如何在 python 2.7 中为 TLS 套接字进行证书固定？

Question

我有一个使用自签名证书的 python TLS 服务器。这样可行。代码现在看起来像这样：

#!/usr/bin/python

import socket, ssl

context = ssl.create_default_context(ssl.Purpose.CLIENT_AUTH)
context.load_cert_chain(certfile="server.crt", keyfile="server.key")

bindsocket = socket.socket()
bindsocket.bind(('127.0.0.1', 8888))
bindsocket.listen(5)

while True:
    newsocket, fromaddr = bindsocket.accept()
    connstream = context.wrap_socket(newsocket, server_side=True)
    try:
        print("Got connection!")
    finally:
        connstream.shutdown(socket.SHUT_RDWR)
        connstream.close()

我现在正在尝试在 python 中创建一个连接到该服务器的客户端。在第一次连接尝试时，我想检索公钥或公钥的哈希，然后在所有未来的连接上验证这一点。如何使用 python 和 ssl 包？

这是我正在玩的代码：

#!/usr/bin/python

import ssl, socket, pprint

context = ssl.SSLContext(ssl.PROTOCOL_TLS)
context.verify_mode = ssl.CERT_REQUIRED
context.check_hostname = False


cnx = context.wrap_socket(socket.socket(socket.AF_INET), certfile="server.crt")
cnx.connect(('127.0.0.1', 8888))
pprint.pprint(cnx.getpeercert())

就目前而言，它失败了，因为没有证书链来验证证书。不过，我不在乎。我关心的是我正在与之交谈的服务器具有与公钥匹配的私钥。我该怎么办？

Answer 1

所以我完成了这项工作，尽管这并不是我所希望的。我最大的抱怨是它需要将整个服务器证书存储在磁盘上的文件中，而我真正关心的是公钥。但是，这是我的工作：

#!/usr/bin/python

import ssl, socket, pprint, os, sys

# If we haven't retrieved the certificate previously...
if not os.path.isfile('server_cert.pem'):

    # Grab the cert
    cert = ssl.get_server_certificate(('127.0.0.1', 8888))

    # If it worked...
    if cert:

        # Write it to a file
        with open('server_cert.pem', 'w') as f:
            f.write(cert)
    else:
        sys.exit()

# Prepare context, including reference to the server's certificate
context = ssl.SSLContext(ssl.PROTOCOL_TLS)
context.verify_mode = ssl.CERT_REQUIRED
context.check_hostname = False
context.load_verify_locations(cafile='server_cert.pem')
cnx = context.wrap_socket(socket.socket(socket.AF_INET))

# Connect and evaluate
cnx.connect(('127.0.0.1', 8888))

我会稍等片刻将此答案标记为已接受，看看是否有人能找到更清洁的方法。