2

Подскажите, как используя pyOpenSSL, получить данные из сертификата (имя организации, адрес и т.п)? Насколько я понял, надо использовать OpenSSL.crypto.X509Name.get_components. Найти пример мне не удалось, а самостоятельно решить задачу не смог.

Пример сертификата

7

2 ответа 2

5

Чтобы без затруднений извлекать необходимую информацию из x509 сертификата полезно иметь представление о DER кодировке и его ASN.1 описании, изложенном в rfc 5280.

Обычно работать со структурами данными, заданными через ASN.1, не очень удобно: бинарный формат, не нужная строгость, увеличивающая сложность без толку, для одних данных и игнорирование полезных ограничений в большинстве реализаций для других -- достаточно посмотреть как DirectoryString интерпретируется. На практике, некоторые поля в сертификате могут по-разному интерпретироваться разными инструментами. Даже для задач средней сложности приходится изучать исходный код, соответствующих библиотек, чтобы понять как добраться до желаемых данных в нужном формате.

В простых случаях, можно просто преобразовать в более человеческий формат нужный участок сертификата, например, чтобы прочитать Subject сертификата из файла и сконвертировать его в JSON формат, используя asn1crypto модуль:

#!/usr/bin/env python
import json
import sys
from asn1crypto import x509  # $ pip install asn1crypto

with open(sys.argv[1], 'rb') as der_file:
    cert = x509.Certificate.load(der_file.read()) # see cert.debug()
    json.dump(cert.subject.native, sys.stdout, indent=2, ensure_ascii=False)

asn1crypto это чистый Питон и не использует openssl. Интерфейс более приятный чем аналоги, но реализация не очень добротная, например, модуль ломается на Jython.

pyOpenSSL

#!/usr/bin/env python
import json
import sys
from OpenSSL import crypto  # $ pip install pyopenssl

with open(sys.argv[1], 'rb') as der_file:
    x509 = crypto.load_certificate(crypto.FILETYPE_ASN1, der_file.read())

json.dump({name.decode(): value.decode('utf-8')
           for name, value in x509.get_subject().get_components()},
          sys.stdout, indent=2, ensure_ascii=False)

pyOpenSSL сейчас наиболее используемая openssl обёртка для Питона.

M2Crypto

#!/usr/bin/env python2
import json
import sys
from M2Crypto import X509

der_cert_filename = sys.argv[1]
cert = X509.load_cert(der_cert_filename, X509.FORMAT_DER)
x509name = cert.get_subject()
json.dump({nid: getattr(x509name, nid).decode('utf-8')
           for nid in x509name.nid if getattr(x509name, nid)},
          sys.stdout, indent=2, ensure_ascii=False, sort_keys=True)

M2Crypto библиотека первоначально была наиболее полной обёрткой для openssl. Реализация была долгое время заброшена. Сейчас снова поддерживается.

cryptography

#!/usr/bin/env python
import json
import sys

from cryptography import x509  # $ pip install cryptography
from cryptography.hazmat.backends import default_backend

oid2name = x509.oid._OID_NAMES
with open(sys.argv[1], 'rb') as der_file:
    cert = x509.load_der_x509_certificate(der_file.read(),
                                          backend=default_backend())
    json.dump({oid2name.get(name.oid) or name.oid.dotted_string: name.value
               for name in cert.subject},
              sys.stdout, indent=2, ensure_ascii=False)

pyasn1

#!/usr/bin/env python
import json
import sys
from collections import OrderedDict
from pyasn1.codec.der.decoder import decode  # $ pip install pyasn1
from pyasn1_modules import rfc2459  # $ pip install pyasn1_modules

OID = rfc2459.AttributeType
oid2name = {  # rfc 5280 (successor of rfc 2459)
    OID('2.5.4.3'): 'commonName',
    OID('2.5.4.5'): 'serialNumber',
    OID('2.5.4.6'): 'countryName',
    OID('2.5.4.7'): 'localityName',
    OID('2.5.4.8'): 'stateOrProvinceName',
    OID('2.5.4.9'): 'streetAddress',
    OID('2.5.4.10'): 'organizationName',
    OID('2.5.4.11'): 'organizationalUnitName',
    OID('2.5.4.17'): 'postalCode',
}
with open(sys.argv[1], 'rb') as der_file:
    cert, rest = decode(der_file.read(), asn1Spec=rfc2459.Certificate())
    assert not rest  # file contains only the certificate
    rdnsequence, = cert['tbsCertificate']['subject']
    d = OrderedDict()
    for rdn, in rdnsequence:  # NOTE: rdn.prettyPrintType() is your friend
        comp, rest = decode(rdn['value'], asn1Spec=rfc2459.X520name())
        assert not rest
        assert comp.getName() == 'utf8String'
        d[oid2name[rdn['type']]] = bytes(comp['utf8String']).decode('utf-8')
    json.dump(d, sys.stdout, indent=2, ensure_ascii=False)

pyasn1 находится в самом основании зависимостей и не использует C openssl. pyasn1 работает на Python 2, Python 3, Pypy, Jython. Текущая реализация pyOpenSSL зависит от cryptography, которая зависит от pyasn1 и C openssl.

Только первый пример (с asn1crypto) может поддерживать вложенные структуры без изменений в коде (.native вызывается рекурсивно и возвращает подходящие структуры данных, например, collections.OrderedDict в примере).

Не всегда и не все строки обязаны быть UTF8String в сертификате.

Примеры показывают, что даже в простейшем случае, результаты (имена полей в данном случае) могут различаться для одного и того же ввода.

Также информацию можно получить в командной строке, с помощью openssl asn1parse:

$ openssl asn1parse -inform DER -in сертификат.crt
0

Например при помощи модуля pyOpenSSL

0

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.