¿Cómo hacer que las solicitudes de Python confíen en un certificado SSL autofirmado?

import requests
data = {'foo':'bar'}
url = 'https://foo.com/bar'
r = requests.post(url, data=data)

Si la URL usa un certificado autofirmado, esto falla con

requests.exceptions.SSLError: [Errno 1] _ssl.c:507: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed

Sé que puedo pasar Falseal verifyparámetro, así:

r = requests.post(url, data=data, verify=False)

Sin embargo, lo que me gustaría hacer es señalar las solicitudes a una copia de la clave pública en el disco y decirle que confíe en ese certificado.

tratar:

r = requests.post(url, data=data, verify='/path/to/public_key.pem')

Con el verifyparámetro puede proporcionar un paquete de autoridad certificadora personalizado

requests.get(url, verify=path_to_bundle_file)

De los documentos :

Puede pasar verifyla ruta a un archivo CA_BUNDLE con certificados de CA confiables. Esta lista de CA de confianza también se puede especificar mediante la variable de entorno REQUESTS_CA_BUNDLE.

Lo más fácil es exportar la variable REQUESTS_CA_BUNDLEque apunta a su autoridad de certificación privada o un paquete de certificados específico. En la línea de comando puede hacerlo de la siguiente manera:

export REQUESTS_CA_BUNDLE=/path/to/your/certificate.pem
python script.py

Si tiene su autoridad de certificación y no desea escribir el exportcada vez, puede agregar el REQUESTS_CA_BUNDLEa su de la ~/.bash_profilesiguiente manera:

echo "export REQUESTS_CA_BUNDLE=/path/to/your/certificate.pem" >> ~/.bash_profile ; source ~/.bash_profile

El caso en el que se necesitan varios certificados se resolvió de la siguiente manera: Concatenar los archivos pem raíz múltiples, myCert-A-Root.pem y myCert-B-Root.pem, en un archivo. Luego, configure las solicitudes REQUESTS_CA_BUNDLE var en ese archivo en mi ./.bash_profile.

$ cp myCert-A-Root.pem ca_roots.pem
$ cat myCert-B-Root.pem >> ca_roots.pem
$ echo "export REQUESTS_CA_BUNDLE=~/PATH_TO/CA_CHAIN/ca_roots.pem" >> ~/.bash_profile ; source ~/.bash_profile

La configuración export SSL_CERT_FILE=/path/file.crtdebería hacer el trabajo.

En caso de que alguien aterrice aquí (como lo hice yo) y busque agregar una CA (en mi caso Charles Proxy) para httplib2, parece que puede agregarlo al cacerts.txtarchivo incluido con el paquete de python.

Por ejemplo:

cat ~/Desktop/charles-ssl-proxying-certificate.pem >> /usr/local/google-cloud-sdk/lib/third_party/httplib2/cacerts.txt

Las variables de entorno a las que se hace referencia en otras soluciones parecen ser específicas de las solicitudes y no fueron recogidas por http:

Puede intentar:

settings = s.merge_environment_settings(prepped.url, None, None, None, None)

Puede leer más aquí: http://docs.python-requests.org/en/master/user/advanced/