Борьба с самоподписанными сертификатами

Через python пытаюсь подключиться к нему и получаю CERTIFICATE_VERIFY_FAILED

Как именно через python?

Я так понимаю мне как-то надо добавить этот сертификат к корневым? Честно говоря уже запутался в этих .crt, .key и .pem.

Надо добавить сертификат УЦ к корневым(доверенным), остальное сверяется уже по нему.

Я бы мог подсказать как это сделать в командной строке через openssl, но не очень понимаю, что именно нужно сделать.

Открыть соединение можно и через openssl, а делать команды, передавать данные и всё остальное — через сокеты.

Что делать??

Попытаться через openssl напрямую, думается. Уже потом пробовать остальное.

requests.get('https://kennethreitz.org', verify=False)

Питон это requests? Разве сервис может как-то узнать что мы сертификат не проверили? Ну и у меня всегда это работало.

https://requests.readthedocs.io/en/master/user/advanced/

Надо добавить сертификат УЦ к корневым(доверенным), остальное сверяется уже по нему.

Вот как это делается? Сейчас в браузере сообщение что сертификат недействителен, но ведь он есть, значит соединение все равно шифруется?

В Fedora это делается следующим образом:

QUICK HELP: To add a certificate in the simple PEM or DER file formats to the
            list of CAs trusted on the system:

            Copy it to the
                    /etc/pki/ca-trust/source/anchors/
            subdirectory, and run the
                    update-ca-trust
            command.

            If your certificate is in the extended BEGIN TRUSTED file format,
            then place it into the main source/ directory instead.

Если сделать verify = False то ругается уже сам сервис на то что мы пытаемся сделать небезопасную операцию

Сомневаюсь, что вы правильно интерпретируете возможную ошибку.

Выгрузил через Chrome .pem файл и добавил сертификат к запросу session.cert=«cert.pem»

Полагаю, что экспортировать нужно не сертификат, а root CA, и, возможно, должен он быть в формате PEM, а не DER.

Какой дистрибутив? В Gentoo сертификаты лежат в /usr/share/ca-certificates/mozilla/

Опять же, рекомендую сначала убедиться, что сертификаты вообще правильно настроены, через openssl client.

Сейчас в браузере сообщение что сертификат недействителен, но ведь он есть, значит соединение все равно шифруется?

А что пишет браузер? Можно игнорировать неправильный сертификат, соединение остаётся https? Если да — значит шифруется. В Firefox легко проверяется, по Chromium не подскажу.