的 python 中的 SSL 证书和 key - 缺少私钥客户端？

Question

我有以下 python 代码作为服务器 TLS 服务器:

from twisted.internet import ssl, protocol, defer, task, endpoints
from twisted.protocols.basic import LineReceiver
from twisted.python.modules import getModule

class TLSServer(LineReceiver):
    def lineReceived(self, line):
        print("received: " + line)
        if line == "STARTTLS":
            print("-- Switching to TLS")
            self.sendLine('READY')
            self.sendLine('STARTTLS')
            self.transport.startTLS(self.factory.options)
            self.sendLine('Go ahead, secure now')
        else:
            self.sendLine("ack: " + line)

def main(reactor):
    certData = getModule(__name__).filePath.sibling('servercert.pem').getContent()
    cert = ssl.PrivateCertificate.loadPEM(certData)
    factory = protocol.Factory.forProtocol(TLSServer)
    factory.options = cert.options()
    endpoint = endpoints.TCP4ServerEndpoint(reactor, 8000)
    endpoint.listen(factory)
    return defer.Deferred()

if __name__ == '__main__':
    import starttls_server
    task.react(starttls_server.main)

servercert.pem 看起来像:

        -----BEGIN CERTIFICATE-----
(PEM BITS SNIPPED FOR BREVITY AND PRIVACY/SECURITY!)
    -----END CERTIFICATE-----
    -----BEGIN RSA PRIVATE KEY-----
(PEM BITS SNIPPED FOR BREVITY AND PRIVACY/SECURITY!)
    -----END RSA PRIVATE KEY-----

对于客户端(目前在同一台机器上运行)，我创建了 clientcert.pem - 它基本上只是上面 servercert.pem 的证书部分。但这失败了:

# openssl s_client -connect localhost:8000 -starttls smtp -cert clientcert.pem
unable to load client certificate private key file
140310331250504:error:0906D06C:PEM routines:PEM_read_bio:no start line:pem_lib.c:703:Expecting: ANY PRIVATE KEY

我已经尝试从证书生成公钥并将其插入到 clientcert.pem 的顶部 - 没有区别。我很困惑为什么它期待一个 private 客户端。我对 TLS 的理解是私钥仍然是服务器私有(private)的？

有人可以告诉我哪里出错了吗？它是服务器端的东西 - pem 文件还是我的服务器代码？还是我的 clientcert.pem 的内容？

谢谢你:)

Answer 1

所以我认为你在这里试图做的是告诉客户端信任你的自签名服务器证书，通过明确地告诉它关于服务器证书作为证书颁发机构。

“客户端证书”不是您执行此操作的方式。客户端证书是客户端的私钥，由服务器验证。此代码示例中的服务器未配置为验证客户端证书。

告诉 openssl s_client 命令行工具使用 clientcert.pem(命名为 serverauthority.pem 会更准确) 你会说 openssl s_client -CAfile clientcert.pem).