提供中间 CA 证书的 Python SSL 服务器

Question

我正在使用 Python (2.7) SSL 模块编写一些服务器代码，如下所示:

ssock = ssl.wrap_socket(sock, ca_certs="all-ca.crt", keyfile="server.key", certfile="server.crt", server_side=True, ssl_version=ssl.PROTOCOL_TLSv1)

“all-ca.crt”包含签名 CA 证书和根 CA 证书:

-----BEGIN CERTIFICATE-----
... (signing CA)...
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
... (root CA)...
-----END CERTIFICATE-----

Python SSL 模块的文档指出:

In general, if you are using SSL3 or TLS1, you don’t need to put the full chain in your “CA certs” file; you only need the root certificates, and the remote peer is supposed to furnish the other certificates necessary to chain from its certificate to a root certificate.

这是我用 C 语言编写 SSL 服务器的经验。虽然它在这里似乎不起作用。如果我编写一个在其 wrap_socket() 调用中仅使用根证书的客户端:

csock = ssl.wrap_socket(sock, ca_certs="root-ca.crt", cert_reqs=ssl.CERT_REQUIRED, ssl_version=ssl.PROTOCOL_TLSv1)

然后抛出一个异常:

ssl.SSLError: [Errno 1] _ssl.c:499: error:14094418:SSL routines:SSL3_READ_BYTES:tlsv1 alert unknown ca

如果相反，我将 all-ca.crt 传递给客户端 ca_certs 参数，那么一切都会按预期工作，但这在客户端很不方便，不应该是必需的。

有什么方法可以告诉服务器端它需要在协商时向客户端提供中间 CA 证书？

Answer 1

在服务器端，ca_certs 选项用于验证客户端的证书。 (如果 CERT_REQUIRED 设置为 True，服务器将要求客户端提供其证书)。

事实上，ca_certs 中的 CA 证书不会发送给客户端。服务器只会将自己的证书发送给客户端。但是您可以将所有中间证书和您服务器的证书放入您的 server.crt. 例如，使用

cat server.crt intermediate-ca.crt root-ca.crt > server-chain.crt

生产链。