Бесконечный ssl.SSLCertVerificationError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: unable to get local issuer certificate при попытке подключения

[LTVA1]

Описание
При вызове client.connect():

log.txt

Дополнительно
Версия 2.4.1

[LTVA1]

Ещё ночью такого не было, утром началось

[LTVA1]

Upd: после тридцати попыток с таймаутом 10 секунд между ними всё-таки подключился, но раньше такого не было, подключался с первого раза

[ink-developer]

Какая версия библиотеки?

[LTVA1]

2.4.1

[ink-developer]

У меня на 2.4.1 сейчас api.oneme.ru/websocket подключается нормально, поэтому пока не похоже на проблему сертификата на стороне pymax.

Можешь проверить, не используется ли у тебя системный прокси:

from urllib.request import getproxies
print(getproxies())

И скинуть вывод:

openssl s_client -connect api.oneme.ru:443 -servername api.oneme.ru -showcerts

Ошибка unable to get local issuer certificate возникает ещё на tls handshake, до логики pymax.

Ещё момент: websockets умеет автоматически подхватывать системный proxy, поэтому даже если в ExtraConfig proxy не указан, он потенциально может использоваться. Я это отдельно проверю/исправлю.

[LTVA1]

from urllib.request import getproxies
print(getproxies())

Вывод:

{}

Почему-то пустой массив, хотя включён Happ...

openssl s_client -connect api.oneme.ru:443 -servername api.oneme.ru -showcerts

Вывод:

log.txt

Вроде какие-то сертификаты подсосал, странно. Хотя я мало в сетевых штуках разбираюсь, я просто хочу из ютуба в мах ролики и прочее выкачивать. Кстати у меня в одном скрипте используются yt-dlp и pymax без какого-либо разделения на ходим через впн и ходим напрямую, мб отсюда проблемы, т.к. у Happ там подключены правила маршрутизации (по geoip: рф напрямую, остальное в тоннель)

[LTVA1]

Хотя не, дальше по логу выдаёт ту же ошибку, что и в консоли у меня на скрине. Но сертификаты *.oneme.ru видит...

[ink-developer]

getproxies() == {} тут не особо показатель, если happ работает через TUN/маршрутизацию, питон его как обычный proxy вообще не увидит.

Но важнее другое: если openssl s_client без участия pymax выдает ту же ошибку, то проблема явно не в pymax/websockets.

То что сертификат *.oneme.ru он видит - нормально, это просто сертификат сервера. Ошибка означает что openssl не смог нормально собрать/проверить цепочку до доверенного CA.

Попробуй полностью выключить happ и ещё раз:

openssl s_client -connect api.oneme.ru:443 -servername api.oneme.ru

Если без happ будет:

Verify return code: 0 (ok)

то причина скорее всего в его маршрутизации/туннеле.

yt-dlp и pymax в одном процессе сами по себе друг другу мешать не должны.

[LTVA1]

log.txt
Тут вроде та же ошибка... Это с выключенным happом

[ink-developer]

Есть подозрение либо на локальный trust store, либо на разные backend/ip у api.oneme.ru, потому что ты писал что после большого количества попыток оно один раз всё же подключилось.

Можешь скинуть вывод:

getent ahostsv4 api.oneme.ru

И желательно несколько раз:

openssl s_client -connect api.oneme.ru:443 -servername api.oneme.ru </dev/null 2>&1 | grep -E 'Connecting to|subject=|issuer=|Verify return code|verify error'

Если там в разные попытки будут разные ip/issuer или часть попыток даст Verify return code: 0 (ok), тогда скорее всего косяк на одном из backend'ов.

Если всегда один и тот же сертификат/ошибка, тогда уже скорее надо смотреть локальное хранилище CA.

[LTVA1]

openssl.txt
getent.txt

Почему-то openssl вообще ничего не выводит

А и ещё прочитай пж #80 (comment)

[LTVA1]

Ещё такой интересный прикол: в firefox сайт маха прекрасно открывается и всё работает, что с включённым впном, что без него

[5dfl]

Была аналогичная проблема со вчерашнего дня, в том числе с корректной работой с n-ной попытки.

Скорее всего, накосячили на бэкэндах, пока деплоили новый сертификат, выпущенный 3 дня назад: новая цепочка через YE2 -> Root YE -> ISRG Root X2 у части клиентов не строилась. Для этого домена YE2 и ISRG Root X2, к слову, появились впервые.

Сейчас все три IP отдают одинаковую (почти корректную) цепочку *.oneme.ru -> *.oneme.ru -> YE2 -> Root YE.

У @LTVA1, скорее всего, нет ISRG Root X2 в trust store, который использует Python/OpenSSL.

в firefox сайт маха прекрасно открывается и всё работает

Firefox, вероятно, берёт ISRG Root X2 из своего отдельного trust store или из Windows-хранилища.

[LTVA1]

@5dfl и что тогда делать? Я слабо понимаю в сетевых штуках. ISRG Root X2 это кто? Точно не наши пидоры из яндекса/вк/минцифры? Если да, то я этот бэкдор в систему не поставлю никогда, на виртуалку, что ли, всю качалку ютуба переносить