. Lập trình Net: Những gì để xác thực trên chứng chỉ tự ký SSL

Question

Tôi không thể yêu cầu người dùng tạo chứng chỉ thực cho máy chủ của họ nhưng tôi muốn thực hiện một số kiểm tra bảo mật. Vì vậy, sau đây là quá nhẹ bởi vì, như tôi đọc nó, có không kiểm tra trên các certs.

ServicePointManager.ServerCertificateValidationCallback = delegate { return true; }; 

Bạn khuyên khách hàng nào nên kiểm tra chứng chỉ x509? Cho rằng tôi đang sử dụng một ngôn ngữ .NET (C#/f #).

Answer 1

Nếu bạn không thể yêu cầu khách hàng tạo các chứng thực thực, ít nhất bạn nên cố gắng tạo cho họ các chứng chỉ sử dụng máy chủ của bạn. Sau đó, bạn có thể kiểm tra xem chứng chỉ có hợp lệ hay ít nhất từ ​​CA của bạn vì bạn sẽ biết liệu CA của bạn có bị xâm nhập hay không. Nếu bạn tin tưởng bất kỳ và tất cả các CA thực sự không có gì đáng để kiểm tra.

Answer 2

Nếu bạn đang sử dụng chứng chỉ tự ký thì các lỗi duy nhất bạn nên mong đợi là lỗi chuỗi trên gốc (Cert. Issuer). Tôi sẽ đề nghị một cái gì đó như thế này mà bẫy cho rằng chuỗi lỗi cụ thể và cho phép tất cả các lỗi khác rơi qua.

ServicePointManager.ServerCertificateValidationCallback += new RemoteCertificateValidationCallback(
    ValidateRemoteCertificate 
); 

private static bool ValidateRemoteCertificate(object sender, X509Certificate certificate, X509Chain chain, SslPolicyErrors policyErrors) 
{ 
    string trustedIssuer = "CN=www.domain.com"; 
    string trustedDomain = "CN=www.domain.com"; 
    bool policyErr = false; 

    switch (policyErrors) 
    { 
     case SslPolicyErrors.None: 
      policyErr |= false; 
      break; 
     case SslPolicyErrors.RemoteCertificateChainErrors: 
      bool chainErr = false; 
      foreach (X509ChainStatus status in chain.ChainStatus) 
      { 
       switch (status.Status) 
       { 
        case X509ChainStatusFlags.NoError: 
         chainErr |= false; 
         break; 
        case X509ChainStatusFlags.UntrustedRoot: 
         if (certificate.Subject != trustedDomain || certificate.Issuer != trustedIssuer) 
          chainErr |= true; 
         else 
          chainErr |= false; 
         break; 
        default: 
         chainErr |= true; 
         break; 
       }      
      } 
      policyErr |= chainErr; 
      break; 
     default: 
      policyErr |= true; 
      break; 
    } 

    return !policyErr; 
} 

Answer 3

nếu bạn có thể kiểm tra Certs bạn có thể đặt logic xác nhận của riêng bạn trong các chức năng ValidateRemoteCertificate

System.Net.ServicePointManager.ServerCertificateValidationCallback += (a, b, c, d) => 
{ 
    return ValidateRemoteCertificate(a, b, c, d); 
}; 

private static bool ValidateRemoteCertificate(object sender, X509Certificate certificate, 
      X509Chain chain, SslPolicyErrors policyErrors) 
{ 
      if (certificate.Subject.Equals("CN=www.domain.com")) 
       return true; 
      else 
       return policyErrors == SslPolicyErrors.None; 

}