使用 Python 3.10 從本地服務器進行 pip 安裝時出現“CA MD TOO WEAK”

Question

從 Python 3.10 開始，當我嘗試“pip install”任何 Python 包時，我得到“CA MD TOO WEAK”。 是因為我的本地 Python 包索引位於證書較弱的服務器上嗎？

背景

我們有一個內部 PyPI 服務器，它（僅）提供內部包。 （我們不允許我們的包索引引用files.pythonhosted.org和pypi.org上的全局 PyPI 包索引，因為惡意行為者可以在全局服務器上發布特洛伊木馬包的安全風險（猜測）名稱匹配內部包名稱。）給定不同的包索引，我的pip.ini需要識別本地服務器和全局服務器。 本地服務器需要證書。

我的pip.ini是：

[global]
trusted-host = files.pythonhosted.org pypi.org <internal.host>
index-url = https://<internal.host>/devpi/root/<dir>/+simple
extra-index-url = https://pypi.org/simple/
cert = C:\Users\<user>\combined.cert.pem
client-cert = C:\Users\<user>\<user>.pem

[search]
index = https://<internal.host>/devpi/root/dir

當我從 Python 3.9 升級到 Python 3.10 時，“pip install anything”失敗並顯示“CA MD TOO WEAK”消息。 當我避免我的pip.ini並直接從公共服務器安裝時，不會發生這種情況。

Answer 1

這是我回答我自己問題的嘗試——歡迎改進和評論！

簡短的回答是“是”——我收到錯誤是因為 Python 3.10 現在使用OpenSSL 1.1.1以及安全級別 1，而且我的內部服務器證書沒有使用足夠的位，或者依賴 MD5。

讓我的服務器操作員使用更強大的證書（並重新頒發公共證書）的最佳解決方案。 此處給出了 SSL 安全級別 1 的要求。 對於 IT 團隊來說，這可能是一個痛苦的步驟——他們必須向每個人重新頒發證書。

同時，我需要降級到 Python 3.9。