python3 cryptography x509
Mein altes certrenew.sh skript vom März 2017 tut nicht mehr.
Da wurde mit tempfiles, awk, sed und wildem Gescripte ein Cert per openssl s_client
runtergeladen, umgebaut und mit neuem key zu einem CertificateSigningRequest zusammengebaut.
Vermutlich hat sich der Output von OpenSSL leicht veraendert und tschoing, schepper
nix geht mehr.
Also das ganze nochmal in Python, mit dem allseits verwendeten Module cryptography.
Das hat AFAICS keine Moeglichkeit, um ein Cert von einem laufenden Service
runterzuladen (dazu muesste es SSL, TLS und mindestens noch STARTTLS koennen). Also
mit socket + ssl (standard-libraries in Python) probiert. Das ssl hat tatsaechlich eine
getpeercert() Methode, aber die liefert ein Dictionary von Strings, zu denen man dann
raten kann, aus welcher abgedrehten X.503-Erweiterung sie stammen, bzw was die ObjectID
von der Erweiterung ist. Also doch wieder openssl, Zert rausparsen und in
cryptography.x509.load_pem_x509_certificate() stopfen. Das stirbt sofort, und liefert
als fehlermeldung einen Link aufs FAQ Why can't i import my pem file.
D.h. das ist eine beliebte Frage, es geht nicht, und sie fixens nicht. Ein wegdokumentierter Bug.
Der besteht darin, dass man einen String uebergeben muss, der mit
-----BEGIN
losgeht, mit dem passenden
-----END
endet, und dazwischen duerfen nur Zeilen zu exakt 64 Zeichen stehen. Also wiiiieeder
elendes Stringzerparsen und -umformen.
Ok, fein, er frisst das Zert, und man kann alle Extensions rausholen.
Aber die leben in einer eigenen Welt/Namensraum, der nicht der
gleiche ist, wie die, aus denen man CertificateRequests bauen kann.
Dort sinds naemlich ExtensionTypes statt Extensions.
Und es gibt keine Konvertierfunktionen AFAICS. Also wiiiieeeder von hand die OIDs
in absurde Aufrufe wie
csr.add_extension(x509.ExtendedKeyUsage([x509.oid.ObjectIdentifier('2.5.29.37.1')]), critical=True)
stopfen, und wenn das DFN-CERT mal beschliesst, andere in die Zerts zu packen, dann
verwerfen Sie die Antraege aus meinem Code...
Nebenbei bemerkt, dass die OIDs nicht etwa in zwei sauberen Dicts oder davon abgeleiteten
Strukturen gelagert werden, in denen man schnell mal in beide Richtungen nachschaun koennte,
sondern in
1. einer Methode, die einen String ala '1.2.3' kriegt (woher man den wissen sollte?)
x509.oid.ObjectIdentifier()
2. Konstanten, z.b.
x509.ExtensionOID.SUBJECT_ALTERNATIVE_NAME
3. implizit in Methoden
x509.BasicConstraints()
Die Parameter fuer KeyUsage in csr.add_extension sind etwas anders als in den Policies
von OpenSSL, so dass ich jetzt raten durfte, was nonrepudiation in dieser Sprache ist.
Quintessenz/Takeaway/TL;DR
Alles was der Peter Gutmann vor Ewigkeiten ueber X.509 geschrieben hat
stimmt immer noch.
[/bauerm]
permanent link
SIGILL taucht wieder auf, und stoert meine Vorlesung! Die
