PythonでSSL/TLS通信を行う（requests）

“`html

PythonでのSSL/TLS通信（requestsライブラリ）

PythonでのSSL/TLS通信（requestsライブラリ）

PythonでSSL/TLS通信を行う際、最も一般的で強力なライブラリとしてrequestsが挙げられます。
requestsライブラリは、HTTPリクエストを非常に簡単かつ直感的に実行できるように設計されており、SSL/TLSによる暗号化通信もデフォルトでサポートしています。
このため、HTTPSで保護されたWebサイトへのアクセスやAPIとの連携が容易に行えます。
本稿では、requestsライブラリを用いたSSL/TLS通信の基本的な使い方から、より高度な設定、注意点、そして関連する技術について、深く掘り下げて解説します。

requestsライブラリの基本とSSL/TLS

requestsライブラリは、HTTPプロトコルを扱うための高レベルAPIを提供します。
HTTPSで始まるURLに対してリクエストを行う場合、requestsは自動的にSSL/TLSプロトコルを使用して接続を確立しようとします。
これは、requestsが内部でurllib3ライブラリを使用しており、urllib3がSSL/TLS接続の管理を担っているためです。
SSL/TLSは、通信経路上のデータを暗号化し、改ざんを防ぎ、通信相手の正当性を証明することで、インターネット上での安全な通信を実現します。

HTTPSリクエストの実行

HTTPSで保護されたURLに対してGETリクエストを行う基本的なコードは以下のようになります。

import requests

url = "https://example.com"
response = requests.get(url)

if response.status_code == 200:
    print("Successfully connected to HTTPS URL.")
    print(response.text)
else:
    print(f"Failed to connect. Status code: {response.status_code}")

このコードでは、特別な設定なしにHTTPS URLにアクセスできています。
requestsは、システムにインストールされている証明書ストアを使用して、サーバー証明書の検証を行います。

証明書検証の仕組み

requests（およびurllib3）は、デフォルトでサーバー証明書の検証を行います。
これは、以下のようなプロセスを経て行われます。

証明書取得: クライアント（requests）は、サーバーに接続した際にサーバー証明書を取得します。
信頼された認証局 (CA) による署名の検証: 取得したサーバー証明書が、信頼された認証局（CA）によって署名されているかを確認します。
Pythonの実行環境には、通常、既知のCAのルート証明書がリストとして含まれています（certifiライブラリなどがこれを管理しています）。
このリストと照合することで、証明書の発行元が信頼できるか判断します。
有効期限の確認: 証明書が有効期限内であるかを確認します。
ホスト名の確認: サーバー証明書に記載されているホスト名が、接続しようとしているURLのホスト名と一致するかを確認します。

これらの検証がすべて成功した場合、SSL/TLS接続は安全とみなされ、通信が続行されます。
もしいずれかの検証に失敗した場合、requestsは例外（requests.exceptions.SSLErrorなど）を発生させ、通信を中止します。
これは、中間者攻撃（Man-in-the-Middle attack）などのセキュリティリスクからユーザーを保護するための重要な機能です。

高度なSSL/TLS設定

requestsライブラリは、SSL/TLS通信に関するさまざまな高度な設定を可能にします。
これにより、特定のセキュリティ要件に対応したり、開発環境でのデバッグを行ったりすることができます。

証明書検証の無効化（非推奨）

開発環境や、信頼できるイントラネット内のサーバーにアクセスする場合など、何らかの理由で証明書検証をスキップしたい場合があります。
しかし、これはセキュリティリスクを大幅に増加させるため、本番環境では絶対に推奨されません。
証明書検証を無効にするには、`verify`引数に`False`を指定します。

import requests
from requests.packages.urllib3.exceptions import InsecureRequestWarning

# 警告メッセージを非表示にする（推奨されませんが、デモ用）
requests.packages.urllib3.disable_warnings(InsecureRequestWarning)

url = "https://self-signed.example.com" # 自己署名証明書などの場合
try:
    response = requests.get(url, verify=False)
    if response.status_code == 200:
        print("Connected without certificate verification.")
    else:
        print(f"Failed. Status code: {response.status_code}")
except requests.exceptions.RequestException as e:
    print(f"An error occurred: {e}")

この設定は、証明書が自己署名であったり、信頼されたCAによって署名されていなかったりする場合に一時的に使用されることがありますが、そのリスクを十分に理解している必要があります。

クライアント証明書の使用

一部のサーバーでは、クライアント側も証明書を提示することで認証を行うことがあります（相互TLS認証、mTLS）。
requestsでは、`cert`引数にクライアント証明書（.pemファイル）と秘密鍵（.keyファイル）のパスを指定することで、これに対応できます。

import requests

url = "https://mutual-tls.example.com"
client_cert_path = "/path/to/your/client.crt"
client_key_path = "/path/to/your/client.key"

try:
    response = requests.get(url, cert=(client_cert_path, client_key_path))
    if response.status_code == 200:
        print("Successfully connected with client certificate.")
    else:
        print(f"Failed. Status code: {response.status_code}")
except requests.exceptions.SSLError as e:
    print(f"SSL Error: {e}")
except requests.exceptions.RequestException as e:
    print(f"An error occurred: {e}")

`cert`引数には、単一のPKCS12ファイル（.pfxまたは.p12）のパスを指定することも可能です。
この場合、requestsはファイルから証明書と秘密鍵を自動的に抽出します。

カスタム証明書バンドル

デフォルトの証明書ストアにないCAによって発行された証明書を使用するサーバーに接続する必要がある場合、カスタム証明書バンドルを指定できます。
これは、`certifi`ライブラリで提供される信頼されたCAバンドルを拡張したり、独自のCA証明書ファイルを作成したりする場合に役立ちます。
`verify`引数に、カスタムCA証明書ファイル（PEM形式）または証明書ファイル群を含むディレクトリのパスを指定します。

import requests

url = "https://internal.example.com"
custom_ca_bundle = "/path/to/your/custom_ca.crt"

try:
    response = requests.get(url, verify=custom_ca_bundle)
    if response.status_code == 200:
        print("Connected using custom CA bundle.")
    else:
        print(f"Failed. Status code: {response.status_code}")
except requests.exceptions.SSLError as e:
    print(f"SSL Error: {e}")
except requests.exceptions.RequestException as e:
    print(f"An error occurred: {e}")

SSL/TLS関連の例外処理

SSL/TLS通信で発生しうるエラーを適切に処理することは、堅牢なアプリケーションを開発する上で不可欠です。
requestsライブラリは、SSL/TLS関連のエラーを捕捉するための例外クラスを提供しています。

SSLError

最も一般的なSSL/TLS関連のエラーはrequests.exceptions.SSLErrorです。
この例外は、証明書の検証に失敗した場合、SSL/TLSハンドシェイク中に問題が発生した場合などに発生します。

SSLCertVerificationError

Python 3.7以降では、証明書検証に特化したrequests.exceptions.SSLCertVerificationErrorという例外も導入されています。
これは、証明書の有効期限切れ、ホスト名不一致、信頼できないCA署名など、証明書検証の具体的な問題を示します。

CertificateError

より古いPythonバージョンや、urllib3の基盤となるエラーを捕捉するために、requests.exceptions.CertificateErrorも存在します。

これらの例外を捕捉し、適切なエラーメッセージを表示したり、リトライ処理を実装したりすることが推奨されます。

import requests

url = "https://bad-ssl.example.com"
try:
    response = requests.get(url)
    response.raise_for_status() # ステータスコードが4xxまたは5xxの場合に例外を発生させる
    print("Success!")
except requests.exceptions.SSLCertVerificationError as e:
    print(f"SSL Certificate Verification Error: {e}")
except requests.exceptions.SSLError as e:
    print(f"SSL Error: {e}")
except requests.exceptions.RequestException as e:
    print(f"General Request Error: {e}")

SSL/TLSプロトコルのバージョンと暗号スイート

SSL/TLS通信は、TLSプロトコルのバージョン（TLS 1.0, 1.1, 1.2, 1.3など）や、通信で使用される暗号スイート（暗号化アルゴリズム、鍵交換アルゴリズム、認証アルゴリズムの組み合わせ）によってセキュリティレベルが異なります。

requests（urllib3）は、通常、システムがサポートする最も安全なプロトコルバージョンと暗号スイートを自動的に選択します。
しかし、特定のプロトコルバージョンのみを使用したい、あるいは特定の暗号スイートを無効にしたいといった高度な要件がある場合、直接OpenSSLライブラリを操作するか、より低レベルなライブラリを使用する必要が出てくることがあります。
requestsライブラリ自体には、プロトコルバージョンや暗号スイートを直接細かく制御するAPIは用意されていません。

一般的には、最新のTLSバージョン（TLS 1.2およびTLS 1.3）と、強力な暗号スイートの使用が推奨されます。
古いTLSバージョン（TLS 1.0, 1.1）は、既知の脆弱性があるため、可能な限り使用を避けるべきです。

requestsとHTTP/2

HTTP/2は、HTTP/1.1のパフォーマンス上の課題を解決するために設計されたプロトコルです。
HTTP/2は、TLSを必須としており、TLS 1.2以上でのみ利用可能です。
requestsライブラリは、HTTP/1.1を標準としていますが、httpxなどの他のライブラリを使用することで、HTTP/2 over TLS（h2）での通信も行うことが可能です。
requests自身にHTTP/2のネイティブサポートはありませんが、HTTP/2対応のプロキシ経由で通信することは可能です。

まとめ

requestsライブラリは、PythonでSSL/TLS通信を行うための、非常に強力で使いやすいツールです。
HTTPSリクエストはデフォルトでSSL/TLSを使用して保護され、証明書検証は自動的に行われます。
これにより、開発者はセキュリティに関する多くの詳細を意識することなく、安全な通信を実装できます。
しかし、自己署名証明書への対応、クライアント証明書の使用、カスタムCAバンドルの指定など、より専門的なニーズにも柔軟に対応できる機能も備えています。
SSL/TLS関連のエラーを適切に処理し、最新のセキュリティベストプラクティスを理解しておくことが、安全なアプリケーション開発に繋がります。
HTTP/2のような新しいプロトコルへの対応は、requests自体には直接的な機能はありませんが、エコシステム内の他のライブラリと連携することで実現可能です。
requestsライブラリを使いこなすことで、PythonでのセキュアなWeb通信は格段に容易になります。

“`