SSL 错误不安全旧版重新协商已禁用

Question

我正在运行一个 Python 代码，我必须从 HTTPSConnectionPool(host='ssd.jpl.nasa.gov', port=443) 获取一些数据。但是每次我尝试运行代码时，都会出现以下错误。我在 MAC OS 12.1

raise SSLError(e, request=request)
requests.exceptions.SSLError: HTTPSConnectionPool(host='ssd.jpl.nasa.gov', port=443): Max retries exceeded with url: /api/horizons.api?format=text&EPHEM_TYPE=OBSERVER&QUANTITIES_[...]_ (Caused by SSLError(SSLError(1, '[SSL: UNSAFE_LEGACY_RENEGOTIATION_DISABLED] unsafe legacy renegotiation disabled (_ssl.c:997)')))

我真的不知道如何绕过这个问题..谢谢你的帮助！

Answer 1

警告：启用旧版不安全重新协商时，SSL 连接将容易受到 CVE-2009-3555 中所述的中间人前缀攻击。

在https://bugs.launchpad.net/bugs/1963834的帮助下 和https://bugs.launchpad.net/ubuntu/+source/gnutls28/+bug/1856428

请注意，不建议编辑系统的 openssl.conf，因为一旦更新 openssl，您可能会丢失更改。

在任何目录中使用以下内容创建自定义 openssl.cnf 文件：

openssl_conf = openssl_init

[openssl_init]
ssl_conf = ssl_sect

[ssl_sect]
system_default = system_default_sect

[system_default_sect]
Options = UnsafeLegacyRenegotiation

在运行你的程序之前，确保你的 OPENSSL_CONF 环境变量设置为你自定义的 openssl.cnf 在运行刮板时的完整路径，如下所示：

OPENSSL_CONF=/path/to/custom/openssl.cnf python your_scraper.py

或者像这样：

export OPENSSL_CONF=/path/to/custom/openssl.cnf
python your_scraper.py

或者，如果您使用的是 pipenv 或 systemd 或 docker，请将其放入您的 .env 文件中

OPENSSL_CONF=/path/to/custom/openssl.cnf

Answer 2

使用 OpenSSL 3 连接到不支持它的服务器时会出现此错误。解决方案是在python中降级密码学包：

在使用的环境中运行pip install cryptography==36.0.2。

来源：https://github.com/scrapy/scrapy/issues/5491

编辑：请参阅 Hally Mallon 和 ahmkara 的答案以获得修复，而无需降级密码学

Answer 3

我在 Linux 上遇到了同样的错误（当服务器不支持“RFC 5746 安全重新协商”并且客户端使用 OpenSSL 3，默认情况下强制执行该标准时）。

这是一个解决方案（您可能需要稍微调整一下）。

1. 在 Python 代码中导入 ssl 和 urllib3
2. 创建一个使用自定义sslContext的自定义HttpAdapter

   class CustomHttpAdapter (requests.adapters.HTTPAdapter):
       '''Transport adapter" that allows us to use custom ssl_context.'''
   
       def __init__(self, ssl_context=None, **kwargs):
           self.ssl_context = ssl_context
           super().__init__(**kwargs)
   
       def init_poolmanager(self, connections, maxsize, block=False):
           self.poolmanager = urllib3.poolmanager.PoolManager(
               num_pools=connections, maxsize=maxsize,
               block=block, ssl_context=self.ssl_context)
   

   3. 设置启用OP_LEGACY_SERVER_CONNECT 的ssl 上下文，并将其与您的自定义适配器一起使用。

   ssl.OP_LEGACY_SERVER_CONNECT 在 Python 中尚不可用 (https://bugs.python.org/issue44888)。然而事实证明，在 OpenSSL 中，它的值在位域中是 0x4。所以我们可以做到以下几点。

   ctx = ssl.create_default_context(ssl.Purpose.SERVER_AUTH)
   ctx.options |= 0x4
   session.mount('https://', CustomHttpAdapter(ctx))
   

Answer 4

Harry Mallon答案的完整代码sn-ps：

定义重用方法：

import requests
import urllib3
import SSL


class CustomHttpAdapter (requests.adapters.HTTPAdapter):
    # "Transport adapter" that allows us to use custom ssl_context.

    def __init__(self, ssl_context=None, **kwargs):
        self.ssl_context = ssl_context
        super().__init__(**kwargs)

    def init_poolmanager(self, connections, maxsize, block=False):
        self.poolmanager = urllib3.poolmanager.PoolManager(
            num_pools=connections, maxsize=maxsize,
            block=block, ssl_context=self.ssl_context)


def get_legacy_session():
    ctx = ssl.create_default_context(ssl.Purpose.SERVER_AUTH)
    ctx.options |= 0x4  # OP_LEGACY_SERVER_CONNECT
    session = requests.session()
    session.mount('https://', CustomHttpAdapter(ctx))
    return session

然后使用它代替 requests 调用：

get_legacy_session().get("some-url")