[Razi91]

Potrzebuję self-signed ssl, działa lokalnie, z innego komputera nie chce. Tworzę certyfikat w ten sposób:

sudo openssl req -x509 -nodes -days 365 -subj 'CN=192.168.1.7' -newkey rsa:2048 -keyout /etc/nginx/ssl/nginx.key -out /etc/nginx/ssl/nginx.crt

Klucz dodany do /usr/local/share/ca-certificates, potem update-ca-certificates i w Pythonie jak przekażę plik .crt do verify w requests, to śmiga. Jak robię to samo z innego urządzenia, to niby verification failed. Adres oczywiście jest ten sam.

#linux #openssl #ssl #bezpieczenstwoit

[Thor1990]

@Razi91: W jakim sensie nie działa? Przeglądarka sypie błędem certyfikatu? Jeśli tak, to normalne - przeglądarki tak się zachowują przy certyfikatach self-signed.

[mateusza]

@Razi91: na czym polega fakt niedziałania z innego komputera?

[Razi91]

@lis6502 @mateusza @Thor1990: Nie mam tam przeglądarki, tylko skrypt Pythona. Zwraca 'certificate verification failed'

[mateusza]

@Razi91:
1. albo w tym skrypcie dodaj parametr, żeby ignorować niepoprawne certyfikaty (jeśli biblioteka, której używasz na to pozwala)
2. albo zrób własne CA i dodaj do kolekcji systemowych CA po stronie klienta

[Razi91]

@lis6502: Da radę to zautomatyzować?
@mateusza: To requests z Pythona, mogę podać konkretny certyfikat, ale to nie pomaga. Nie chcę całkowicie ignorować sprawdzania poprawności.

[mateusza]

@Razi91: https://stackoverflow.com/questions/30405867/how-to-get-python-requests-to-trust-a-self-signed-ssl-certificate

[mateusza]

@Razi91: wyeksportuj klucz publiczny, którym certyfikat jest podpisany

[Razi91]

@mateusza: Masz na myśli ten plik /etc/nginx/ssl/nginx.crt? Mam go u klienta. Te rozwiązanie działa lokalnie, nie działa u klienta.

BTW. klientem jest Raspberry PI, wybitnie okrojony minibian.

[mateusza]

@Razi91: Tu masz działający kod na pythona 3: https://gist.github.com/mateusza/3429a3946a87876e456e81d4ce7c1591

[Razi91]

@mateusza: Dostaję:

requests.exceptions.SSLError: HTTPSConnectionPool(host='192.168.1.7', port=443): Max retries exceeded with url: /api/1 (Caused by SSLError(CertificateError("hostname '192.168.1.7' doesn't match u'127.0.0.1'",),))

[mateusza]

@Razi91: no przyjrzyj się, zrobiłem cert z adresem 127.0.0.1

[Razi91]

@mateusza: eh, już chyba nie myślę... Dostaję:
/usr/local/lib/python2.7/dist-packages/urllib3/connection.py:374: SubjectAltNameWarning: Certificate for 192.168.1.7 has no subjectAltName, falling back to check for a commonName for now. This feature is being removed by major browsers and deprecated by RFC 2818. (See [https://github.com/shazow/urllib3/issues/497](https://github.com/shazow/urllib3/issues/497) for details.)
SubjectAltNameWarning

Ale przechodzi bez wyjątków, a to wysypuje na stderr.

[mateusza]

@Razi91: plik req2.py który wrzuciłem do gista wyłącza to ostrzeżenie

[Razi91]

@mateusza: jestem ślepy... Dzięki :) Tylko jeszcze muszę sprawdzić, czy zadziała to na tej malince

[mateusza]

@Razi91: ale można też zrobić certyfikat z prawidłowymi nazwami domenowymi wpisanymi w atrybucie subjectAltName i też będzie dobrze

[Razi91]

@mateusza: A na malince dalej nie działa...

SSLError('bad handshake', Error([('SSL routines, 'SSL3_GET_SERVER_CERTIFICATE', 'certificate verify failed')],))

Dodam tylko że z mojego PCta to działa.... Wersja OpenSSL za stara?

[mateusza]

SSLError('bad handshake'

@Razi91: on się w ogóle łączy? Spróbuj curl i s_client najpierw

[Razi91]

@mateusza: nie mam tam curla, w tym problem. Zainstalować też nie bardzo mam jak, muszę spróbować na większej karcie SD, bo przy 1GB sama próba aktualizacji, którą trzeba zrobić żeby cokolwiek tam zainstalować wysypuje problem z miejscem... Po samej aktualizacji ostatnio chyba w ogóle mi nie wstał, cały ten projekt to patologia.