如果 SSL Labs 显示“此服务器的证书链不完整。等级上限为 B。”，是否可以完成证书握手？

Question

我正在尝试在以“https”开头的网站上使用 urllib.request.urlopen。错误输出为： ssl.SSLError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed

有很多很棒的线程可以解决这个错误。包括提到 SSL Labs 评级的this one。我可以在我测试过的所有其他“https”网站上使用 urllib.request.urlopen。

SSL Labs 显示以下输出：

Key                        RSA 2048 bits (e 65537)
Issuer                     Let's Encrypt Authority X3
AIA:                       http://cert.int-x3.letsencrypt.org/
Signature algorithm        SHA256withRSA
Extended Validation        No
Certificate Transparency   No
OCSP Must Staple           No
Revocation information     OCSP 
Revocation status          Good (not revoked)
DNS CAA                    No (more info)
Trusted                    Yes

为了澄清，我的问题是：是否有完成握手的解决方案，不包括绕过证书验证？而如果有解决方案，能不能完全在linux、macOS和Windows上的一个python脚本里面解决？

Answer 1

您可以通过将缺少的中间证书添加到活动的X509Store 来解决此问题：

cert_text = '''
-----BEGIN CERTIFICATE-----
...put your actual certificate text here...
-----END CERTIFICATE-----
'''

# fill this out depending on which specific intermediate cert you're missing
missing_cert = OpenSSL.crypto.load_certificate(OpenSSL.crypto.FILETYPE_PEM, cert_text)

context = ssl.create_default_context() # load default trusted certificates
store = context.get_cert_store()       # get the X509Store for that context
store.add_cert(missing_cert)           # add your missing cert to it

urllib.request.urlopen(site, context=context)

请注意，如果您仅需要与您正在为其执行此操作的一台服务器通信，您只需将适当的cafile 或capath 参数传递给create_default_context()。

Answer 2

我无法为 urllib 回答这个问题，但我能够使用 python 请求来解决这个问题。请注意，这仅在相关网站存在受信任的证书链但服务器可能缺少根证书或中间证书时才有效。

使用 SSL 实验室服务器测试 (linked here)，运行测试并向下滚动到认证路径。如果存在受信任的证书路径，但服务器由于某种原因未提供完整的链，您可以在此处以文本形式下载完整的受信任路径。复制完整的证书链并将其保存为 .pem 文件并将该文件的路径传递给 requests 函数：

r = requests.get(url, verify = "path/to/chain.pem")

requests 模块可以抛出各种 SSL 相关的认证失败，其中很多是服务器端的问题，你真的想避免禁用 SSL 验证。此解决方案仅适用于存在完整证书但相关颁发者或服务器草率地省略了根证书或中间证书的极少数情况。

Answer 3

我能够解决这个问题（对于基于 debian 的系统，我正在运行 Debian 9）。我仍然需要在 macOS 和 Windows 上测试解决方案。

在SSL Labs 报告的“认证路径”标题下，它显示：

1   Sent by server  www.exampleSITE.com

BLAH BLAH BLAH

2   Extra download  Let's Encrypt Authority X3

BLAH BLAH BLAH

3   In trust store  DST Root CA X3   Self-signed

BLAH BLAH BLAH

我导航到/etc/ssl/certs/，发现没有Let's Encrypt 证书存在。然后我下载了 .pem 并重新散列。

cd /etc/ssl/certs
sudo wget https://letsencrypt.org/certs/lets-encrypt-x3-cross-signed.pem
sudo c_rehash

然后我测试了之前给我错误的 python 行

page = urllib.request.urlopen('https://www.exampleSITE.com').read()

它成功地检索了页面。