通过 SSL 调用 REST Web 服务

Question

我正在努力从我的 .NET 应用程序连接到仅通过 HTTPS/SSL 工作的 REST Web 服务。

我收到了证书和私钥作为两个单独的文件使用 - 一个包含证书的 certificate.pem 文件和包含私钥的 webservice.key 文件。这些都是文本文件，其中包含 BASE64 编码的二进制数据。

供应商还给我发了一份 PDF，展示了如何使用 CURL 和这两个文件调用该 Web 服务，效果很好：

curl.exe -k -v "https://(URL)" --cert certificate.pem --key webservice.key

我需要使用-k 选项，因为证书层次结构中的某处似乎有一个自签名证书。没有这个选项，调用会失败。

为了从 .NET 应用程序（目前是控制台应用程序）调用此 Web 服务，我使用 OpenSSL（在 Windows 上）使用以下命令将这两个文件组合成一个 *.pfx 文件：

openssl pkcs12 -export -out webservice.pfx -in certificate.pem -inkey webservice.key 

这似乎也有效 - 没有报告错误，文件已创建并且大小约为 3K，并且是一个完全二进制文件。

现在，我尝试从我的 .NET 代码中调用该 Web 服务，如下所示：

try
{
    // use the SSL protocol (instead of TLS)
    ServicePointManager.SecurityProtocol = SecurityProtocolType.Ssl3;

    // ignore any certificate complaints
    ServicePointManager.ServerCertificateValidationCallback += (sender, certificate, chain, sslPolicyErrors) => { return true; };

    // create HTTP web request with proper content type
    HttpWebRequest request = WebRequest.Create(url) as HttpWebRequest;
    request.ContentType = "application/xml;charset=UTF8";

    // grab the PFX as a X.509 certificate from disk
    string certFileName = Path.Combine(certPath, "webservice.pfx");

    // load the X.509 certificate and add to the web request
    X509Certificate cert = new X509Certificate(certFileName, "(top-secret password)");
    request.ClientCertificates.Add(cert);
    request.PreAuthenticate = true;

    // call the web service and get response
    WebResponse response = request.GetResponse();

    Stream responseStream = response.GetResponseStream();
}
catch (Exception exc)
{
    // log and print out error
}

但是，我可以尝试任何我喜欢的东西（在ServicePointManager 和HttpWebRequest 上摆弄各种设置，但我不断收到这些错误：

WebException：底层连接已关闭：发送时发生意外错误。

IOException: Unable to read data from the transport connection: 一个现有的连接被远程主机强行关闭。

SocketException：一个现有的连接被远程主机强行关闭

并且没有响应 - 即使使用 CURL 与服务通信工作正常.....

我错过了什么？我对所有这些证书、私钥、服务点管理器选项等感到有点困惑和迷惑——只是 waaaaay 太多的旋钮和开关无法打开、设置或关闭——正确是什么设置在这里？？

更新：

如果我使用

ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls;

那么错误就是：

WebException：请求被中止：无法创建 SSL/TLS 安全通道。

S O L U T I O N：

最后，通过查看curl 的输出以及来自@Alexandru 和@JurajMajer 的大量帮助，我得以使用此代码：

try
{
    // use the TLS protocol 
    ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls;

    // create HTTP web request with proper content type
    HttpWebRequest request = WebRequest.Create(url) as HttpWebRequest;
    request.ContentType = "application/xml;charset=UTF8";

    // grab the PFX as a X.509 certificate from disk
    string certFileName = Path.Combine(certPath, "webservice.pfx");

    // load the X.509 certificate and add to the web request
    X509Certificate2 cert = new X509Certificate2(certFileName, "(top-secret password)");
    request.ClientCertificates.Add(cert);
    request.PreAuthenticate = true;

    // call the web service and get response
    WebResponse response = request.GetResponse();

    Stream responseStream = response.GetResponseStream();

    string xmlContents = new StreamReader(responseStream).ReadToEnd();
}
catch (Exception exc)
{
    // log and print out error
}

Answer 1

您已将 X509Certificate(String, String) 构造函数与 PKCS#12 证书一起使用，但正如 MSDN 所说，该构造函数仅适用于 PKCS#7 证书...

使用名称初始化 X509Certificate 类的新实例 PKCS7 签名文件和访问证书的密码。

PKCS#7 不包括您需要的证书/私钥对的私钥（密钥）部分。这意味着根据证书的性质，您将需要使用 PKCS#12 证书。

您可能希望使用现有的 PKCS#12 证书尝试 X509Certificate2(String, String) 构造函数，因为正如 MSDN 所说，此构造函数与包含证书私钥的 PKCS#12 (PFX) 文件一起使用...

此构造函数使用一个新的 X509Certificate2 对象 证书文件名和访问证书所需的密码。 它与包含证书的 PKCS12 (PFX) 文件一起使用 私钥。使用正确的密码调用此构造函数 解密私钥并将其保存到密钥容器中。

Answer 2

尝试在客户端的 App.config 中启用网络跟踪 - instructions here。这应该创建带有更多调试信息的 network.log。在我的测试环境中，我有一个可以工作的 pfx 和一个不工作的 pfx。

用于工作 pfx 的 network.log：

SecureChannel#9343812 - We have user-provided certificates. The server has specified 34 issuer(s). Looking for certificates that match any of the issuers. SecureChannel#9343812 - Left with 1 client certificates to choose from. SecureChannel#9343812 - Trying to find a matching certificate in the certificate store. SecureChannel#9343812 - Locating the private key for the certificate: SecureChannel#9343812 - Certificate is of type X509Certificate2 and contains the private key.

非工作 pfx 的网络日志：

SecureChannel#26756241 - We have user-provided certificates. The server has specified 34 issuer(s). Looking for certificates that match any of the issuers. SecureChannel#26756241 - Left with 0 client certificates to choose from.

所以对我来说，问题是我的非工作证书是由不在列表中的 CA 颁发的。

有趣的点（可能的问题）：

1.) 服务器发送客户端证书的已知颁发者列表。

2.) 客户端代码正在证书存储事件中查找证书和私钥，尽管两者都在 pfx 中。