Python: requests mit Proxy und Kerberos-Authentifizierung

[musv]

Guten Nachmittag,

erst mal die Umgebung:
Ich befinde mich in einer IT-Umgebung, die an eine Active Directory angebunden ist. Ins Internet kommt man nur über einen Proxy. Und den kann man im Grunde genommen nur mit einem Kerberos-Ticket verwenden. Außerdem sind nur bestimmte Browser freigeschaltet.

Vor einiger Zeit hab ich mir mal ein Python-Script geschrieben, was mir z.B. den Bitcoin-Kurs (und noch ein paar andere Infos) aus dem großen weiten Internet holt und mir dann hübsch aufbereitet in einer Konsole anzeigt. Dazu nutzte ich dann die Python-Requests-Lib mit Basic-Authentifizierung. Das klappte eine Zeit lang ganz gut. Irgendwann meckerte dann aber die AD rum und sperrte mein Nutzerkonto. Die weiteren Nachforschungen ergaben dann, dass die AD sich an der veralteten Authentifizierungsmethode meines "Firefox" (=User Agent meines Scripts) störte.

Im Code war das folgendermaßen realisiert:
[src=python]
import requests
__proxies = { 'http': 'http://loginass@proxy.domain.de:3128',
'https': 'http://loginass@proxy.domain.de:3128',
}
__headers = { 'User-Agent': 'Mozilla/5.0 (X11; Linux x86_64; rv:38.0) Gecko/20100101 Firefox/38.0' }
__doc = {} # Inhalt
__url = {} # url

self.__doc['doc'] = requests.get(meine_uri, headers=self.__headers, proxies=self.__proxies).content.decode('utf-8')[/src]

Jetzt würde ich gern die Basic-Authentifizierung am Proxy durch eine Authentifizierung per Kerberosticket ersetzen. Das Kerberosticket kann ich problemlos auslesen (Zugriff auf OS-Umgebung mit klist).

Python-Umgebung ist 3.4.1. Gefunden hab ich

You do not have permission to view link please Anmelden or Registrieren

. Allerdings denk ich, dass damit nur die Authentifizierung an einer Webseite oder einem Service realisiert werden soll und nicht die Authentifizierung gegenüber einem Proxy.

Wie krieg ich mein Kerberosticket per Python an den Proxy? Vielen Dank schon mal.

 

[theSplit]

Hi,

habe jetzt nur mal einen Blick auf "requests-kerberos" geworfen, dort ist folgende Anfrage:

You do not have permission to view link please Anmelden or Registrieren

Wenn es das ist, wird es scheinbar aktuell nicht unterstützt.

Ich habe mir auch das hier mal angesehen:
"Schematischer Ablauf der Kerberos-Authentifikation"

You do not have permission to view link please Anmelden or Registrieren

von hier:

You do not have permission to view link please Anmelden or Registrieren

Wenn ich das Diagramm richtig lese und du bereits einen Schlüssel hast du ja Step 1 (Kommunikation mit dem "Kerberos Authentiction Server") und Step 2 (Anfrage an den "Ticket Granting Service") bereits erfüllt, wenn dir das Ticket vorliegt, jetzt müsste ja theoretisch im Header deines Requests an den Proxy nur der Schlüssel übermittelt werden, damit dieser die Freigabe gibt, nach Rücksprache mit dem Kerberos (Authentication) Server, korrekt?

Welcher dann die Anfrage an die URL, evtl. mit gefiltertem Kerberos "Header" Daten, weiterleitet und auch als "Brücke" zurückgibt an dich als Client? Also Step 5 und 6 im Diagramm.

Ich habe allerdings auch noch nie mit Requests gearbeitet und weiß nicht ob du einfach den Header entsprechend mit => Session Key + Timestamp + user_id im Header an den Proxy übergeben kannst.

 

[musv]

Ich hab's hinbekommen - allerdings nicht mit Requests. Bei der Verwendung von Requests hätte ich den ganzen Handshake durchgehen müssen. Das ist dann doch zu mühselig.

Die Lösung ist Curl. Denn das unterstützt Kerberos-Authentifizierung am Proxy. Und damit kann man das auch in Pycurl verbraten:

[src=python]#!/usr/bin/env python3
# -*- coding: utf-8 -*-

import pycurl

c = pycurl.Curl()
c.setopt(pycurl.URL, 'https://google.de')
c.setopt(pycurl.PROXYTYPE, pycurl.PROXYTYPE_HTTP)
c.setopt(pycurl.PROXYPORT, 3128)
c.setopt(pycurl.PROXY, 'http://proxy.domain.de')
c.setopt(pycurl.PROXYUSERPWD, ':')
c.setopt(pycurl.USERAGENT, 'curl/7.37.0')
c.setopt(pycurl.PROXYAUTH, pycurl.HTTPAUTH_GSSNEGOTIATE)
c.setopt(pycurl.FOLLOWLOCATION, 1)
c.setopt(pycurl.VERBOSE,1)
c.perform()
c.close()[/src]

Interessant ist der ":" beim User. Damit wird dann das aktuelle Kerberos-Ticket verwendet.