有没有办法在不创建新套接字的情况下处理 CRL 更新

Question

我正在尝试创建一个包含 CRL 的套接字服务器，客户端维护套接字连接，因此重新启动或重置服务器套接字会断开所有客户端的连接。我想维护一个 CRL，但是我不想每次更新 CRL 以重置套接字时都必须重新启动服务器。有人知道更新现有 ssl 套接字的方法吗？

服务器代码：

import socket, ssl

from certvalidator import CertificateValidator, ValidationContext

context = ssl.SSLContext(ssl.PROTOCOL_TLS_SERVER)
context.verify_flags = ssl.VERIFY_CRL_CHECK_LEAF
context.verify_mode = ssl.CERT_REQUIRED
context.load_verify_locations(cafile=r"path to ca with crl appended")

context.load_cert_chain(r"path to crt", r"path to key", password='pass') ###############
bindsocket = socket.socket()
bindsocket.bind(('', 9000))
bindsocket.listen(5)

while True:
    newsocket, fromaddr = bindsocket.accept()
    sslsoc = context.wrap_socket(newsocket, server_side=True)
    request = sslsoc.read()
    print(request)

客户端代码：

import socket
import ssl
hostname = '127.0.0.1'
context = ssl.SSLContext(ssl.PROTOCOL_TLS_CLIENT)
context.load_verify_locations(cafile="path to CA")
context.load_cert_chain(r"path to cer", r"path to key", password='pass')
context.check_hostname = False
with socket.create_connection((hostname, 8089)) as sock:
    with context.wrap_socket(sock) as ssock:
        print(ssock.version())
        ssock.do_handshake()
        print('connected')
        ssock.send(b'122222')
        while True:
            header = ssock.recv(4)
            print(header)
            data = ssock.recv(10000)
            print(header + data)
            print(len(data))
            print()

Answer 1

服务器套接字bindsocket 首先不受 CRL 更改的影响，因为它是一个普通的 TCP 套接字。所有需要更改的是 SSL 上下文context，这可以随时完成，无需对bindsocket 进行任何更改。然后，在使用 context.wrap_socket 进行 TLS 握手时，具有更改 URL 的新 SSL 上下文将用于下一个客户端。

重新启动或重置服务器套接字会断开所有客户端的连接

这不是真的。监听器bindsocket 和客户端连接newsocket 是相互独立的，即关闭bindsocket 对newsocket 没有影响。当然，重新启动整个服务器应用程序会断开所有客户端，因为关闭应用程序会关闭所有套接字。