Používajte oddelené kontexty TLS pre proxy a web urllib3

Načítajte klientsky certifikát HTTPS proxy do proxy_ssl_context a dôveru cieľa aj akúkoľvek identitu klientskeho cieľa nechajte na ssl_context.

import ssl
import urllib3

proxy_tls = ssl.create_default_context(cafile='proxy-roots.pem')
proxy_tls.load_cert_chain('proxy-client.pem', 'proxy-client.key')
origin_tls = ssl.create_default_context()

with urllib3.ProxyManager(
    'https://proxy.example:8443',
    proxy_ssl_context=proxy_tls,
    ssl_context=origin_tls,
    timeout=urllib3.Timeout(connect=5, read=15),
) as http:
    response = http.request('GET', 'https://service.example/data')

Používajte skutočné schválené súbory. proxy-roots.pem overuje prostredníka; proxy-client.pem a zodpovedajúci súkromný kľúč identifikujú tohto klienta voči tomuto prostredníkovi. origin_tls zachováva oddelenú zásadu dôvery cieľa.

Schéma https v URL proxy je pre túto prvú výmenu TLS zásadná. Pre cieľ HTTPS potom urllib3 odošle CONNECT vo vnútri vonkajšej relácie TLS a vykoná TLS webu tunelom.

Ak web vyžaduje aj klientsky certifikát, vložte ho do origin_tls. Opätovné použitie identity proxy by tam autentizovalo iné spojenie.

Bežná HTTP proxy prenášajúca HTTPS nemá vonkajší TLS handshake. Ďalší HTTP 407 je tiež oddelený: poskytnutie klientskeho certifikátu nedodáva prihlasovacie údaje používateľ/heslo.

Súvisiace články