Jak mogę zmusić LWP do walidacji certyfikatów serwera SSL?

Istnieją dwa sposoby, w zależności od zainstalowanego modułu SSL. Docs LWP zaleca instalację Crypt:: SSLeay. Jeśli to właśnie zrobiłeś, Ustaw zmienną środowiskową HTTPS_CA_FILE tak, aby wskazywała na Twój Pakiet ca.crt powinno załatwić sprawę. (the Crypt:: SSLeay docs wspomina o tym, ale jest nieco lekka w szczegółach). Ponadto, w zależności od konfiguracji, może być konieczne ustawienie zmiennej środowiskowej HTTPS_CA_DIR.

Przykład dla Crypt:: SSLeay:

use LWP::Simple qw(get);
$ENV{HTTPS_CA_FILE} = "/path/to/your/ca/file/ca-bundle";
$ENV{HTTPS_DEBUG} = 1;

print get("https://some-server-with-bad-certificate.com");

__END__
SSL_connect:before/connect initialization
SSL_connect:SSLv2/v3 write client hello A
SSL_connect:SSLv3 read server hello A
SSL3 alert write:fatal:unknown CA
SSL_connect:error in SSLv3 read server certificate B
SSL_connect:error in SSLv3 read server certificate B
SSL_connect:before/connect initialization
SSL_connect:SSLv3 write client hello A
SSL_connect:SSLv3 read server hello A
SSL3 alert write:fatal:bad certificate
SSL_connect:error in SSLv3 read server certificate B
SSL_connect:before/connect initialization
SSL_connect:SSLv2 write client hello A
SSL_connect:error in SSLv2 read server hello B

Zwróć uwagę, że get nie zwraca die, ale zwraca undef.

Alternatywnie możesz użyć modułu IO::Socket::SSL (dostępnego również z CPAN). Aby zweryfikować certyfikat serwera, musisz zmodyfikować domyślne ustawienia kontekstu SSL:

use IO::Socket::SSL qw(debug3);
use Net::SSLeay;
BEGIN {
    IO::Socket::SSL::set_ctx_defaults(
        verify_mode => Net::SSLeay->VERIFY_PEER(),
        ca_file => "/path/to/ca-bundle.crt",
      # ca_path => "/alternate/path/to/cert/authority/directory"
    );
}
use LWP::Simple qw(get);

warn get("https:://some-server-with-bad-certificate.com");

Ta wersja powoduje również, że get() zwraca undef, ale wyświetla ostrzeżenie do STDERR podczas jego wykonywania (jak również kilka debugowania, jeśli zaimportujesz symbole debugowania * z IO:: Socket:: SSL):

% perl ssl_test.pl
DEBUG: .../IO/Socket/SSL.pm:1387: new ctx 139403496
DEBUG: .../IO/Socket/SSL.pm:269: socket not yet connected
DEBUG: .../IO/Socket/SSL.pm:271: socket connected
DEBUG: .../IO/Socket/SSL.pm:284: ssl handshake not started
DEBUG: .../IO/Socket/SSL.pm:327: Net::SSLeay::connect -> -1
DEBUG: .../IO/Socket/SSL.pm:1135: SSL connect attempt failed with unknown errorerror:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed

DEBUG: .../IO/Socket/SSL.pm:333: fatal SSL error: SSL connect attempt failed with unknown errorerror:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
DEBUG: .../IO/Socket/SSL.pm:1422: free ctx 139403496 open=139403496
DEBUG: .../IO/Socket/SSL.pm:1425: OK free ctx 139403496
DEBUG: .../IO/Socket/SSL.pm:1135: IO::Socket::INET configuration failederror:00000000:lib(0):func(0):reason(0)
500 Can't connect to some-server-with-bad-certificate.com:443 (SSL connect attempt failed with unknown errorerror:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed) 

Wylądowałem na tej stronie szukając sposobu na obejście walidacji SSL, ale wszystkie odpowiedzi były nadal bardzo pomocne. Oto moje ustalenia. Dla tych, którzy chcą ominąć walidację SSL (nie zaleca się, ale mogą być przypadki, w których absolutnie będziesz musiał), jestem na lwp 6.05 i to działało dla mnie: {]}

use strict;
use warnings;
use LWP::UserAgent;
use HTTP::Request::Common qw(GET);
use Net::SSL;

my $ua = LWP::UserAgent->new( ssl_opts => { verify_hostname => 0 }, );
my $req = GET 'https://github.com';
my $res = $ua->request($req);
if ($res->is_success) {
    print $res->content;
} else {
    print $res->status_line . "\n";
}

Testowałem również na stronie z postem i to również działało. Kluczem jest użycie net:: SSL wraz z verify_hostname = 0.

Jeśli używasz LWP::UserAgent bezpośrednio (nie przez LWP::Simple), możesz zweryfikować nazwę hosta w certyfikacie, dodając nagłówek" If-SSL-Cert-Subject " do swojego HTTP::Request obiekt. Wartość nagłówka jest traktowana jako wyrażenie regularne, które ma być zastosowane w przedmiocie certyfikatu, a jeśli nie pasuje, żądanie nie powiedzie się. Na przykład:

#!/usr/bin/perl 
use LWP::UserAgent;
my $ua = LWP::UserAgent->new();
my $req = HTTP::Request->new(GET => 'https://yourdomain.tld/whatever');
$req->header('If-SSL-Cert-Subject' => '/CN=make-it-fail.tld');

my $res = $ua->request( $req );

print "Status: " . $res->status_line . "\n"

Wydrukuje

Status: 500 Bad SSL certificate subject: '/C=CA/ST=Ontario/L=Ottawa/O=Your Org/CN=yourdomain.tld' !~ //CN=make-it-fail.tld/

Wszystkie przedstawione tutaj rozwiązania zawierają poważną wadę bezpieczeństwa, ponieważ weryfikują tylko Ważność łańcucha zaufania certyfikatu, ale nie porównują wspólnej nazwy certyfikatu z nazwą hosta, z którym się łączysz. Tak więc człowiek w środku może przedstawić Ci arbitralny certyfikat, a LWP chętnie go zaakceptuje, o ile jest podpisany przez zaufany urząd certyfikacji. Nazwa zwyczajowa fałszywego certyfikatu jest nieistotna, ponieważ nigdy nie jest sprawdzana przez LWP.

Jeśli używasz IO::Socket::SSL jako LWP backend, możesz włączyć weryfikację nazwy zwyczajowej, ustawiając parametr verifycn_scheme w następujący sposób:

use IO::Socket::SSL;
use Net::SSLeay;
BEGIN {
    IO::Socket::SSL::set_ctx_defaults(
        verify_mode => Net::SSLeay->VERIFY_PEER(),
        verifycn_scheme => 'http',
        ca_path => "/etc/ssl/certs"
    );
}

Możesz również rozważyć Net:: SSLGlue ( http://search.cpan.org/dist/Net-SSLGlue/lib/Net/SSLGlue.pm ) ale uważaj, to zależy od najnowszych wersji IO:: Socket:: SSL I Net:: SSLeay.

Masz rację, że się tym przejmujesz. Niestety, nie sądzę, aby można było to zrobić w 100% bezpiecznie pod żadnym z niskopoziomowych wiązań SSL / TLS, na które patrzyłem dla Perla.

Zasadniczo musisz podać nazwę hosta serwera, który chcesz połączyć z biblioteką SSL, zanim rozpocznie się handshaking. Alternatywnie, można zorganizować dla callback do wystąpienia w odpowiednim momencie i przerwać uścisk dłoni z wewnątrz callback, jeśli nie sprawdzić. Ludzie piszący Perla wiązania do OpenSSL wydawały się mieć problemy z konsekwentnym tworzeniem interfejsu zwrotnego.

Metoda sprawdzania nazwy hosta względem cert serwera zależy również od protokołu. Więc to musi być parametr dla każdej funkcji doskonałej.

Możesz sprawdzić, czy są jakieś powiązania z biblioteką Netscape/Mozilla NSS. Wydawało mi się, że robi to całkiem dobrze, kiedy na to spojrzałem.

Wystarczy wykonać następujące polecenie w Terminalu: sudo cpan install Mozilla:: CA

Powinno to rozwiązać.