SslStream 身份验证失败答案

【问题标题】：SslStream authentication failureSslStream 身份验证失败
【发布时间】：2013-10-06 07:37:27
【问题描述】：

大家，我正在尝试写一些关于 SSL 的内容，问题是：

我在下面构建了一些东西：

CA 证书（自制 CA）
Server pfx、Server cert、Server key（自制CA签名到“localhost”）

现在我正在使用.Net SslStream 来测试连接：（客户端和服务器在不同的线程中，并且已经建立了TCP连接）

客户：

sslStream.AuthenticateAsClient("localhost");

服务器：

sslStream.AuthenticateAsServer(serverCert); 
//serverCert is X509Certificate2 built from "server.pfx"

客户端的AuthenticateAsClient方法会抛出异常

“根据验证程序，远程证书无效。”

我猜是因为服务器的证书是由一个不受信任的CA签署的，所以认证失败了，那我该如何将CA证书添加到我的信任列表中呢？

我尝试在客户端代码中添加以下代码，但它不起作用

        X509Store store = new X509Store(StoreName.TrustedPublisher, StoreLocation.CurrentUser);
        store.Open(OpenFlags.ReadWrite);
        store.Add(new X509Certificate2(Resources.CACertPath));
        store.Close();
        sslStream.AuthenticateAsClient("localhost");

【问题讨论】：

一种方法是完全删除 CA，并编写一个验证回调，将证书指纹与硬编码值进行比较。
@CodesInChaos 是的，我可以实现 RemoteCertificateCallback 并设法返回 true，但是这种方法是有限的，因为如果我们想信任一个新证书，我必须修改代码。我想知道有没有办法在 C# 代码中加载 CA 证书？

标签： c# ssl

【解决方案1】：

以下代码将避免 Windows 证书存储并验证链。

我认为没有理由将验证链所需的 CA 证书添加到证书存储中的数百个证书中。这意味着 Windows 将尝试使用“数百个 + 1”证书而不是真正需要的一个证书来验证链。

我不想出了如何默认使用这个链（下面的chain2），这样就不需要回调了。也就是说，将它安装在 ssl 套接字上，连接将“正常工作”。而且我没有弄清楚如何安装它以便将其传递到回调中。也就是说，我必须为回调的每次调用构建链。我认为这些是 .Net 中的架构缺陷，但我可能遗漏了一些明显的东西。

函数的名称无关紧要。下面，VerifyServerCertificate 是与 SslStream 类中的 RemoteCertificateValidationCallback 相同的回调。您也可以将其用于ServicePointManager 中的ServerCertificateValidationCallback。

static bool VerifyServerCertificate(object sender, X509Certificate certificate,
    X509Chain chain, SslPolicyErrors sslPolicyErrors)
{
    try
    {
        String CA_FILE = "ca-cert.der";
        X509Certificate2 ca = new X509Certificate2(CA_FILE);

        X509Chain chain2 = new X509Chain();
        chain2.ChainPolicy.ExtraStore.Add(ca);

        // Check all properties
        chain2.ChainPolicy.VerificationFlags = X509VerificationFlags.NoFlag;

        // This setup does not have revocation information
        chain2.ChainPolicy.RevocationMode = X509RevocationMode.NoCheck;

        // Build the chain
        chain2.Build(new X509Certificate2(certificate));

        // Are there any failures from building the chain?
        if (chain2.ChainStatus.Length == 0)
            return true;

        // If there is a status, verify the status is NoError
        bool result = chain2.ChainStatus[0].Status == X509ChainStatusFlags.NoError;
        Debug.Assert(result == true);

        return result;
    }
    catch (Exception ex)
    {
        Console.WriteLine(ex);
    }

    return false;
}

【讨论】：