Как использовать сертификат клиента для аутентификации и авторизации в веб-API

Ответ 1

Трассировка помогла мне найти проблему (спасибо Fabian за это предложение). Я нашел с дальнейшим тестированием, что я могу получить сертификат клиента для работы на другом сервере (Windows Server 2012). Я тестировал это на своей машине разработки (Window 7), чтобы я мог отлаживать этот процесс. Таким образом, сравнивая трассировку с IIS Server, который работал, и тот, который мне не удалось определить соответствующие строки в журнале трассировки. Вот часть журнала, в котором работал клиентский сертификат. Это настройка прямо перед отправкой

System.Net Information: 0 : [17444] InitializeSecurityContext(In-Buffers count=2, Out-Buffer length=0, returned code=CredentialsNeeded).
System.Net Information: 0 : [17444] SecureChannel#54718731 - We have user-provided certificates. The server has not specified any issuers, so try all the certificates.
System.Net Information: 0 : [17444] SecureChannel#54718731 - Selected certificate:

Вот как выглядел журнал трассировки на машине, где сбой сертификата клиента.

System.Net Information: 0 : [19616] InitializeSecurityContext(In-Buffers count=2, Out-Buffer length=0, returned code=CredentialsNeeded).
System.Net Information: 0 : [19616] SecureChannel#54718731 - We have user-provided certificates. The server has specified 137 issuer(s). Looking for certificates that match any of the issuers.
System.Net Information: 0 : [19616] SecureChannel#54718731 - Left with 0 client certificates to choose from.
System.Net Information: 0 : [19616] Using the cached credential handle.

Ориентируясь на строку, указав, что сервер указан 137 эмитентами, я нашел этот Q & A, который похож на мою проблему. Решение для меня было не тем, что было отмечено как ответ, так как мой сертификат был в доверенном корне. Ответ тот, что под ним, где вы обновляете реестр. Я просто добавил значение в раздел реестра.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL

Имя значения: SendTrustedIssuerList Тип значения: REG_DWORD Значение: 0 (False)

После добавления этого значения в реестр он начал работать на моей машине с Windows 7. Это, по-видимому, проблема Windows 7.

Ответ 2

Обновить:

Пример от Microsoft:

https://docs.microsoft.com/en-us/azure/app-service/app-service-web-configure-tls-mutual-auth#special-considerations-for-certificate-validation

оригинал

Так я получил сертификацию клиента и проверил, выдал ли ее конкретный корневой центр сертификации, а также какой-то конкретный сертификат.

Сначала я отредактировал <src>\.vs\config\applicationhost.config и сделал это изменение: <section name="access" overrideModeDefault="Allow"/>

Это позволяет мне редактировать <system.webServer> в web.config и добавлять следующие строки, которые потребуют сертификации клиента в IIS Express. Примечание: я редактировал это для целей разработки, не разрешать переопределения в производстве.

Для производства следуйте инструкциям, как это, чтобы настроить IIS:

https://medium.com/@hafizmohammedg/configuring-client-certificates-on-iis-95aef4174ddb

web.config:

<security>
  <access sslFlags="Ssl,SslNegotiateCert,SslRequireCert" />
</security>

Контроллер API:

[RequireSpecificCert]
public class ValuesController : ApiController
{
    // GET api/values
    public IHttpActionResult Get()
    {
        return Ok("It works!");
    }
}

Атрибут:

public class RequireSpecificCertAttribute : AuthorizationFilterAttribute
{
    public override void OnAuthorization(HttpActionContext actionContext)
    {
        if (actionContext.Request.RequestUri.Scheme != Uri.UriSchemeHttps)
        {
            actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden)
            {
                ReasonPhrase = "HTTPS Required"
            };
        }
        else
        {
            X509Certificate2 cert = actionContext.Request.GetClientCertificate();
            if (cert == null)
            {
                actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden)
                {
                    ReasonPhrase = "Client Certificate Required"
                };

            }
            else
            {
                X509Chain chain = new X509Chain();

                //Needed because the error "The revocation function was unable to check revocation for the certificate" happened to me otherwise
                chain.ChainPolicy = new X509ChainPolicy()
                {
                    RevocationMode = X509RevocationMode.NoCheck,
                };
                try
                {
                    var chainBuilt = chain.Build(cert);
                    Debug.WriteLine(string.Format("Chain building status: {0}", chainBuilt));

                    var validCert = CheckCertificate(chain, cert);

                    if (chainBuilt == false || validCert == false)
                    {
                        actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden)
                        {
                            ReasonPhrase = "Client Certificate not valid"
                        };
                        foreach (X509ChainStatus chainStatus in chain.ChainStatus)
                        {
                            Debug.WriteLine(string.Format("Chain error: {0} {1}", chainStatus.Status, chainStatus.StatusInformation));
                        }
                    }
                }
                catch (Exception ex)
                {
                    Debug.WriteLine(ex.ToString());
                }
            }

            base.OnAuthorization(actionContext);
        }
    }

    private bool CheckCertificate(X509Chain chain, X509Certificate2 cert)
    {
        var rootThumbprint = WebConfigurationManager.AppSettings["rootThumbprint"].ToUpper().Replace(" ", string.Empty);

        var clientThumbprint = WebConfigurationManager.AppSettings["clientThumbprint"].ToUpper().Replace(" ", string.Empty);

        //Check that the certificate have been issued by a specific Root Certificate
        var validRoot = chain.ChainElements.Cast<X509ChainElement>().Any(x => x.Certificate.Thumbprint.Equals(rootThumbprint, StringComparison.InvariantCultureIgnoreCase));

        //Check that the certificate thumbprint matches our expected thumbprint
        var validCert = cert.Thumbprint.Equals(clientThumbprint, StringComparison.InvariantCultureIgnoreCase);

        return validRoot && validCert;
    }
}

Затем можно вызвать API с такой же сертификацией клиента, протестированной из другого веб-проекта.

[RoutePrefix("api/certificatetest")]
public class CertificateTestController : ApiController
{

    public IHttpActionResult Get()
    {
        var handler = new WebRequestHandler();
        handler.ClientCertificateOptions = ClientCertificateOption.Manual;
        handler.ClientCertificates.Add(GetClientCert());
        handler.UseProxy = false;
        var client = new HttpClient(handler);
        var result = client.GetAsync("https://localhost:44331/api/values").GetAwaiter().GetResult();
        var resultString = result.Content.ReadAsStringAsync().GetAwaiter().GetResult();
        return Ok(resultString);
    }

    private static X509Certificate GetClientCert()
    {
        X509Store store = null;
        try
        {
            store = new X509Store(StoreName.My, StoreLocation.CurrentUser);
            store.Open(OpenFlags.OpenExistingOnly | OpenFlags.ReadOnly);

            var certificateSerialNumber= "‎81 c6 62 0a 73 c7 b1 aa 41 06 a3 ce 62 83 ae 25".ToUpper().Replace(" ", string.Empty);

            //Does not work for some reason, could be culture related
            //var certs = store.Certificates.Find(X509FindType.FindBySerialNumber, certificateSerialNumber, true);

            //if (certs.Count == 1)
            //{
            //    var cert = certs[0];
            //    return cert;
            //}

            var cert = store.Certificates.Cast<X509Certificate>().FirstOrDefault(x => x.GetSerialNumberString().Equals(certificateSerialNumber, StringComparison.InvariantCultureIgnoreCase));

            return cert;
        }
        finally
        {
            store?.Close();
        }
    }
}

Ответ 3

Убедитесь, что HttpClient имеет доступ к полному клиентскому сертификату (включая закрытый ключ).

Вы вызываете GetCert с файлом "ClientCertificate.cer", который приводит к предположению, что нет закрытого ключа, - скорее, это файл pfx в окнах. Еще лучше получить доступ к сертификату из хранилища сертификатов Windows и выполнить поиск с помощью отпечатка пальца.

Соблюдайте осторожность при копировании отпечатка пальца. При просмотре в режиме управления сертификатом есть некоторые непечатаемые символы (скопируйте строку в блокнот ++ и проверьте длину отображаемой строки).

Ответ 4

У меня действительно была аналогичная проблема, когда у нас было много доверенных корневых сертификатов. У нашего нового установленного веб-сервера было много ресурсов. Наш корень начался с буквы Z, поэтому он оказался в конце списка.

Проблема заключалась в том, что IIS отправил клиенту только первые двадцать доверенных корней и урезал остальных, включая наш. Это было несколько лет назад, я не могу вспомнить название инструмента... он был частью пакета администрирования IIS, но Fiddler тоже должен был это сделать. После реализации ошибки мы удалили много доверенных корней, которые нам не нужны. Это было сделано проб и ошибок, поэтому будьте осторожны, что вы удаляете.

После очистки все работало как шарм.

Ответ 5

Посмотрев исходный код, я также думаю, что с закрытым ключом должна быть проблема.

То, что он делает, это проверить, прошел ли сертификат, который был передан, типа X509Certificate2 и если он имеет закрытый ключ.

Если он не находит закрытый ключ, он пытается найти сертификат в хранилище CurrentUser, а затем в магазине LocalMachine. Если он находит сертификат, он проверяет наличие закрытого ключа.

(см. исходный код из класса SecureChannnel, метод EnsurePrivateKey)

Таким образом, в зависимости от того, какой файл вы импортировали (.cer - без закрытого ключа или .pfx - с закрытым ключом) и в каком хранилище он может не найти правильный, а Request.ClientCertificate не будет заполнен.

Вы можете активировать Network Tracing, чтобы попытаться отладить это. Он даст вам выход следующим образом:

• Попытка найти соответствующий сертификат в хранилище сертификатов
• Не удается найти сертификат в хранилище LocalMachine или в хранилище CurrentUser.

Ответ 6

Недавно я столкнулся с подобной проблемой, и, следуя советам Фабиана, я фактически нашел решение. Оказывается, с клиентскими сертификатами вы должны обеспечить две вещи:

1. Закрытый ключ фактически экспортируется как часть сертификата.

2. Удостоверение пула приложений, в котором выполняется приложение, имеет доступ к указанному закрытому ключу.

В нашем случае мне пришлось:

1. Импортируйте файл pfx в хранилище локального сервера, установив флажок экспорта, чтобы убедиться, что закрытый ключ был разослан.
2. Используя консоль MMC, предоставьте служебной учетной записи доступ к закрытому ключу для сертификата.

Проблема доверенного корня, описанная в других ответах, является действительной, но в нашем случае это была не проблема.