python - 如何使用 python 解码 SSL 证书？

Question

如何使用 Python 解码 pem 编码（base64）证书？例如这里来自 github.com：

根据ssl-shopper它应该是这样的：

Common Name: github.com
Subject Alternative Names: github.com, www.github.com
Organization: GitHub, Inc.
Locality: San Francisco
State: California
Country: US
Valid From: May 26, 2011
Valid To: July 29, 2013

如何使用 python 获取此明文？

score 58 · Accepted Answer

Python 的标准库，即使在最新版本中，也不包含任何可以解码 X.509 证书的内容。但是，附加cryptography包确实支持这一点。引用文档中的示例：

>>> from cryptography import x509
>>> from cryptography.hazmat.backends import default_backend
>>> cert = x509.load_pem_x509_certificate(pem_data, default_backend())
>>> cert.serial_number
2

另一个可能是一个选项的附加包是pyopenssl. 这是围绕 OpenSSL C API 的一个薄包装，这意味着它可以做你想做的事，但预计要花几天时间在文档上撕下你的头发。

如果你不能安装 Python 附加包，但你有openssl命令行实用程序，

import subprocess
cert_txt = subprocess.check_output(["openssl", "x509", "-text", "-noout", 
                                    "-in", certificate])

应该产生与您从cert_txt.

顺便说一句，直接进行 base64 解码给你二进制 gobbledygook 的原因是这里有两层编码。 X.509 证书是ASN.1数据结构，序列化为X.690 DER格式，然后，由于 DER 是二进制格式，因此采用 base64-armored 以便于文件传输。（这方面的许多标准都是在 90 年代编写的，当时除了 7 位 ASCII 外，您无法可靠地发布任何东西。）

score 32 · Accepted Answer

您可以使用pyasn1和pyasn1-modules包来解析这种数据。例如：

from pyasn1_modules import pem, rfc2459
from pyasn1.codec.der import decoder

substrate = pem.readPemFromFile(open('cert.pem'))
cert = decoder.decode(substrate, asn1Spec=rfc2459.Certificate())[0]
print(cert.prettyPrint())

其余部分请阅读 pyasn1 的文档。

score 23 · Accepted Answer

备注：

一切都依赖于 ( !!!undocumented!!! ) ssl._ssl._test_decode_cert
(存在于Python ( 3 / 2 )，不需要额外的模块
请看一下[SO]: Can't receive peer certificate in Python client using OpenSSL's ssl.SSLContext() (@CristiFati's answer)，它解决了更广泛的问题

关于问题中的证书（PEM）：

将其保存在名为q016899247.crt的文件中（在脚本 ( code00.py ) dir中）
结束标签： (" -----END CERTIFICATE---- ") 末尾缺少连字符( - )；在问题@VERSION #4 中更正。)

代码00.py：

#!/usr/bin/env python3

import sys
import os
import ssl
import pprint


def main(*argv):
    cert_file_base_name = "q016899247.crt"
    cert_file_name = os.path.join(os.path.dirname(__file__), cert_file_base_name)
    try:
        cert_dict = ssl._ssl._test_decode_cert(cert_file_name)
    except Exception as e:
        print("Error decoding certificate: {0:}".format(e))
    else:
        print("Certificate ({0:s}) data:\n".format(cert_file_base_name))
        pprint.pprint(cert_dict)


if __name__ == "__main__":
    print("Python {0:s} {1:d}bit on {2:s}\n".format(" ".join(item.strip() for item in sys.version.split("\n")), 64 if sys.maxsize > 0x100000000 else 32, sys.platform))
    rc = main(sys.argv[1:])
    print("\nDone.")
    sys.exit(rc)

输出：

[cfati@CFATI-5510-0:e:\Work\Dev\StackOverflow\q016899247]> "e:\Work\Dev\VEnvs\py_064_03.07.03_test0\Scripts\python.exe" code00.py
Python 3.7.3 (v3.7.3:ef4ec6ed12, Mar 25 2019, 22:22:05) [MSC v.1916 64 bit (AMD64)] 64bit on win32

Certificate (q016899247.crt) data:

{'OCSP': ('http://ocsp.digicert.com',),
 'caIssuers': ('http://www.digicert.com/CACerts/DigiCertHighAssuranceEVCA-1.crt',),
 'crlDistributionPoints': ('http://crl3.digicert.com/ev2009a.crl',
                           'http://crl4.digicert.com/ev2009a.crl'),
 'issuer': ((('countryName', 'US'),),
            (('organizationName', 'DigiCert Inc'),),
            (('organizationalUnitName', 'www.digicert.com'),),
            (('commonName', 'DigiCert High Assurance EV CA-1'),)),
 'notAfter': 'Jul 29 12:00:00 2013 GMT',
 'notBefore': 'May 27 00:00:00 2011 GMT',
 'serialNumber': '0E77768A5D07F0E57959CA2A9D5082B5',
 'subject': ((('businessCategory', 'Private Organization'),),
             (('jurisdictionCountryName', 'US'),),
             (('jurisdictionStateOrProvinceName', 'California'),),
             (('serialNumber', 'C3268102'),),
             (('countryName', 'US'),),
             (('stateOrProvinceName', 'California'),),
             (('localityName', 'San Francisco'),),
             (('organizationName', 'GitHub, Inc.'),),
             (('commonName', 'github.com'),)),
 'subjectAltName': (('DNS', 'github.com'), ('DNS', 'www.github.com')),
 'version': 3}

Done.

score 4 · Accepted Answer

此代码转储证书文件内容：

import OpenSSL.crypto

cert = OpenSSL.crypto.load_certificate(
      OpenSSL.crypto.FILETYPE_PEM,
      open('/path/to/cert/file.crt').read()
)

print OpenSSL.crypto.dump_certificate(OpenSSL.crypto.FILETYPE_TEXT, cert)

搏一搏。

score 3 · Accepted Answer

这允许从 SSL 证书中提取某些值：

from cryptography import x509
from cryptography.hazmat.backends import default_backend

hostname = 'google.com.com'
port = 443
cert = ssl.get_server_certificate((hostname, port))
certDecoded = x509.load_pem_x509_certificate(str.encode(cert), 
default_backend())
print(certDecoded.issuer)
print(certDecoded.subject)
print(certDecoded.not_valid_after)
print(certDecoded.not_valid_before)

score 1 · Accepted Answer

您可以从这里下载代码。它纯粹是从 .pem 和 .cer 类型的证书中提取数据。

否则，可以使用以下代码段解码 pem 证书：

    #import pem & pyOpenSSL module

    certs = pem.parse_file(file_path)  # using pem module
    for pem_certificates in certs:
        strcert = str(pem_certificates)
        loadCert = OpenSSL.crypto.load_certificate(OpenSSL.crypto.FILETYPE_PEM,strcert)
        print(loadCert.get_issuer())```

score 0 · Accepted Answer

还有另一种_test_decode_certificate不使用内部实现的使用方法。不过，它以不同的方式有点hacky

import ssl

ctx = ssl.SSLContext()

# The filepath to your PEM-encoded x509 cert
ctx.load_verify_locations("369fa1ef21f5476c02814c637d83f71d851f867348eef21d1eb0058671d0e5a6.crt")

certificate_details = ctx.get_ca_certs()

_decode_certificate在后台，这是使用的函数的另一个入口点_test_decode_certificate。

您可以在 CPython 源代码https://github.com/python/cpython/blob/main/Modules/_ssl.c#L4578中查看其工作原理

score -2 · Accepted Answer

我不确定您是如何收到它的，但是另一种安装它的简单方法是将其编写为二进制文件，然后使用 os 运行它

import os

cert= function_gives_binary_cert()
with open('RecvdCert.der','wb') as file:
     file.write(cert)

os.startfile('RecvdCert.der')

小心运行从未知来源接收到的二进制文件。只想解码然后使用其他答案中提到的 OpenSSL。

python - 如何使用 python 解码 SSL 证书？

8 回答 8

Related

Reference