Chuỗi chứng chỉ WCF, xác minh theo chương trình

Question

Tôi đang cố gắng sử dụng chứng chỉ theo chương trình, thay vì sử dụng cửa hàng. Tôi đang tạo X509Certificate2 với tên tệp và mật khẩu.

Điều này hoạt động tốt khi tôi đã thêm thủ công chứng chỉ gốc vào Cửa hàng chứng chỉ trong Người đáng tin cậy. Tuy nhiên, tôi không muốn phải làm điều đó trên mọi triển khai - tôi cũng muốn giải quyết nó theo cách lập trình.

Khi tôi xóa chứng chỉ gốc khỏi Cửa hàng chứng chỉ, tôi nhận được ngoại lệ.

Mọi thứ tôi đã đọc dường như nói rằng tôi phải thêm thủ công chứng chỉ gốc vào Cửa hàng chứng chỉ hoặc Chuỗi tin cậy sẽ không hoạt động.

Câu hỏi: Có cách lập trình để thiết lập Chuỗi tin cậy không, vì vậy tôi không phải thực hiện thủ công?

Mã này trông giống như:

 var serverCert = new X509Certificate2("FullPathToMyCertificate.cer", "Password"); 
     Client.ClientCredentials.ServiceCertificate.DefaultCertificate = serverCert; 

Trường hợp ngoại lệ, mà occures khi tôi cố gắng sử dụng các khách hàng, đó là:

System.IdentityModel.Tokens.SecurityTokenValidationException 

The X.509 certificate CN=notrealcertname, OU=TPA, OU=BMP, OU=Projects, O=Somebody, C=US is not in the trusted people store. 
The X.509 certificate CN=notrealcertname, OU=TPA, OU=BMP, OU=Projects, O=Somebody, C=US chain building failed. 
The certificate that was used has a trust chain that cannot be verified. 
Replace the certificate or change the certificateValidationMode. 
A certificate chain could not be built to a trusted root authority. 

Answer 1

Thành phần sử dụng xác minh chuỗi theo mặc định - khi chuỗi không thể xác minh bạn nhận được ngoại lệ đó. NẾU bạn muốn làm tất cả mọi thứ bao gồm cả xác minh của chuỗi trong mã thì bạn cần phải implement "custom validation" and integrate that into the WCF Host:

Client.ServiceCertificate.Authentication.CertificateValidationMode = 
       X509CertificateValidationMode.Custom; 
Client.ServiceCertificate.Authentication.CustomCertificateValidator = 
    new MyCertificateValidator(); 

Một lựa chọn khác sẽ được vô hiệu hóa hoàn toàn xác nhận (KHÔNG phục vụ sản xuất !!!)

Client.ServiceCertificate.Authentication.CertificateValidationMode = 
       X509CertificateValidationMode.None; 

EDIT - sau khi bình luận:

Đối với chứng thực chuỗi chính mình, bạn nên xem X509Chain và X509Store - để có được ý tưởng về cách xác minh chuỗi có thể được thực hiện, hãy xem Mono's implementation của Verify ... về cơ bản bạn sử dụng phương pháp Find để tìm kiếm số X509Certificate2Collection cho cha mẹ và trên ... các tiêu chí xác minh có xác nhận tùy chỉnh tùy thuộc vào bạn (chữ ký hợp lệ, chưa hết hạn ...).

một số liên kết tham khảo tại MSDN:

• http://msdn.microsoft.com/en-us/library/system.servicemodel.security.x509servicecertificateauthentication.certificatevalidationmode.aspx

• http://msdn.microsoft.com/en-us/library/system.identitymodel.selectors.x509certificatevalidator.aspx

• http://msdn.microsoft.com/en-us/library/ms733806.aspx