. Programowanie w sieci .NET: co należy sprawdzić na certyfikacie z podpisem własnym SSL

Question

Nie mogę uzyskać od użytkowników autentycznych certyfikatów dla ich serwerów, ale chciałbym przeprowadzić pewne kontrole bezpieczeństwa. Tak więc poniższe jest zbyt lekkie, ponieważ, gdy je czytam, jest nie sprawdzanie certyfikatów.

ServicePointManager.ServerCertificateValidationCallback = delegate { return true; }; 

Co zaleca się, aby klienci sprawdzili certyfikat x509? Biorąc pod uwagę, że używam języka .NET (C#/f #).

Answer 1

Jeśli nie możesz poprosić klientów o utworzenie prawdziwych certyfikatów, powinieneś przynajmniej spróbować przekonać ich do tworzenia certyfikatów za pomocą serwera. Następnie możesz sprawdzić, czy certyfikat jest ważny lub przynajmniej od twojego urzędu certyfikacji, ponieważ dowiesz się, czy Twój urząd certyfikacji został naruszony. Jeśli ufasz wszystkim CA, naprawdę nie ma nic wartego sprawdzenia.

Answer 2

Jeśli używasz samopodpisanych certyfikatów, jedynymi błędami, których należy się spodziewać, jest błąd łańcucha w katalogu głównym (wystawcy certyfikatu). Sugerowałbym coś takiego, że pułapki na konkretny błąd łańcucha i pozwala, aby wszystkie inne błędy wpadły.

ServicePointManager.ServerCertificateValidationCallback += new RemoteCertificateValidationCallback(
    ValidateRemoteCertificate 
); 

private static bool ValidateRemoteCertificate(object sender, X509Certificate certificate, X509Chain chain, SslPolicyErrors policyErrors) 
{ 
    string trustedIssuer = "CN=www.domain.com"; 
    string trustedDomain = "CN=www.domain.com"; 
    bool policyErr = false; 

    switch (policyErrors) 
    { 
     case SslPolicyErrors.None: 
      policyErr |= false; 
      break; 
     case SslPolicyErrors.RemoteCertificateChainErrors: 
      bool chainErr = false; 
      foreach (X509ChainStatus status in chain.ChainStatus) 
      { 
       switch (status.Status) 
       { 
        case X509ChainStatusFlags.NoError: 
         chainErr |= false; 
         break; 
        case X509ChainStatusFlags.UntrustedRoot: 
         if (certificate.Subject != trustedDomain || certificate.Issuer != trustedIssuer) 
          chainErr |= true; 
         else 
          chainErr |= false; 
         break; 
        default: 
         chainErr |= true; 
         break; 
       }      
      } 
      policyErr |= chainErr; 
      break; 
     default: 
      policyErr |= true; 
      break; 
    } 

    return !policyErr; 
} 

Answer 3

jeśli można sprawdzić certyfikatów można umieścić swoją własną logikę walidacji w funkcji ValidateRemoteCertificate

System.Net.ServicePointManager.ServerCertificateValidationCallback += (a, b, c, d) => 
{ 
    return ValidateRemoteCertificate(a, b, c, d); 
}; 

private static bool ValidateRemoteCertificate(object sender, X509Certificate certificate, 
      X509Chain chain, SslPolicyErrors policyErrors) 
{ 
      if (certificate.Subject.Equals("CN=www.domain.com")) 
       return true; 
      else 
       return policyErrors == SslPolicyErrors.None; 

}