-2

Estou fazendo um servidor de mensagens p2p e quero autenticar usuários. Ao procurar na internet, encontrei isso aqui:

context.verify_mode = ssl.CERT_REQUIRED;#
context.load_verify_locations(cafile=ca_bundle);
context.check_hostname = False;

De acordo com o python.org a primeira linha forçaria uma autenticação de cliente mandatória. A segunda linha carrega o bundle de certificados para autenticação do certificado em questão. A terceira linha é apenas por que minha rede usa IP dinâmico, então eu uso identificadores como "common name" na hora de gerar os certificados, então eu uso essa linha para evitar que verifique o IP do certificado.

Eu consigo gerar os certificados sem problema, mas queria ter certeza que estou implementando o protocolo corretamente, isto é, esse código acima está certo?

Caso contrário, teria alguma biblioteca capaz de lidar desse tipo de conexão? Ou seria melhor eu implementar o protocolo eu mesmo?

Qualquer comentário é bem vindo!

Essa aqui é a minha tentativa:

cliente

import socket, ssl, sys
import time
client_number = "5502199999999";#eu uso números de celular como 'common name'
CERT_AU = "arquiv_com_certificado_da_CA.pem"
CERT_1 = "arquivo_com_o_certificado_do_cliente.pem"
KEY = "arquivo_com_a_chave_privada_do_cliente.pem"
sock = socket.socket(socket.AF_INET);
context = ssl.create_default_context(ssl.Purpose.SERVER_AUTH);
context.set_ciphers('EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH')
context.check_hostname = False;
context.load_cert_chain(certfile=CERT_1, keyfile=KEY)
context.load_verify_locations(cafile=CERT_AU);
conn = context.wrap_socket(sock);

x1 = time.perf_counter();
conn.connect(('192.168.0.107', 50052));
resposta = conn.recv();
resposta = resposta.decode('UTF-8');
if resposta == "???":
    conn.write(bytes(sys.argv[1],"utf-8"));
    resposta = conn.recv();
    conn.close();

servidor

import ssl, socket, sys
from threading import *
from _thread import *
from datetime import datetime

sock = socket.socket();
sock.bind(('', port_ssl));
sock.listen(5);
context = ssl.create_default_context(ssl.Purpose.CLIENT_AUTH);
context.load_cert_chain(certfile=my_cert, keyfile=private_key);
'''
As próximas 3 linhas são utilizadas para obrigar o cliente a enviar
seu próprio certificado, o qual o script vai checar para ver se é efetivamente válido dado o ca_bundle oferecido.
Mais detalhes: https://docs.python.org/3.8/library/ssl.html#ssl.CERT_REQUIRED
'''
context.verify_mode = ssl.CERT_REQUIRED;#
context.load_verify_locations(cafile=ca_bundle);
context.check_hostname = False;
'''
Não usamos o check_hostname pq ele é voltado para IP e acaba dando um erro (Ele verifica o IP local fornecido)
'''
context.options |= ssl.OP_NO_TLSv1 | ssl.OP_NO_TLSv1_1  # optional
context.set_ciphers('EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH')

file = open("client_1.txt", "a");
file.write("conexao_ssl iniciou\n-----------\n");
file.close();

while True:
    ssock, addr = sock.accept();

    start_new_thread(recebimento_individual, (ssock, context));

print("Servidor desligando!");

def recebimento_individual(ssock, context):
    try:    
        print("=================");
        conn = context.wrap_socket(ssock, server_side=True);
        '''
        Pegando o 'common name' do certificado, isto é, o nome do
        do dono do certificado.
        '''
        cert = conn.getpeercert(binary_form=False);
        cert_name = cert['subjectAltName'][0][1];
        print(cert_name);
        '''
        Essas duas linhas indicam para o remetente que conexão foi aceita e que podemos receber a mensagem.
        '''
        conn.write(bytes("???","utf-8"));
        x = conn.recv().decode('UTF-8');
        
        lock.acquire();
        file = open("client_1.txt", "a");
        file.write(str(datetime.now()) + ":::" + cert_name + ":::" + x);
        file.write("\n");
        file.close();
        lock.release();

    except ssl.SSLError as e:
        print("==receber==\n");
        print(e);

    except Exception as e:
        print(e);

    finally:
        conn.close()

A minha pergunta é se essas duas linhas aqui:

context.verify_mode = ssl.CERT_REQUIRED;#
context.load_verify_locations(cafile=ca_bundle);

Fazem a verificação completa do certificado do cliente. Isto é, se elas analisam a assinatura do cliente e determinam que ele tem a chave privada correspondente a chave pública do certificado.

Eu quero fazer isso para autenticar meus usuários.

Nesse meio tempo eu encontrei esse que eu acho que comprova isso, mas eu queria uma fonte mais oficial.

Qualquer comentário é bem vindo

2
  • Você está perguntando sem nem mesmo ter tentado implementar? Creio que podemos ajudar uma vez que você tenha feito a implementação da autenticação e, caso obtenha algum erro/dúvida, criar uma pergunta direta a respeito do que precisa.
    – slayer
    Commented 11/12/2021 às 16:22
  • 1
    Eu implementei, vou copiar e colocar o código aqui. Só não tenho certeza se é realmente isso. Commented 11/12/2021 às 18:15

1 Resposta 1

1

Após muita pesquisa, finalmente encontrei um exemplo (antigo) do uso do módulo SSL do python para autenticação de cliente:

#!/usr/bin/python3

import socket
import ssl

host_addr = '127.0.0.1'
host_port = 9001
hostname = 'www.ugtransportes.com.br'
server_cert = 'server.crt'
client_cert = 'client.crt'
client_key = 'client.key'

context = ssl.create_default_context(ssl.Purpose.SERVER_AUTH, cafile=server_cert)
context.load_cert_chain(certfile=client_cert, keyfile=client_key)

sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
ssock = context.wrap_socket(sock, server_side=False, server_hostname=hostname)
ssock.connect((host_addr, host_port))

ssock.send(b"Mensagem do cliente 1")

ssock.close()

Salvo engano, acredito que meus exemplos de cliente/servidor estão corretos. Agradeço a ajuda.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .