<p>Anfragen[Sicherheit] / PyOpenSSL macht Anfragen nicht sicherer, sondern brüchiger</p>

Requests hat vor vielen, vielen Jahren die requests[security] Abhängigkeit hinzugefügt, weil dem SSL-Modul in Pythons stdlib einige Funktionen fehlten. Da PEP 466 in Python 2.7.9 implementiert wurde, unterstützt das SSL-Modul die Überprüfung von Hostnamen und SNI. 2.7.9 wurde 2014 veröffentlicht. Python 3.7.0 verbesserte die Situation noch weiter, indem es die Überprüfung des Hostnamens an OpenSSL delegierte. Die PyOpenSSL-Kompatibilitätsschicht in urllib3 verwendet die veraltete ssl.match_hostname Funktion oder einen Backport.

Bedingungsloses Monkey-Patching von urllib3 mit urllib3.contrib.pyopenssl.inject_into_urllib3 verursacht ebenfalls Probleme.

PyOpenSSL verwendet dynamische libffi-Callbacks (auch bekannt als cffi-Callbacks im alten Stil). Die Callbacks werden mit Trampolinen und dynamischer Erstellung von nativem Maschinencode implementiert. Dies verwendet entweder ausführbare und beschreibbare Speicherseiten oder einige Hacks mit gemeinsam genutzten mmap()-Regionen. Dynamische Callbacks sind ein Sicherheitsrisiko und werden aus guten Gründen von Sicherheitsframeworks wie SELinux blockiert (deny_execmem). Armin Rigo und ich haben verschiedene Möglichkeiten untersucht, um diese Probleme zu umgehen, aber es gibt einfach eine Lösung. Schließlich implementierte Armin ein neues Callback-System für cffi. Einige der Probleme mit alten Rückrufen sind unter https://cffi.readthedocs.io/en/latest/using.html#callbacks -old-style dokumentiert.

PyOpenSSL zieht derzeit eine Version der Kryptographie ein, die selbst von asn1crypto abhängt. Ein Problem mit asn1crypto und ctypes führt dazu, dass Python unter dem aktuellen macOS https://github.com/pyca/pyopenssl/issues/874 und https://github.com/wbond/asn1crypto/issues/158 einen Segfault verursacht.

Aufgrund von Fehlern wie https://bugzilla.redhat.com/show_bug.cgi?id=1535689 habe ich die Fedora- und RHEL-Maintainer vor einiger Zeit davon überzeugt, Requests zu patchen und inject_into_urllib3 zu lassen. Die Distributionen laufen seit über einem Jahr mit dem Patch https://src.fedoraproject.org/rpms/python-requests/blob/master/f/Don-t-inject-pyopenssl-into-urllib3.patch ohne gemeldete Probleme .

Ich schlage vor:

1) Entfernen von requests[security] extra erfordert.
2) Entfernen Sie unbedingt den Monkey-Patch von urllib3 aus den Anforderungen.