如何在没有客户端SSL证书的情况下在Python GRPC客户端打开安全频道

Question

我有一个具有有效TLS证书的GRPC服务器（在GO中），并且不需要客户端TLS。由于某种原因，即使我可以在Golang中这样做，我也无法在Python中实现客户端。

In Python I have

os.environ["GRPC_VERBOSITY"] = "DEBUG"
# os.environ["GRPC_DEFAULT_SSL_ROOTS_FILE_PATH"] = "/etc/ssl/certs/ca-bundle.crt"

channel = grpc.secure_channel(ADDR, grpc.ssl_channel_credentials())
grpc.channel_ready_future(channel).result(timeout=10)

This gives me the following error

D0513 08:02:08.147319164   21092 security_handshaker.cc:181] Security handshake failed: {"created":"@1652446928.147311309","description":"Handshake failed","file":"src/core/lib/security/transport/security_handshaker.cc","file_line":377,"tsi_code":10,"tsi_error":"TSI_PROTOCOL_FAILURE"}

I can get this to work if I use SSL certificates by uncommenting the commented out line.我知道我的服务器不要求，要求或验证客户端证书，因为以下GO代码完美工作

conn, err := grpc.DialContext(
    ctx,
    gRPCAddr,
    grpc.WithTransportCredentials(credentials.NewClientTLSFromCert(nil, "")),
)
dummyClient := dummy.NewDummyServiceClient(conn)
if _, err := dummyClient.Ping(context.Background(), &dummy.PingRequest{
    Ping: "go client ping",
}); err != nil {
    return fmt.Errorf("failed to ping: %w", err)
}

Answer 1

如果服务器端上的证书已公开签名，则可以使用：

grpc.secure_channel(ADDR, grpc.ssl_channel_credentials())

但这似乎对您不起作用，因此我想服务器证书由您拥有的根证书签名。您可以将根证书传递到 root_certificates 字段[1]中，然后将其他两个字段留为空。该用例记录在我们的身份验证指南[2]中。

with open(os.environ["GRPC_DEFAULT_SSL_ROOTS_FILE_PATH"], 'rb') as f:
    creds = grpc.ssl_channel_credentials(f.read())

channel = grpc.secure_channel(ADDR, creds)

[1]

[2]

Answer 2

httpps：> https：/ grpc.html＃secure_channel 具有 channel = grpc.secure_channel（orbium_addr，grpc.ssl_channel_credentials（））的文档。此功能依赖于类通道，请参见Docs https：/// grpc.github.io/grpc/python/_modules/grpc/aio/_channel.html 。

基本上，类通道包装C代码以提供安全的通道。包裹的C代码期望证书。如果您可以在C中实现，则最容易更改C代码。

Answer 3

@former_epsilon给出的答案回答了我的问题，但是我为这个问题提出的解决方案是不同的，最终我使用了 secure_channel ，所以我也想为此发布答案。

import os
import grpc

# configure this dict for your systems
system_certs_map = {
    "Windows": "<Path to system cert>",
    "Darwin": "$REQUESTS_CA_BUNDLE",
    "Linux": "/etc/ssl/certs/ca-bundle.crt",
}

os.environ["GRPC_DEFAULT_SSL_ROOTS_FILE_PATH"] = system_certs_map[platform.system()]
channel_credentials = grpc.ssl_channel_credentials()

Answer 4

我的猜测基于Python grpc doc https：//grpc.github.github.io/grpc/pypc/python /grpc.html

channel = grpc.insecure_channel(ORBIUM_ADDR)

而不是：

channel = grpc.secure_channel(ORBIUM_ADDR, grpc.ssl_channel_credentials())