web-dev-qa-db-ja.com

SSL3_GET_SERVER_CERTIFICATE証明書の検証に失敗しましたPython要求時（のみ）* .google.com

私はSSLとgoogle.comへのpython（または、より一般的には、複数の証明書チェーンを持つドメインで考えられます）に関係する、本当に奇妙なバグに遭遇しました。 https://*.google.com/whatever次のエラーが表示されます。

SSLError: ("bad handshake: Error([('SSL routines', 'SSL3_GET_SERVER_CERTIFICATE', 'certificate verify failed')],)",) while doing GET request to URL: https://google.com/

これまでにやったこと

私はこれを機能させるために多くのフープを経験しましたが、何をすべきかわからないので、Stack Overflowに投稿することに頼っています。ここに私が試したものがあります：

  1. dateがリアルタイムより2分遅れた日付を返したことに注意してください（証明書を無効にする可能性があります）。証明書を検証すると仮定して、これを修正しました。これは問題を解決しませんでした。

  2. Python 2.7.9は、Python 3.からSSLライブラリをバックポートしました。私は、Python 2.7.6から2.7.9更新の想定（このスレッドにリストされている修正を含む： https://serverfault.com/questions/692110/error-with-python2-as-a-https-client-with-an-nginx -server-and-ssl-certificate-ch ）で修正できますが、同じエラーです。

  3. 明らかにverify=Falseは機能しますが、セキュリティに苦心するつもりはありません。verify=True動作します。

  4. curl https://google.comも期待どおりに機能します。これは、Pythonと関係があることを私が知っている方法です。

環境

$ python -V
Python 2.7.9

$ pip list | grep -e requests
requests (2.9.1)

$ uname-a  # ubuntu 14.04
Linux staging.example.com 3.13.0-48-generic #80-Ubuntu SMP Thu Mar 12 11:16:15 UTC 2015 x86_64 x86_64 x86_64 GNU/Linux

例

これは、https経由のgoogleドメインでのみ発生するonlyです。次に例を示します。

$ ipython
Python 2.7.9 (default, Jan  6 2016, 21:37:32)
Type "copyright", "credits" or "license" for more information.

IPython 4.0.1 -- An enhanced Interactive Python.
?         -> Introduction and overview of IPython's features.
%quickref -> Quick reference.
help      -> Python's own help system.
object?   -> Details about 'object', use 'object??' for extra details.

In [1]: import requests

In [2]: requests.get('https://facebook.com', verify=True)
Out[2]: <Response [200]>

In [3]: requests.get('https://stackoverflow.com', verify=True)
Out[3]: <Response [200]>

In [4]: requests.get('https://spotify.com', verify=True)
Out[4]: <Response [200]>

In [5]: requests.get('http://google.com', verify=True) # notice the http
Out[5]: <Response [200]>

In [6]: requests.get('https://google.com', verify=True)
---------------------------------------------------------------------------
SSLError                                  Traceback (most recent call last)
<ipython-input-6-a7fff1831944> in <module>()
----> 1 requests.get('https://google.com', verify=True)

/example/.virtualenv/example/lib/python2.7/site-packages/requests/api.pyc in get(url, params, **kwargs)
     65
     66     kwargs.setdefault('allow_redirects', True)
---> 67     return request('get', url, params=params, **kwargs)
     68
     69

/example/.virtualenv/example/lib/python2.7/site-packages/requests/api.pyc in request(method, url, **kwargs)
     51     # cases, and look like a memory leak in others.
     52     with sessions.Session() as session:
---> 53         return session.request(method=method, url=url, **kwargs)
     54
     55

/example/.virtualenv/example/lib/python2.7/site-packages/requests/sessions.pyc in request(self, method, url, params, data, headers, cookies, files, auth, timeout, allow_redirects, proxies, hooks, stream, verify, cert, json)
    466         }
    467         send_kwargs.update(settings)
--> 468         resp = self.send(prep, **send_kwargs)
    469
    470         return resp

/example/.virtualenv/example/lib/python2.7/site-packages/requests/sessions.pyc in send(self, request, **kwargs)
    574
    575         # Send the request
--> 576         r = adapter.send(request, **kwargs)
    577
    578         # Total elapsed time of the request (approximately)

/example/.virtualenv/example/lib/python2.7/site-packages/requests/adapters.pyc in send(self, request, stream, timeout, verify, cert, proxies)
    445         except (_SSLError, _HTTPError) as e:
    446             if isinstance(e, _SSLError):
--> 447                 raise SSLError(e, request=request)
    448             Elif isinstance(e, ReadTimeoutError):
    449                 raise ReadTimeout(e, request=request)

SSLError: ("bad handshake: Error([('SSL routines', 'SSL3_GET_SERVER_CERTIFICATE', 'certificate verify failed')],)",)
pythonsslpython-requests
16
Liam Horne

私は解決策を見つけました。実行中のcertifiのバージョンに大きな問題があるようです。この（非常に長い）GitHubの問題からこれを見つけました： https://github.com/certifi/python-certifi/issues/26

TL; DR

pip uninstall -y certifi && pip install certifi==2015.04.28

31
Liam Horne