python - 如何获取证书的 SHA1 指纹

Question

我的目标是实现第三方网站证书的 SHA1 指纹。我可以使用 openssl 成功获取它但是，当我尝试使用 python 代码实现它时，它并没有变得相同。使用 python 代码获取的 SHA1 指纹与通过 openssl 获取的指纹完全不同。
openssl 步骤 -->openssl s_client -servername token.actions.githubusercontent.com -showcerts -connect token.actions.githubusercontent.com:443上面的命令输出包含链和根证书；

Certificate chain
 0 s:/C=US/ST=California/L=San Francisco/O=GitHub, Inc./CN=*.actions.githubusercontent.com
   i:/C=US/O=DigiCert Inc/CN=DigiCert TLS RSA SHA256 2020 CA1
-----BEGIN CERTIFICATE-----
MIIG9jCCBd6gAwIBAgIQCFCR4fqbkQJJbzQZsc87qzANBgkqhkiG9w0BAQsFADBP
MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMSkwJwYDVQQDEyBE
aWdpQ2VydCBUTFMgUlNBIFNIQTI1NiAyMDIwIENBMTAeFw0yMjAxMTEwMDAwMDBa

使用 .crt 保存链证书扩展为 MaingithubOIDC.crt 并在下面运行命令给出 SHA1 指纹；

❯ openssl x509 -in MaingithubOIDC.crt -fingerprint -noout
SHA1 Fingerprint=15:E2:91:08:71:81:11:E5:9B:3D:AD:31:95:46:47:E3:C3:44:A2:31

引用链接 - https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_oidc_verify-thumbprint.html
Python 代码(版本 3.8/3.9)-->

import ssl
import socket
import hashlib
 
addr = 'token.actions.githubusercontent.com'
 
sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
sock.settimeout(1)
wrappedSocket = ssl.wrap_socket(sock)
 
try:
  wrappedSocket.connect((addr, 443))
  print (wrappedSocket)
except:
  response = False
else:
  der_cert = wrappedSocket.getpeercert(True)
  pem_cert = ssl.DER_cert_to_PEM_cert(wrappedSocket.getpeercert(True))
  print(pem_cert)
 
  #Print SHA1 Thumbprint
  thumb_sha1 = hashlib.sha1(der_cert).hexdigest()
  print("SHA1: " + thumb_sha1)

Python代码输出； SHA1: 55a7ef500a3a99f64c99c665daaf3f07403cff3d因此，SHA1 指纹与使用 openssl 获得的指纹不匹配。 .我在 python 代码中遗漏了什么吗？

Answer 1

问题不在于证书中的指纹计算错误，而是您获得了错误的证书。有问题的服务器是一个多域设置，它将根据 server_name 返回不同的证书。在 TLS 握手中给出 - 见 Server Name Indication .
以下代码不会提供 server_name ，这会导致返回 *.azureedge.net 的证书，而不是 *.actions.githubusercontent.com作为 openssl s_client代码得到:

wrappedSocket = ssl.wrap_socket(sock)
 
try:
  wrappedSocket.connect((addr, 443))

要解决此问题， server_name需要给出:

ctx = ssl.create_default_context()
wrappedSocket = ctx.wrap_socket(sock, 
  server_hostname='token.actions.githubusercontent.com')

try:
  wrappedSocket.connect((addr, 443))

通过此更改，预期的证书由服务器发送，并在其上正确计算指纹。