我一直在尝试在 MacOS X 10.9.5 和 Python 2.7.9 下使用Python-LDAP （版本 2.4.19）
我想在调用后验证我与给定 LDAP 服务器的连接.start_tls_s()（或者如果无法验证证书，则让方法引发和异常）。（我也想检查 CRL，但那是另一回事）。
这是我的代码：
#!python
#!/usr/bin/env python
import ConfigParser, os, sys
import ldap
CACERTFILE='./ca_ldap.bad'
## CACERTFILE='./ca_ldap.crt'
config = ConfigParser.ConfigParser()
config.read(os.path.expanduser('~/.ssh/creds.ini'))
uid = config.get('LDAP', 'uid')
pwd = config.get('LDAP', 'pwd')
svr = config.get('LDAP', 'svr')
bdn = config.get('LDAP', 'bdn')
ld = ldap.initialize(svr)
ld.protocol_version=ldap.VERSION3
ld.set_option(ldap.OPT_DEBUG_LEVEL, 255 )
ld.set_option(ldap.OPT_PROTOCOL_VERSION, 3)
ld.set_option(ldap.OPT_X_TLS_CACERTFILE, CACERTFILE)
ld.set_option(ldap.OPT_X_TLS_DEMAND, True )
ld.set_option(ldap.OPT_X_TLS_REQUIRE_CERT, ldap.OPT_X_TLS_HARD)
## From: https://stackoverflow.com/a/7810308/149076
## and : http://python-ldap.cvs.sourceforge.net/viewvc/python-ldap/python-ldap/Demo/initialize.py?revision=1.14&view=markup
ld.start_tls_s()
for each in dir(ldap):
if 'OPT_X_TLS' in each:
try:
print '\t*** %s: %s' % (each, ld.get_option((getattr(ldap, each))))
except Exception, e:
print >> sys.stderr, '... Except %s: %s\n' % (each, e)
ld.simple_bind_s(uid, pwd)
results = ld.search_s(bdn, ldap.SCOPE_SUBTREE)
print 'Found %s entries under %s' % (len(results), bdn)
sys.exit()
如评论中所述，我从https://stackoverflow.com/a/7810308/149076和http://python-ldap.cvs.sourceforge.net/viewvc/python-ldap/python-ldap复制了大部分内容/Demo/initialize.py?revision=1.14&view=markup ...尽管我已经尝试了许多变体和序列。
如图所示，我有两个文件代表一个错误的证书，一个应该可以工作（它实际上取自我们的一个系统，该系统配置为运行sssd（系统安全服务守护程序），假定它正在正确检查这一点。
在“坏”副本中，我只是简单地将每个密钥行的第一个字符替换为字母“x”，假设这会损坏 CA 密钥并导致任何尝试验证签名链的代码失败。
但是，Python LDAP 代码似乎忽略了这一点；即使我将其设置为/dev/null或完全伪造的路径，我的代码仍然运行，仍然绑定到 LDAP 服务器并且仍然完成我的搜索请求。
所以问题是，我如何让它按预期“失败”（或者，更广泛地说，我如何防止我的代码容易受到 MITM (Mallory) 攻击？
如果在这个讨论中有任何后果，这里是我的 OpenSSL 版本：
$ openssl version
OpenSSL 0.9.8za 5 Jun 2014
LDAP 服务器正在运行 OpenLDAP，但我不知道有关其版本或配置的任何详细信息。
这是我的代码的示例输出：
*** OPT_X_TLS: 0
*** OPT_X_TLS_ALLOW: 0
*** OPT_X_TLS_CACERTDIR: None
*** OPT_X_TLS_CACERTFILE: /bogus/null
*** OPT_X_TLS_CERTFILE: None
*** OPT_X_TLS_CIPHER_SUITE: None
*** OPT_X_TLS_CRLCHECK: 0
*** OPT_X_TLS_CRLFILE: None
*** OPT_X_TLS_CRL_ALL: 1
*** OPT_X_TLS_CRL_NONE: {'info_version': 1, 'extensions': ('X_OPENLDAP', 'THREAD_SAFE', 'SESSION_THREAD_SAFE', 'OPERATION_THREAD_SAFE', 'X_OPENLDAP_THREAD_SAFE'), 'vendor_version': 20428, 'protocol_version': 3, 'vendor_name': 'OpenLDAP', 'api_version': 3001}
*** OPT_X_TLS_CRL_PEER: 3
... Except OPT_X_TLS_CTX: unknown option 24577
*** OPT_X_TLS_DEMAND: 1
*** OPT_X_TLS_DHFILE: None
*** OPT_X_TLS_HARD: 3
*** OPT_X_TLS_KEYFILE: None
*** OPT_X_TLS_NEVER: {'info_version': 1, 'extensions': ('X_OPENLDAP', 'THREAD_SAFE', 'SESSION_THREAD_SAFE', 'OPERATION_THREAD_SAFE', 'X_OPENLDAP_THREAD_SAFE'), 'vendor_version': 20428, 'protocol_version': 3, 'vendor_name': 'OpenLDAP', 'api_version': 3001}
... Except OPT_X_TLS_NEWCTX: unknown option 24591
*** OPT_X_TLS_PACKAGE: OpenSSL
*** OPT_X_TLS_PROTOCOL_MIN: 0
*** OPT_X_TLS_RANDOM_FILE: None
*** OPT_X_TLS_REQUIRE_CERT: 1
*** OPT_X_TLS_TRY: 0
Found 883 entries under [... redacted ...]