提供中间 CA 证书的 Python SSL 服务器

Question

我正在使用 Python (2.7) SSL 模块编写一些服务器代码，如下所示：

ssock = ssl.wrap_socket(sock, ca_certs="all-ca.crt", keyfile="server.key", certfile="server.crt", server_side=True, ssl_version=ssl.PROTOCOL_TLSv1)

“all-ca.crt”包含签名 CA 证书和根 CA 证书：

-----BEGIN CERTIFICATE-----
... (signing CA)...
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
... (root CA)...
-----END CERTIFICATE-----

Python SSL 模块的文档说明：

一般情况下，如果您使用的是 SSL3 或 TLS1，则无需将 “CA 证书”文件中的完整链；你只需要根 证书，并且远程对等方应该提供另一个 从其证书链接到根所需的证书 证书。

这是我用 C 语言编写 SSL 服务器的经验。但它似乎在这里不起作用。如果我编写一个在其 wrap_socket() 调用中仅使用根证书的客户端：

csock = ssl.wrap_socket(sock, ca_certs="root-ca.crt", cert_reqs=ssl.CERT_REQUIRED, ssl_version=ssl.PROTOCOL_TLSv1)

然后引发异常：

ssl.SSLError: [Errno 1] _ssl.c:499: error:14094418:SSL 例程：SSL3_READ_BYTES:tlsv1 alert unknown ca

如果我改为将 all-ca.crt 传递给客户端 ca_certs 参数，那么一切都会按预期进行，但这在客户端不方便并且不应该是必需的。

有什么方法可以告诉服务器端它需要在协商时向客户端提供中间 CA 证书？

Answer 1

在服务器端，ca_certs 选项用于验证客户端的证书。 （如果CERT_REQUIRED 设置为True，服务器将要求客户端提供其证书）。

事实上，ca_certs 中的 CA 证书不会发送给客户端。服务器只会将自己的证书发送给客户端。但是你可以把所有的中间证书和你服务器的证书放到你的server.crt.中，比如使用

cat server.crt intermediate-ca.crt root-ca.crt > server-chain.crt

生产链条。