如何使用python检索远程主机的TLS / SSL对等证书？

Question

我需要浏览IP列表，并从该IP上的证书中检索通用名称（对于每个允许端口443连接的IP）。我已经能够使用套接字和ssl模块成功完成此操作。它适用于具有有效的已签名证书的所有IP，但不适用于自签名证书。

如果我使用此方法，则它需要由我的CA捆绑包验证的有效证书：

from socket import socket
import ssl

s = socket()
c = ssl.wrap_socket(s,cert_reqs=ssl.CERT_REQUIRED, ca_certs='ca-bundle.crt')
c.connect(('127.0.0.1', 443))

print c.getpeercert()

如果我删除，cert_reqs=ssl.CERT_REQUIRED那么它将连接但根本无法获得证书。

无论证书是否通过ca-bundle进行验证，如何在IP上检索证书的通用名称？

Answer 1

python ssl库似乎只有在具有有效签名的情况下才能为您解析证书。

    """Returns a formatted vershtml" target="_blank">ion of the data in the
    certificate provided by the other end of the SSL channel.
    Return None if no certificate was provided, {} if a
    certificate was provided, but not validated."""

您仍然可以使用该ssl.get_server_certificate()功能获取服务器证书，但是它将以PEM格式返回。（或者，您可以调用c.getpeercert(True)，以二进制DER格式返回证书，而不管其是否经过验证。）

>>> print ssl.get_server_certificate(('server.test.com', 443))
-----BEGIN CERTIFICATE-----
MIID4zCCAsugAwIBA.....

从这里，我将使用M2Crypto或OpenSSL来读取证书并获取值：

    # M2Crypto
    cert = ssl.get_server_certificate(('www.google.com', 443))
    x509 = M2Crypto.X509.load_cert_string(cert)
    x509.get_subject().as_text()
    # 'C=US, ST=California, L=Mountain View, O=Google Inc, CN=www.google.com'

    # OpenSSL
    x509 = OpenSSL.crypto.load_certificate(OpenSSL.crypto.FILETYPE_PEM, cert)
    x509.get_subject().get_components()
    #[('C', 'US'),
    # ('ST', 'California'),
    # ('L', 'Mountain View'),
    # ('O', 'Google Inc'),
    # ('CN', 'www.google.com')]