X509Certificate2.Verify() restituisce false sempre

Di fronte a un problema davvero strano X509Certificate2.Verify() restituisce false per un certificato valido. Forse qualcuno ha già affrontato questo strano scenario prima e può far luce su di esso.X509Certificate2.Verify() restituisce false sempre

Sto usando openssl per generare certificati client a scopo di test. Creo una CA radice e generi un certificato client basato su tale CA radice e aggiungo la CA radice alla relativa catena.

Carico la CA radice e il Cert client nell'archivio certificati locale e sembra ok, ma quando lo carico dal mio codice NUnit per testare X509Certificate2.Verify() restituisce sempre false.

enter image description here

ecco il codice per caricare il Cert dal negozio:

 X509Store store = new X509Store(StoreName.My); 
     string thumbprint = "60 d1 38 95 ee 3a 73 1e 7e 0d 70 68 0f 2d d0 69 1e 9a eb 72"; 
     store.Open(OpenFlags.ReadOnly); 
     var mCert = store.Certificates.Find(
           X509FindType.FindByThumbprint, 
           thumbprint, 
           true 
          ).OfType<System.Security.Cryptography.X509Certificates.X509Certificate>().FirstOrDefault(); 
     if(mCert != null) 
     { 
      var testClientCert = new X509Certificate2(mCert); 
     }

Ecco il Cert client che ho appena generato: (l'url CRL è accessibile dalla mia macchina locale correttamente)

E qui è il file CRL che ottiene download quando accedo dal browser:

fonte

2015-02-27 Deb

Ci sono alcune domande relative a questo, come questo: http://stackoverflow.com/questions/1277791/x509certificate2-validation-on-web- servizio Hai provato qualcuno di questi ancora? – weston

@weston Sì, davvero. Ho controllato il seguente link che sembra essere il mio, http://stackoverflow.com/questions/10137208/x509certificate2-verify-method-always-return-false-for-the-valid-certificate?rq=1 ma poi posso accedere all'URL CRL nel mio client cert bene dal browser e sto usando i test di Nunits che funzionano con l'account utente Windows locale che ho usato per installare Cert e il suo RootCA nell'archivio Cert corrente per questo utente Windows . – Deb

per favore, esportare questo certificato in un file e mostrarci l'output del comando certutil: 'certutil -verify -urlfetch \ file.cer'. – Crypt32

Secondo la documentazione X509Certificate2.Verify

Questo metodo crea una semplice catena per il certificato e applica il criterio base per quella catena. Se sono necessarie ulteriori informazioni su un errore, convalidare il certificato direttamente utilizzando l'oggetto X509Chain.

Perciò vorrei cercare di costruire la catena utilizzando questo codice (sostituire il metodo Login con la propria implementazione, stavo usando Console.Writeline)

X509Chain chain = new X509Chain(); 

try 
{ 
    var chainBuilt = chain.Build(testClientCert); 
    Log(string.Format("Chain building status: {0}", chainBuilt)); 

    if (chainBuilt == false) 
     foreach (X509ChainStatus chainStatus in chain.ChainStatus) 
      Log(string.Format("Chain error: {0} {1}", chainStatus.Status, chainStatus.StatusInformation)); 
} 
catch (Exception ex) 
{ 
    Log(ex.ToString()); 
}

Questo codice vi dirà il motivo per cui il certificato potrebbe non essere verificato Se è necessario adattare la politica catena quindi impostare chain.ChainPolicy proprietà cioè

chain.ChainPolicy = new X509ChainPolicy() 
{ 
    RevocationMode = X509RevocationMode.NoCheck, 
    VerificationFlags = X509VerificationFlags.IgnoreNotTimeValid, 
    UrlRetrievalTimeout = new TimeSpan(0, 1, 0) 
};

fonte

2015-02-27 11:27:26 pepo

Sì, vero. Ma prima voglio solo fare un controllo di base se il certificato è valido e poi andare a controllare l'intera catena.Non voglio perdere tempo a controllare l'intera catena (che a proposito può essere molto grande nel mio caso) prima che la verifica di base passi sul certificato, il che credo sia un caso d'uso abbastanza semplice e valido. – Deb

Questo codice mi ha aiutato a capire perché Verify() restituiva false. Il chainStatus.StatusInformation ha restituito quanto segue: "La funzione di revoca non è stata in grado di controllare la revoca del certificato." Nel tuo caso, lo stato potrebbe essere diverso, ma credo che il codice sopra riportato sia utile per la risoluzione dei problemi. – user3308241

@Deb Verify crea l'intera catena, ma la butta via. Puoi anche costruirlo da solo (a condizione che tu lo disponga (4.6) o chiamare Reset su di esso (altro) quando hai finito). – bartonjs

X509Certificate2.Verify() restituisce false sempre

risposta

Problemi correlati