Gebruik aparte TLS-contexten voor de proxy en website van urllib3

Laad het clientcertificaat van de HTTPS-proxy in proxy_ssl_context en laat het vertrouwen van de bestemming en elke clientidentiteit van de bestemming op ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Gebruik de daadwerkelijk goedgekeurde bestanden. proxy-roots.pem verifieert de tussenpartij; proxy-client.pem en de bijbehorende privésleutel identificeren deze client bij die tussenpartij. origin_tls behoudt het aparte vertrouwensbeleid van de bestemming.

Het https-schema van de proxy-URL is essentieel voor die eerste TLS-uitwisseling. Voor een HTTPS-doel stuurt urllib3 vervolgens CONNECT binnen de buitenste TLS-sessie en voert het website-TLS uit via de tunnel.

Als de website ook een clientcertificaat vereist, plaats dat dan op origin_tls. Hergebruik van de proxy-identiteit daar zou een andere verbinding authenticeren.

Een gewone HTTP-proxy die HTTPS vervoert heeft geen buitenste TLS-handshake. Een extra HTTP 407 is ook apart: het leveren van een clientcertificaat geeft geen gebruikersnaam/wachtwoord-gegevens.

Gerelateerde artikelen