TLS 证书验证失败答案

【问题标题】：TLS certificate validation failureTLS 证书验证失败
【发布时间】：2018-06-20 16:23:19
【问题描述】：

我在 Raspberry Pi 中设置了 Mosquitto 代理，并使用 OpenSSL 创建了自签名 TLS 服务器证书。 我可以通过终端以及 MQTTBox 和 MQTT.fx 与 Moquitto 客户端成功连接。

但是，当尝试连接 Python 和 Paho-MQTT 时出现以下错误

import paho.mqtt.client as mqtt

# SETTINGS & CONSTANTS
(...)
TLS_CA = "./tls/mqtt.crt"

# MQTT CALLBACKS
(...)

# INIT & CONNECT CLIENT
client = mqtt.Client(DEVICE_ID)
(...)
client.tls_set(TLS_CA)                                                                     
client.username_pw_set(MQTT_USER, MQTT_PSWD)                                               
client.connect(MQTT_HOST, MQTT_PORT, MQTT_KEEPALIVE)

我收到以下错误：

File "/usr/lib/python3.4/ssl.py", line 804, in do_handshake
self._sslobj.do_handshake()
ssl.SSLError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed (_ssl.c:600)

我尝试了很多东西：

1) 将自签名证书插入 Raspbian ca-certificates

sudo mkdir /usr/local/share/ca-certificates/extra
sudo cp mqtt.crt /usr/local/share/ca-certificates/extra/mqtt.crt
sudo update-ca-certificates

2) 使用 Paho 的 tls_set() 选项。我认为ca_certs=mqtt.crt 和tls_version=ssl.PROTOCOL_TLSv1 应该足够了。

3) 使用tls_insecure_set(True)。我知道这不是一个有效的解决方案，但我只是想尝试一下是否发生了什么事。结果还是CERTIFICATE_VERIFY_FAILED错误

4) 使用 Python 2.7.9 和 Python 3.4.2

其实我的想法已经用完了

【问题讨论】：

您尝试使用 ca_certs 而不是 ca_cert 对吗？（只是检查这是否是一个错字）
这是一个错字，我在描述中修正了它
您能否尝试嗅探 TLS 握手的开头，以准确查看发送了哪些证书？也可以先尝试从 Python 连接 ssl/PyOpenSSL 模块，看看在这种情况下你是否成功地获得了 TLS 握手，看看问题是否出在 Paho-MQTT 上。您确定 MQTT_HOST 与证书中的内容匹配？

标签： python ssl mqtt mosquitto

【解决方案1】：

经过长时间的尝试和阅读，我意识到问题是由自签名证书引起的。我为 CA 和代理生成了具有不同通用名称的新证书，一切似乎都正常。

【讨论】：