使用 ServerCertificateValidationCallback 的最佳实践

Question

我正在开发一个在两个后端服务器之间使用 HTTP 通信的项目。服务器使用 X509 证书进行身份验证。不用说，当服务器 A（客户端）与服务器 B（服务器）建立连接时，会出现 SSL/TLS 验证错误，因为使用的证书不是来自受信任的第 3 方机构。

一般情况下，处理方式是使用ServicePointManager.ServerCertificateValidationCallback，如：

ServicePointManager.ServerCertificateValidationCallback += 
        (sender, cert, chain, error) =>
{
    return cert.GetCertHashString() == "xxxxxxxxxxxxxxxx";
};

这种方法有效，但并不理想。它本质上所做的是覆盖应用程序完成的每个 http 请求的验证过程。因此，如果另一个类尝试运行 HTTP 请求，它将失败。此外，如果另一个类出于自己的目的覆盖了ServicePointManager.ServerCertificateValidationCallback，那么我的通信就会突然开始失败。

想到的唯一解决方案是创建一个单独的AppDomain 来执行客户端 HTTP 请求。这会起作用，但实际上 - 必须这样做才能执行 HTTP 请求是很愚蠢的。开销将是惊人的。

考虑到这一点，有没有人研究过 .NET 中是否有更好的做法，允许访问 Web 服务，同时处理客户端 SSL/TLS 验证而不影响其他 Web 客户端？

Answer 1

在 .NET 4.5+ 中工作的可接受（安全）方法是使用@987654321@.@987654322@。在特定请求实例上分配该回调将仅更改请求的验证逻辑，而不影响其他请求。

var request = (HttpWebRequest)WebRequest.Create("https://...");
request.ServerCertificateValidationCallback += 
        (sender, cert, chain, error) =>
{
    return cert.GetCertHashString() == "xxxxxxxxxxxxxxxx";
};

Answer 2

对于不使用 HttpWebRequest 的代码以及无法在证书存储中安装受信任证书的环境的替代方法：检查回调的错误参数，该参数将包含在回调之前检测到的任何错误。这样，您可以忽略特定哈希字符串的错误，但仍接受其他通过验证的证书。

ServicePointManager.ServerCertificateValidationCallback += 
    (sender, cert, chain, error) =>
{
    if (cert.GetCertHashString() == "xxxxxxxxxxxxxxxx")
    {
        return true;
    }
    else
    {
       return error == SslPolicyErrors.None;
    }
};

参考： https://msdn.microsoft.com/en-us/library/system.net.security.remotecertificatevalidationcallback(v=vs.110).aspx

请注意，这仍然会影响同一 appdomain 中的其他 Web 客户端实例（它们都将接受指定的哈希字符串），但至少不会阻止其他证书。

Answer 3

此方案的直接方法应该是在客户端计算机上的受信任根存储中安装两个自行生成的证书。执行此操作时您会收到安全警告，因为证书无法使用 Thawte 或类似工具进行身份验证，但在此之后，常规安全通信应该可以工作。 IIRC，您需要在受信任的根目录中安装完整（公钥和私钥）版本才能正常工作。

Answer 4

聚会有点晚了，我知道，但另一种选择是使用继承 IDisposable 的类，可以将其放入代码周围的 using(){} 块中：

public class ServicePointManagerX509Helper : IDisposable
{
    private readonly SecurityProtocolType _originalProtocol;

    public ServicePointManagerX509Helper()
    {
        _originalProtocol = ServicePointManager.SecurityProtocol;
        ServicePointManager.ServerCertificateValidationCallback += TrustingCallBack;
    }

    public void Dispose()
    {
        ServicePointManager.SecurityProtocol = _originalProtocol;
        ServicePointManager.ServerCertificateValidationCallback -= TrustingCallBack;
    }

    private bool TrustingCallBack(object sender, X509Certificate certificate, X509Chain chain, SslPolicyErrors sslPolicyErrors)
    {
        // The logic for acceptance of your certificates here
        return true;
    }
}

以这种方式使用：

using (new ServicePointManagerX509Helper())
{
    // Your code here
}