Requests: SSL 오류: 잘못된 핸드셰이크

요청을 설치한 방법과 설치한 버전을 알려주시겠습니까?

이것은 거의 확실히 SNI 문제이므로 라이브러리가 설치된 방법에 따라 몇 가지 선택적 종속성을 추가해야 할 수도 있습니다.

요청은 pip를 통해 smartsheet-python-sdk에 대한 종속성으로 설치되었습니다.

pip show requests
---
Metadata-Version: 2.0
Name: requests
Version: 2.10.0
Summary: Python HTTP for Humans.
Home-page: http://python-requests.org
Author: Kenneth Reitz
Author-email: [email protected]
Installer: pip
License: Apache 2.0
Location: /usr/lib/python3.4/site-packages
Requires: 
Classifiers:
  Development Status :: 5 - Production/Stable
  Intended Audience :: Developers
  Natural Language :: English
  License :: OSI Approved :: Apache Software License
  Programming Language :: Python
  Programming Language :: Python :: 2.6
  Programming Language :: Python :: 2.7
  Programming Language :: Python :: 3
  Programming Language :: Python :: 3.3
  Programming Language :: Python :: 3.4
  Programming Language :: Python :: 3.5
  Programming Language :: Python :: Implementation :: CPython
  Programming Language :: Python :: Implementation :: PyPy

pip show smartsheet-python-sdk
---
Metadata-Version: 2.0
Name: smartsheet-python-sdk
Version: 1.0.1
Summary: Library that uses Python to connect to Smartsheet services (using API 2.0).
Home-page: http://smartsheet-platform.github.io/api-docs/
Author: Smartsheet
Author-email: [email protected]
Installer: pip
License: Apache-2.0
Location: /usr/lib/python3.4/site-packages
Requires: certifi, requests, six, python-dateutil, requests-toolbelt
Classifiers:
  Development Status :: 5 - Production/Stable
  Intended Audience :: Developers
  Natural Language :: English
  Operating System :: OS Independent
  License :: OSI Approved :: Apache Software License
  Programming Language :: Python
  Programming Language :: Python :: 2.7
  Programming Language :: Python :: 3.3
  Programming Language :: Python :: 3.4
  Programming Language :: Python :: 3.5
  Programming Language :: Python :: Implementation :: PyPy
  Programming Language :: Python :: Implementation :: CPython
  Topic :: Software Development :: Libraries :: Python Modules
  Topic :: Office/Business :: Financial :: Spreadsheet

pip에서 패키지를 제거하고 yum에서 설치하면 도움이 되지 않습니다...

@pensnarik 귀하의 환경에서 pip install -U requests[security] 를 실행한 다음 다시 시도할 수 있습니까?

조언을 해주셔서 감사합니다, 루카사, 하지만 도움이 되지 않았습니다...

[mutex<strong i="6">@unica1</strong> parser]$ sudo pip install -U requests[security]
[sudo] password for mutex: 
Collecting requests[security]
  Using cached requests-2.10.0-py2.py3-none-any.whl
Collecting pyOpenSSL>=0.13 (from requests[security])
  Using cached pyOpenSSL-16.0.0-py2.py3-none-any.whl
Collecting ndg-httpsclient (from requests[security])
Requirement already up-to-date: pyasn1 in /usr/lib/python2.7/site-packages (from requests[security])
Collecting cryptography>=1.3 (from pyOpenSSL>=0.13->requests[security])
  Using cached cryptography-1.3.2.tar.gz
Requirement already up-to-date: six>=1.5.2 in /usr/lib/python2.7/site-packages (from pyOpenSSL>=0.13->requests[security])
Requirement already up-to-date: idna>=2.0 in /usr/lib/python2.7/site-packages (from cryptography>=1.3->pyOpenSSL>=0.13->requests[security])
Requirement already up-to-date: setuptools>=11.3 in /usr/lib/python2.7/site-packages (from cryptography>=1.3->pyOpenSSL>=0.13->requests[security])
Requirement already up-to-date: enum34 in /usr/lib/python2.7/site-packages (from cryptography>=1.3->pyOpenSSL>=0.13->requests[security])
Requirement already up-to-date: ipaddress in /usr/lib/python2.7/site-packages (from cryptography>=1.3->pyOpenSSL>=0.13->requests[security])
Requirement already up-to-date: cffi>=1.4.1 in /usr/lib64/python2.7/site-packages (from cryptography>=1.3->pyOpenSSL>=0.13->requests[security])
Requirement already up-to-date: pycparser in /usr/lib/python2.7/site-packages (from cffi>=1.4.1->cryptography>=1.3->pyOpenSSL>=0.13->requests[security])
Building wheels for collected packages: cryptography
  Running setup.py bdist_wheel for cryptography ... done
  Stored in directory: /root/.cache/pip/wheels/14/df/02/611097a49d7739151deb68d0172dff5ae7cba01b82769e56ef
Successfully built cryptography
Installing collected packages: cryptography, pyOpenSSL, ndg-httpsclient, requests
  Found existing installation: requests 2.6.0
    DEPRECATION: Uninstalling a distutils installed project (requests) has been deprecated and will be removed in a future version. This is due to the fact that uninstalling a distutils project will only partially uninstall the project.
    Uninstalling requests-2.6.0:
      Successfully uninstalled requests-2.6.0
Successfully installed cryptography-1.3.2 ndg-httpsclient-0.4.0 pyOpenSSL-16.0.0 requests-2.10.0
You are using pip version 8.1.0, however version 8.1.2 is available.
You should consider upgrading via the 'pip install --upgrade pip' command.
[mutex<strong i="7">@unica1</strong> parser]$ ./update_region_price.py 
Traceback (most recent call last):
  File "./update_region_price.py", line 129, in <module>
    sys.exit(app.run(sys.argv))
  File "./update_region_price.py", line 122, in run
    self.update_basic()
  File "./update_region_price.py", line 65, in update_basic
    sheet = self.sm.Sheets.get_sheet(self.sheet_id, page_size=5000)
  File "/usr/lib/python2.7/site-packages/smartsheet/sheets.py", line 460, in get_sheet
    response = self._base.request(prepped_request, expected, _op)
  File "/usr/lib/python2.7/site-packages/smartsheet/smartsheet.py", line 178, in request
    res = self.request_with_retry(prepped_request, operation)
  File "/usr/lib/python2.7/site-packages/smartsheet/smartsheet.py", line 242, in request_with_retry
    return self._request(prepped_request, operation)
  File "/usr/lib/python2.7/site-packages/smartsheet/smartsheet.py", line 208, in _request
    res = self._session.send(prepped_request, stream=stream)
  File "/usr/lib/python2.7/site-packages/requests/sessions.py", line 585, in send
    r = adapter.send(request, **kwargs)
  File "/usr/lib/python2.7/site-packages/requests/adapters.py", line 477, in send
    raise SSLError(e, request=request)
requests.exceptions.SSLError: ("bad handshake: Error([('SSL routines', 'SSL3_GET_SERVER_CERTIFICATE', 'certificate verify failed')],)",)

어떤 호스트에 연결하는지 보여줄 수 있습니까?

Lukasa는 물론 https://api.smartsheet.com/2.0 , smartsheet API(https://github.com/smartsheet-platform/smartsheet-python-sdk)에 파이썬 래퍼를 사용하고 있습니다.

그리고 귀하의 환경에 certifi 설치되어 있습니까?

네, 있어요:

[mutex<strong i="6">@unica1</strong> parser]$ pip show certifi
---
Metadata-Version: 2.0
Name: certifi
Version: 2016.2.28
Summary: Python package for providing Mozilla's CA Bundle.
Home-page: http://certifi.io/
Author: Kenneth Reitz
Author-email: [email protected]
Installer: pip
License: ISC
Location: /usr/lib/python2.7/site-packages
Requires: 
Classifiers:
  Development Status :: 5 - Production/Stable
  Intended Audience :: Developers
  Natural Language :: English
  Programming Language :: Python
  Programming Language :: Python :: 2.5
  Programming Language :: Python :: 2.6
  Programming Language :: Python :: 2.7
  Programming Language :: Python :: 3.0
  Programming Language :: Python :: 3.1
  Programming Language :: Python :: 3.2
  Programming Language :: Python :: 3.3
  Programming Language :: Python :: 3.4

아하, 알겠습니다. 도착했습니다.

api.smartsheet.com 는 "교차 서명된 인증서"로 알려진 것을 사용하여 TLS를 제공합니다. 이것은 api.smartsheet.com 의 CA인 Verisign이 원래 1024비트 루트 인증서를 사용했기 때문에 사용되었습니다. 이들은 더 이상 사용되지 않으며 더 강력한 루트 인증서로 대체되었지만 일부 이전 브라우저 및 시스템은 업데이트를 받지 못했을 수 있으므로 api.smartsheet.com 와 같은 사이트는 1024비트 루트에서 서명한 루트 인증서를 제공합니다.

그것은 일반적으로 문제가 아닙니다. _제외_:

• certifi 는 약한 1024비트 루트를 제거했습니다.
• 1.0.2보다 오래된 OpenSSL은 인증서 체인을 구축하는 데 실패하므로 교차 서명된 루트의 유효성을 올바르게 검증하지 못합니다.

두 가지 방법으로 이 문제를 해결할 수 있습니다. 더 좋지만 더 과감한 첫 번째 방법은 OpenSSL을 1.0.2 이상으로 업그레이드하는 것입니다. 이것은 Centos에서 하기 어렵습니다. 유감입니다. 덜 좋지만 더 효과적인 방법은 python -c "import certifi; print certifi.old_where()" 실행 결과를 얻은 다음 REQUESTS_CA_BUNDLE 환경 변수를 인쇄된 경로로 설정하는 것입니다.

아, 스마트시트 SDK는 certifi를 명시적으로 사용하여 해당 환경 변수를 재정의합니다.

새로운 계획. smartsheet를 가져온 직후에 다른 작업을 하기 전에 다음 줄을 추가할 수 있습니까?

import smartsheet.session
import certifi
smartsheet.session._TRUSTED_CERT_FILE = certifi.old_where()

희망적으로 도움이 될 것입니다. 이 접근 방식에는 환경 변수가 필요하지 않습니다.

불행히도 /usr/lib/python2.7/site-packages/smartsheet/session.py에서 이 줄을 변경해도 작동하지 않습니다.

_TRUSTED_CERT_FILE = certifi.where()

에게

_TRUSTED_CERT_FILE = certifi.old_where()

내 코드에서 이 var를 변경해도 도움이 되지 않습니다...

이 시점에서 나는 이것이 요청의 버그가 아니며 실제로 smartsheet API 래퍼의 문제라고 확신합니다. 당신은 그들에게 이것을보고하려고 했습니까?

흠. 해당 코드가 실행되고 있다고 확신하십니까? 사용 중임을 확인하기 위해 인쇄문을 사용할 수 있습니까?

인증서를 2015.11.20.1에서 2015.4.28로 다운그레이드하면 문제가 해결됩니다!

ubuntu@ip-172-31-58-148 :~/requests$ 클리어
ubuntu@ip-172-31-58-148 :~/requests$ 파이썬
Python 2.7.6(기본값, 2015년 6월 22일, 17:58:13)
linux2의 [GCC 4.8.2]
자세한 내용을 보려면 "도움말", "저작권", "크레딧" 또는 "라이센스"를 입력하십시오.

가져오기 요청
requests.get('https://logo.clearbit.com/beutifi.com')
requests/packages/urllib3/util/ssl_.py:318: SNIissingWarning: HTTPS 요청이 작성되었지만 TLS에 대한 SNI(주체 이름 표시) 확장은 이 플랫폼에서 사용할 수 없습니다. 이로 인해 서버가 잘못된 TLS 인증서를 제공하여 유효성 검사 실패를 일으킬 수 있습니다. 이 문제를 해결하기 위해 최신 버전의 Python으로 업그레이드할 수 있습니다. 자세한 내용은 https://urllib3.readthedocs.org/en/latest/security.html#snimissingwarning을 참조
SNI 누락경고
requests/packages/urllib3/util/ssl_.py:122: InsecurePlatformWarning: 실제 SSLContext 개체를 사용할 수 없습니다. 이렇게 하면 urllib3이 SSL을 적절하게 구성하지 못하고 특정 SSL 연결이 실패할 수 있습니다. 이 문제를 해결하기 위해 최신 버전의 Python으로 업그레이드할 수 있습니다. 자세한 내용은 https://urllib3.readthedocs.org/en/latest/security.html#insecureplatform경고를 참조
InsecurePlatform경고
역추적(가장 최근 호출 마지막):
파일 "", 1행, 에서
파일 "requests/api.py", 71행, get
반환 요청('get', url, params=params, *_kwargs)
파일 "requests/api.py", 57행, 요청
반환 session.request(메소드=메서드, url=url, *_kwargs)
파일 "requests/sessions.py", 477행, 요청
resp = self.send(준비, *_send_kwargs)
파일 "requests/sessions.py", 587행, 전송 중
r = 어댑터.보내기(요청, *_kwargs)
파일 "requests/adapters.py", 491행, 전송 중
SSLError(e, 요청=요청) 발생
requests.exceptions.SSLError: [Errno 1] _ssl.c:510: error:14077410 :SSL 루틴:SSL23_GET_SERVER_HELLO :sslv3 경고 핸드셰이크 실패

이것은 이 문제에 대한 나의 의견입니다. 모든 https 요청에서 발생하지 않습니다.

@sProject 새로운 문제가 있는지 판단하기 전에 두 경고를 모두 해결해야 합니다. pip에서 요청을 받은 경우 pip install pyopenssl pyasn1 ndg-httpsclient 합니다. 시스템 공급자로부터 요청을 받은 경우 거기에서 세 가지 패키지를 설치해야 합니다.

이 버그는 두 달 전에 해결된 것으로 보입니다. 이 결론이 틀렸고 요청에 여전히 버그가 있는 경우 이를 다시 열겠습니다.

요청에 협조해 주신 모든 분들께 감사드립니다!

pygodaddy 의 예는 동일한 예외를 발생

from pygodaddy import GoDaddyClient
client = GoDaddyClient()
if client.login(login[0],login[1]):
    print client.find_domains()
else: print 'falhou'


$ ./dynip.py 
Traceback (most recent call last):
  File "./dynip.py", line 8, in <module>
    if client.login(login[0],login[1]):
  File "/usr/lib/python2.7/site-packages/pygodaddy/client.py", line 99, in login
    r = self.session.get(self.default_url)
  File "/usr/lib/python2.7/site-packages/requests/sessions.py", line 501, in get
    return self.request('GET', url, **kwargs)
  File "/usr/lib/python2.7/site-packages/requests/sessions.py", line 488, in request
    resp = self.send(prep, **send_kwargs)
  File "/usr/lib/python2.7/site-packages/requests/sessions.py", line 609, in send
    r = adapter.send(request, **kwargs)
  File "/usr/lib/python2.7/site-packages/requests/adapters.py", line 497, in send
    raise SSLError(e, request=request)
requests.exceptions.SSLError: ("bad handshake: Error([('SSL routines', 'ssl3_get_server_certificate', 'certificate verify failed')],)",)

@pensnarik 이 제안한 대로

# pip list
Babel (2.3.4)
beautifulsoup4 (4.5.1)
blinker (1.4)
certifi (2016.9.26)
cffi (1.9.1)
chardet (2.3.0)
click (6.6)
cryptography (1.5.3)
cssselect (0.9.2)
decorator (4.0.10)
django-htmlmin (0.9.1)
dnspython (1.14.0)
enum34 (1.1.6)
extras (1.0.0)
first (2.0.1)
fixtures (3.0.0)
Flask (0.11.1)
Flask-Babel (0.11.1)
Flask-Gravatar (0.4.2)
Flask-Login (0.3.2)
Flask-Mail (0.9.1)
Flask-Principal (0.4.0)
Flask-Security (1.7.5)
Flask-SQLAlchemy (2.1)
Flask-WTF (0.12)
gps (3.16)
gssapi (1.2.0)
html5lib (1.0b3)
idna (2.1)
importlib (1.0.4)
iniparse (0.4)
ipaclient (4.3.2)
ipaddress (1.0.17)
ipalib (4.3.2)
ipaplatform (4.3.2)
ipapython (4.3.2)
itsdangerous (0.24)
Jinja2 (2.8)
jwcrypto (0.3.2)
kitchen (1.2.4)
linecache2 (1.0.0)
lockfile (0.12.2)
lxml (3.6.4)
M2Crypto (0.25.1)
MarkupSafe (0.23)
munch (2.0.4)
ndg-httpsclient (0.4.2)
netaddr (0.7.18)
nose (1.3.7)
numpy (1.11.1)
passlib (1.6.5)
pbr (1.10.0)
pif (0.7.3)
Pillow (3.3.1)
pip (8.1.2)
pip-tools (1.7.0)
ply (3.9)
psutil (4.3.0)
psycopg2 (2.6.2)
pwquality (1.3.0)
pyasn1 (0.1.9)
pyasn1-modules (0.0.8)
pycparser (2.17)
pycrypto (2.6.1)
pycurl (7.43.0)
pygobject (3.20.1)
pygodaddy (0.2.2)
pygpgme (0.3)
pyliblzma (0.5.3)
pyOpenSSL (16.2.0)
pyrsistent (0.11.13)
PySocks (1.5.7)
python-dateutil (2.5.3)
python-fedora (0.8.0)
python-ldap (2.4.27)
python-mimeparse (1.5.2)
python-nss (1.0.0)
python-yubico (1.3.2)
pytz (2016.6.1)
pyusb (1.0.0)
pyxattr (0.5.5)
qrcode (5.3)
reportlab (3.3.0)
requests (2.12.1)
requests-file (1.4.1)
rpm-python (4.13.0)
scdate (1.10.9)
setuptools (28.8.0)
simplejson (3.8.2)
six (1.10.0)
slip (0.6.4)
speaklater (1.3)
SQLAlchemy (1.0.14)
sqlparse (0.2.1)
SSSDConfig (1.14.2)
Terminator (0.98)
testscenarios (0.5.0)
testtools (2.2.0)
tldextract (2.0.2)
traceback2 (1.4.0)
typing (3.5.2.2)
uniconvertor (2.0)
unittest2 (1.1.0)
urlgrabber (3.10.1)
urllib3 (1.16)
Werkzeug (0.11.11)
WTForms (2.1)
yum-metadata-parser (1.1.4)

GoDaddy는 불완전한 인증서 체인을 제공합니다. 즉, 중간 인증서 중 하나가 누락되어 신뢰 체인을 구축할 수 없습니다. 누락된 중개 인증서를 인증서 신뢰 저장소에 추가하거나 GoDaddy에 연락하여 문제를 해결하도록 알려야 합니다.

@Lukasa 문제가 요청 또는 인증서 발급자에 있는지 어떻게 확인할 수 있습니까?
Entrust에서 발급한 인증서가 하나 있는데 URL을 탐색할 때 브라우저에서 문제가 없습니다.
그러나 요청을 통해 해당 URL에 액세스하려고 할 때 [SSL: CERTIFICATE_VERIFY_FAILED]

전체 역추적

$ python main.py
Traceback (most recent call last):
  File "/Users/romandodin/venvs/nokdok/lib/python3.5/site-packages/requests/packages/urllib3/connectionpool.py", line 594, in urlopen
    chunked=chunked)
  File "/Users/romandodin/venvs/nokdok/lib/python3.5/site-packages/requests/packages/urllib3/connectionpool.py", line 350, in _make_request
    self._validate_conn(conn)
  File "/Users/romandodin/venvs/nokdok/lib/python3.5/site-packages/requests/packages/urllib3/connectionpool.py", line 835, in _validate_conn
    conn.connect()
  File "/Users/romandodin/venvs/nokdok/lib/python3.5/site-packages/requests/packages/urllib3/connection.py", line 323, in connect
    ssl_context=context)
  File "/Users/romandodin/venvs/nokdok/lib/python3.5/site-packages/requests/packages/urllib3/util/ssl_.py", line 324, in ssl_wrap_socket
    return context.wrap_socket(sock, server_hostname=server_hostname)
  File "/usr/local/Cellar/python3/3.5.1/Frameworks/Python.framework/Versions/3.5/lib/python3.5/ssl.py", line 376, in wrap_socket
    _context=self)
  File "/usr/local/Cellar/python3/3.5.1/Frameworks/Python.framework/Versions/3.5/lib/python3.5/ssl.py", line 747, in __init__
    self.do_handshake()
  File "/usr/local/Cellar/python3/3.5.1/Frameworks/Python.framework/Versions/3.5/lib/python3.5/ssl.py", line 983, in do_handshake
    self._sslobj.do_handshake()
  File "/usr/local/Cellar/python3/3.5.1/Frameworks/Python.framework/Versions/3.5/lib/python3.5/ssl.py", line 628, in do_handshake
    self._sslobj.do_handshake()
ssl.SSLError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c:645)

During handling of the above exception, another exception occurred:

Traceback (most recent call last):
  File "/Users/romandodin/venvs/nokdok/lib/python3.5/site-packages/requests/adapters.py", line 423, in send
    timeout=timeout
  File "/Users/romandodin/venvs/nokdok/lib/python3.5/site-packages/requests/packages/urllib3/connectionpool.py", line 624, in urlopen
    raise SSLError(e)
requests.packages.urllib3.exceptions.SSLError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c:645)

During handling of the above exception, another exception occurred:

Traceback (most recent call last):
  File "main.py", line 64, in <module>
    r = s.get('https://infoproducts.alcatel-lucent.com/cgi-bin/get_doc_list.pl?entry_id=1-0000000000662&srch_how=&srch_str=&release=&model=&category=&contype=&format=&sortby=&how=all_prod',
  File "/Users/romandodin/venvs/nokdok/lib/python3.5/site-packages/requests/sessions.py", line 501, in get
    return self.request('GET', url, **kwargs)
  File "/Users/romandodin/venvs/nokdok/lib/python3.5/site-packages/requests/sessions.py", line 488, in request
    resp = self.send(prep, **send_kwargs)
  File "/Users/romandodin/venvs/nokdok/lib/python3.5/site-packages/requests/sessions.py", line 609, in send
    r = adapter.send(request, **kwargs)
  File "/Users/romandodin/venvs/nokdok/lib/python3.5/site-packages/requests/adapters.py", line 497, in send
    raise SSLError(e, request=request)
requests.exceptions.SSLError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c:645)

설치된 패키지

$ pip list
certifi (2016.9.26)
pip (9.0.1)
requests (2.12.4)
setuptools (32.3.1)
wheel (0.29.0)

인증서 세부정보

Subject infoproducts.alcatel-lucent.com
SAN infoproducts.alcatel-lucent.com
documentation.alcatel-lucent.com
Valid From Thu, 01 Dec 2016 13:15:08 GMT
Valid Until Sat, 01 Dec 2018 13:45:07 GMT
Issuer Entrust Certification Authority - L1K

문제는 발급자가 아니라 서버에 있는 것이 거의 확실합니다. 서버에 대해 openssl s_client -connect "<your-host>:<your-port>" -showcerts -servername "<your-host>" 를 실행한 결과를 보여 주시겠습니까?

명령을 올바르게 사용했는지 확실하지 않지만 다음과 같습니다.

$ openssl s_client -connect "infoproducts.alcatel-lucent.com:443" -showcerts -servername "infoproducts.alcatel-lucent.com"
CONNECTED(00000003)
depth=0 /C=US/ST=Illinois/L=Naperville/O=Alcatel-Lucent USA Inc./CN=infoproducts.alcatel-lucent.com
verify error:num=20:unable to get local issuer certificate
verify return:1
depth=0 /C=US/ST=Illinois/L=Naperville/O=Alcatel-Lucent USA Inc./CN=infoproducts.alcatel-lucent.com
verify error:num=27:certificate not trusted
verify return:1
depth=0 /C=US/ST=Illinois/L=Naperville/O=Alcatel-Lucent USA Inc./CN=infoproducts.alcatel-lucent.com
verify error:num=21:unable to verify the first certificate
verify return:1
---
Certificate chain
 0 s:/C=US/ST=Illinois/L=Naperville/O=Alcatel-Lucent USA Inc./CN=infoproducts.alcatel-lucent.com
   i:/C=US/O=Entrust, Inc./OU=See www.entrust.net/legal-terms/OU=(c) 2012 Entrust, Inc. - for authorized use only/CN=Entrust Certification Authority - L1K
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
---
Server certificate
subject=/C=US/ST=Illinois/L=Naperville/O=Alcatel-Lucent USA Inc./CN=infoproducts.alcatel-lucent.com
issuer=/C=US/O=Entrust, Inc./OU=See www.entrust.net/legal-terms/OU=(c) 2012 Entrust, Inc. - for authorized use only/CN=Entrust Certification Authority - L1K
---
No client certificate CA names sent
---
SSL handshake has read 1556 bytes and written 466 bytes
---
New, TLSv1/SSLv3, Cipher is AES256-SHA
Server public key is 2048 bit
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1
    Cipher    : AES256-SHA
    Session-ID: 48D3C9611E37C997182C4F123E21BCFD909D8D4BE887B44355866B80D44E1163
    Session-ID-ctx:
    Master-Key: 0A4A9E2A10E33EAA248541C39AC71F2F879310BAE141A4EA26F425D56C27099FB6D6572C2CCFC763FC743ECF99DABB5B
    Key-Arg   : None
    Start Time: 1483448892
    Timeout   : 300 (sec)
    Verify return code: 21 (unable to verify the first certificate)
---
closed

네, 그래서 서버가 잘못되었습니다.

이것은 TLS의 정말 일반적인 문제입니다. TLS 인증서 유효성 검사는 먼저 서버가 ("리프")에 대한 개인 키가 있음을 증명할 수 있는 인증서에서 우리가 신뢰하는 인증서("루트")로 가는 인증서 체인 을 구축하여 수행됩니다. OpenSSL의 경우 추가 규칙이 있습니다. 루트는 자체 서명되어야 합니다.

대부분의 경우 이 체인은 2단계 이상입니다. 즉, 리프는 루트에서 서명되지 않고 대신 소위 중간 인증서로 서명됩니다. 그 중간체는 루트에 의해 서명될 수 있지만 결국 루트가 서명한 중간체에 도달할 때까지 다른 중간체에 의해 서명될 수도 있습니다.

예를 들어 https://python-hyper.org 의 경우 체인은 다음과 같습니다.

1. python-hyper.org, 내가 신청하고 발급한 "잎"
2. Let's Encrypt 프로젝트에서 사용하는 중간 인증서인 Let's Encrypt Authority X3
3. DST 루트 CA X3, 내 웹 브라우저(및 요청)가 신뢰하는 루트 인증서

액세스하려는 사이트의 올바른 체인은 다음과 같아야 합니다 .

1. infoproducts.alcatel-lucent.com, 잎
2. 위탁인증기관 - L1K, 리프를 발급한 중간 인증서
3. 루트인증기관 위탁 - G2, 중간체를 발급한 루트인증서

사용 사례의 경우 Requests는 신뢰할 수 있는 루트로 해당 신뢰 데이터베이스의 인증서 번호 3과 함께 제공됩니다. 그러나 서버는 인증서 번호 1만 보내고 있습니다. 요청은 인증서 2가 없으면 인증서 1에서 인증서 3으로 이동할 수 없으며 서버에서 보내지 않습니다. 대부분의 브라우저는 일반적으로 사용되는 중간 인증서와 함께 제공되거나 캐시를 유지할 수 있지만 요청은 그렇게 할 수 없으므로 인증서 2를 보유할 방법이 없습니다. 인증서 2가 없으면 유효성 검사가 실패해야 합니다.

적절하게 구성된 TLS 서버는 리프 인증서 와 필요한 모든 중개자를 보냅니다. 이는 중개자를 본 적이 없고 동적으로 가져올 수 없는 클라이언트가 여전히 체인을 확인할 수 있도록 하기 위한 것입니다. 비교를 위해 python-hyper.org 에 대해 실행한 것과 같은 명령의 출력을 확인하십시오.

% openssl s_client -connect python-hyper.org:443 -showcerts -servername "python-hyper.org"
CONNECTED(00000003)
depth=1 /C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
verify error:num=20:unable to get local issuer certificate
verify return:0
---
Certificate chain
 0 s:/CN=python-hyper.org
   i:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
 1 s:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
   i:/O=Digital Signature Trust Co./CN=DST Root CA X3
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
---
Server certificate
subject=/CN=python-hyper.org
issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
---
No client certificate CA names sent
---
SSL handshake has read 2638 bytes and written 451 bytes
---
New, TLSv1/SSLv3, Cipher is AES256-SHA
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1
    Cipher    : AES256-SHA
    Session-ID: BBDF2CA65B2142C1F0C416B28C4FDF8FD5118ED4D5FF8802789D0B54C6309469
    Session-ID-ctx: 
    Master-Key: BD9B8B97EC439248CC5849EBF4B2ED18E0A73472EB8D86FE6F038C4E6944AFD8A163D80D47A3A3B28A6237A44C1B31CE
    Key-Arg   : None
    Start Time: 1483447980
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)
---

제 경우에는 서버에서 두 개의 인증서를 보냈지만 귀하의 경우에는 하나만 보냈습니다.

이것은 오류입니다. 모든 관련 중개자와 리프를 보내도록 서버를 재구성하십시오.

제가 여기 있는 동안 귀하의 서버에 대해 Qualys SSL Labs를 실행하면 이 문제에 대해서도 알 수 있다는 점에 유의해야 합니다. =)

교육적인 답변을 주신 @Lukasa 에게 감사드립니다! 이것으로 문제를 일으켜 정말 감사하고 죄송합니다. 제 TLS 지식 격차 =) 대부분은 브라우저에서 모두 좋았고 요청에서 작동하지 않았기 때문에 문제에갔습니다. 그러나 이제 근본 원인이 무엇인지 명확해졌습니다.

이 경우에는 해결 방법(중간 인증서를 미리 다운로드)이 없다고 생각하지만 서버를 재구성하려면? 당분간 인증 확인은 생략하겠습니다

사과 할 필요를 @hellt없는이 매우 비 명백한 일이며, 여기 좋은 회사에있어 그래서, 메이크업에 정말 일반적인 오류입니다. =)

실제로 해결 방법이 있습니다. 인증서 번들을 verify 하여 certifi의 번들 사용을 재정의할 수 있습니다. 이 번들은 루트 인증서 외에 OpenSSL에서 체인을 구축하는 데 사용할 수 있는 중간 인증서를 포함할 수 있습니다. 결과적으로 당신이 할 수 있는 일은 인증서 체인( python -c 'import certifi; print(certifi.where())' 를 실행하여 찾을 수 있는 파일에 있음)을 가져오고 파일 시스템의 다른 곳에 복사한 다음 중간 인증서를 파일에 추가하는 것입니다. 중간 파일은 PEM 형식이어야 합니다. 그런 다음 새 인증서 번들의 경로를 verify kwarg에 전달하면 모든 것이 작동하기 시작합니다.

루카,
이러한 유형의 오류가 발생하면 어떻게 합니까?
핍 설치 인증서
인증서 수집
URL https://pypi.python.org/simple/certifi/를 가져올 수 없습니다: SSL 인증서를 확인하는 데 문제가 있었습니다: [Errno 2] 해당 파일 또는 디렉터리가 없습니다. 건너뛰기
요구 사항 인증서를 충족하는 버전을 찾을 수 없습니다(버전에서: ).
인증서에 대해 일치하는 분포를 찾을 수 없습니다.

NS

PyPI에서 TLS 인증서의 유효성을 검사하는 데 문제가 있는 것 같습니다. 그러나 그 오류 메시지는 약간 놀랍습니다. 나는 그것이 어디에서 왔는지 완전히 모르지만 pip가 구성된 방식이나 Python에 문제가 있음을 시사합니다. 다른 파이썬 패키지에서 비슷한 오류가 발생합니까?

모두들 안녕,
조직의 인트라넷 내에서 Python을 사용하여 kerberos 인증을 수행하려고 하는데 이 오류가 발생합니다.

가져오기 요청
requests_kerberos에서 HTTPKerberosAuth 가져오기
r = 요청.get("https: * * * * * ", 인증=HTTPKerberosAuth())

SSLError: ("잘못된 핸드셰이크: 오류([('SSL 루틴', 'ssl3_get_server_certificate', '인증서 확인 실패')],)",)

Python용 인증서를 추가하는 방법을 아는 사람이 있습니까? 이 문제를 해결하는 데 도움이 될까요?

@ajitmuley5 요청을 사용하는 동안 귀하와 같은 질문은 StackOverflow에 속합니다. 필요한 세부 정보와 함께 이것을 게시하십시오. 오래되고 닫힌 문제에 대한 토론을 시작하지 않고 기꺼이 당신을 도울 사람들이 있습니다.

@루카사 감사합니다! sudo pip install -U requests[security]가 저에게 효과적이었습니다.

모두 감사합니다, 나는 몇 가지 아이디어를 얻었습니다!