如何使用Python向证书颁发机构认证公钥？

Question

import OpenSSL

key = ...
signature = ...
data = ...

x509 = OpenSSL.crypto.load_certificate(OpenSSL.crypto.FILETYPE_ASN1, key)
OpenSSL.crypto.verify(x509, signature, data, 'sha1')

到目前为止，我能够毫无问题地完成所有这些。但是，这还不够安全，因为密钥本身是通过一个URL（我应该信任它）提供给我的，并且构建签名的方法是公开的。在

那么，假设密钥被“VeriSign Class 3 Code Signing 2010 CA”验证，有人能告诉我如何检查这是一个有效的声明吗？在

我想我需要在我的机器上本地安装VeriSign证书。假设我有，那我该怎么办？在

谢谢！在

*在JSON请求中，URL作为参数提供给我。当然，网址将是HTTPS，我可以检查域名等。但看起来我应该检查一下证书本身

Answer 1

也许我只是部分地回答了你的问题。您最大的担心似乎是您获取密钥的通道的安全性。您没有显示您如何获取该密钥的任何代码，但您说您通过HTTPS检索它，现在您希望通过证书验证来验证此连接的真实性。在

使用成熟的第三方web客户机框架requests，您可以轻松地做到这一点。在

引自the docs：

Requests can verify SSL certificates for HTTPS requests, just like a web browser. To check a host’s SSL certificate, you can use the verify argument:

requests.get(url, verify=True)

同时：

You can pass verify the path to a CA_BUNDLE file with certificates of trusted CAs.

后者可能看起来像

^{pr2}$

如果您真的想控制（并降低复杂性），那么从http://www.symantec.com/page.jsp?id=roots加载正确的文件并采用verify='/path/to/cert.pem'方法。我想你需要http://www.symantec.com/content/en/us/enterprise/verisign/roots/Class-3-Public-Primary-Certification-Authority-G2.pem