c# – Как использовать сертификат клиента для аутентификации и авторизации в веб-API –

Question

Я пытаюсь использовать сертификат клиента для аутентификации и авторизации устройств с помощью веб-API, и разработал простое доказательство концепции для работы с проблемами с потенциальным решением. Я столкнулся с проблемой, когда сертификат клиента не получает веб-приложение. Несколько человек сообщили об этой проблеме, в том числе в этом Q & amp; A, но ни у одного из них нет ответа. Я надеюсь предоставить более подробную информацию, чтобы возобновить эту проблему и, надеюсь, получить ответ на мою проблему. Я открыт для других решений. Основное требование – автономный процесс, написанный на C #, может вызывать веб-API и проходить аутентификацию с использованием сертификата клиента.

Веб-API в этом POC очень прост и возвращает только одно значение. Он использует атрибут для проверки использования HTTPS и наличия сертификата клиента.

public class SecureController : ApiController
{
    [RequireHttps]
    public string Get(int id)
    {
        return "value";
    }

}

Вот код для RequireHttpsAttribute:

public class RequireHttpsAttribute : AuthorizationFilterAttribute 
{ 
    public override void OnAuthorization(HttpActionContext actionContext) 
    { 
        if (actionContext.Request.RequestUri.Scheme != Uri.UriSchemeHttps) 
        { 
            actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden) 
            { 
                ReasonPhrase = "HTTPS Required" 
            }; 
        } 
        else 
        {
            var cert = actionContext.Request.GetClientCertificate();
            if (cert == null)
            {
                actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden)
                {
                    ReasonPhrase = "Client Certificate Required"
                }; 

            }
            base.OnAuthorization(actionContext); 
        } 
    } 
}

В этом POC я просто проверяю наличие сертификата клиента. Как только это сработает, я могу добавить в сертификат проверки информации для проверки на соответствие списку сертификатов.

Вот настройки в IIS для SSL для этого веб-приложения.

enter image description here

Вот код для клиента, который отправляет запрос с сертификатом клиента. Это консольное приложение.

    private static async Task SendRequestUsingHttpClient()
    {
        WebRequestHandler handler = new WebRequestHandler();
        X509Certificate certificate = GetCert("ClientCertificate.cer");
        handler.ClientCertificates.Add(certificate);
        handler.ServerCertificateValidationCallback = new RemoteCertificateValidationCallback(ValidateServerCertificate);
        handler.ClientCertificateOptions = ClientCertificateOption.Manual;
        using (var client = new HttpClient(handler))
        {
            client.BaseAddress = new Uri("https://localhost:44398/");
            client.DefaultRequestHeaders.Accept.Clear();
            client.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));

            HttpResponseMessage response = await client.GetAsync("api/Secure/1");
            if (response.IsSuccessStatusCode)
            {
                string content = await response.Content.ReadAsStringAsync();
                Console.WriteLine("Received response: {0}",content);
            }
            else
            {
                Console.WriteLine("Error, received status code {0}: {1}", response.StatusCode, response.ReasonPhrase);
            }
        }
    }

    public static bool ValidateServerCertificate(
      object sender,
      X509Certificate certificate,
      X509Chain chain,
      SslPolicyErrors sslPolicyErrors)
    {
        Console.WriteLine("Validating certificate {0}", certificate.Issuer);
        if (sslPolicyErrors == SslPolicyErrors.None)
            return true;

        Console.WriteLine("Certificate error: {0}", sslPolicyErrors);

        // Do not allow this client to communicate with unauthenticated servers.
        return false;
    }

Когда я запускаю это тестовое приложение, я получаю код состояния 403 Forbidden с фразой причины «Требуется сертификат клиента», указывающей, что оно попадает в мой RequireHttpsAttribute и не находит никаких клиентских сертификатов. Запустив это через отладчик, я убедился, что сертификат загружается и добавляется в WebRequestHandler. Сертификат экспортируется в загружаемый файл CER. Полный сертификат с закрытым ключом находится в личных и доверенных корневых хранилищах локального компьютера для сервера веб-приложений. Для этого теста клиент и веб-приложение запускаются на одном компьютере.

Я могу вызвать этот метод веб-API с помощью Fiddler, прикрепив тот же сертификат клиента, и он отлично работает. При использовании Fiddler он проходит тесты в RequireHttpsAttribute и возвращает успешный код состояния 200 и возвращает ожидаемое значение.

Кто-нибудь сталкивался с той же проблемой, когда HttpClient не отправляет сертификат клиента в запросе, и нашел решение?

Обновление 1:

Я также попытался получить сертификат из хранилища сертификатов, в котором есть закрытый ключ. Вот как я его получил:

    private static X509Certificate2 GetCert2(string hostname)
    {
        X509Store myX509Store = new X509Store(StoreName.My, StoreLocation.LocalMachine);
        myX509Store.Open(OpenFlags.ReadWrite);
        X509Certificate2 myCertificate = myX509Store.Certificates.OfType<X509Certificate2>().FirstOrDefault(cert => cert.GetNameInfo(X509NameType.SimpleName, false) == hostname);
        return myCertificate;
    }

Я убедился, что этот сертификат получен правильно и был добавлен в коллекцию клиентских сертификатов. Но я получил те же результаты, когда код сервера не извлекает никаких клиентских сертификатов.

Для полноты, вот код, используемый для извлечения сертификата из файла:

    private static X509Certificate GetCert(string filename)
    {
        X509Certificate Cert = X509Certificate.CreateFromCertFile(filename);
        return Cert;

    }

Вы заметите, что когда вы получаете сертификат из файла, он возвращает объект типа X509Certificate, а когда вы получаете его из хранилища сертификатов, он имеет тип X509Certificate2. Метод X509CertificateCollection.Add ожидает тип X509Certificate.

Обновление 2: Я все еще пытаюсь понять это и пробовал много разных вариантов, но безрезультатно.

Я изменил веб-приложение, чтобы оно работало на имени хоста, а не на локальном хосте.
Я установил для веб-приложения требование SSL
Я подтвердил, что сертификат был настроен для аутентификации клиента и что он находится в доверенном корне
Помимо тестирования сертификата клиента в Fiddler, я также проверил его в Chrome.

В какой-то момент во время попытки этих вариантов он начал работать. Затем я начал откладывать изменения, чтобы посмотреть, что заставило их работать. Он продолжал работать. Затем я попытался удалить сертификат из доверенного корня, чтобы убедиться, что это необходимо, и он перестал работать, и теперь я не могу вернуть его к работе, хотя я вернул сертификат в доверенный корень. Теперь Chrome даже не запрашивает у меня сертификат, аналогичный тому, что он использовал, и он не работает в Chrome, но все еще работает в Fiddler. Должна быть какая-то волшебная конфигурация, которую мне не хватает.

Я также попытался включить «Согласование сертификата клиента» в привязке, но Chrome по-прежнему не запрашивает сертификат клиента. Вот настройки с помощью “netsh http show sslcert”

 IP:port                 : 0.0.0.0:44398
 Certificate Hash        : 429e090db21e14344aa5d75d25074712f120f65f
 Application ID          : {4dc3e181-e14b-4a21-b022-59fc669b0914}
 Certificate Store Name  : MY
 Verify Client Certificate Revocation    : Disabled
 Verify Revocation Using Cached Client Certificate Only    : Disabled
 Usage Check    : Enabled
 Revocation Freshness Time : 0
 URL Retrieval Timeout   : 0
 Ctl Identifier          : (null)
 Ctl Store Name          : (null)
 DS Mapper Usage    : Disabled
 Negotiate Client Certificate    : Enabled

Вот сертификат клиента, который я использую:

enter image description here

Я сбит с толку, в чем проблема. Я добавляю награду для всех, кто может помочь мне в этом разобраться.

Answer 1

Трассировка помогла мне найти, в чем проблема (спасибо, Фабиан за это предложение). При дальнейшем тестировании я обнаружил, что могу заставить сертификат клиента работать на другом сервере (Windows Server 2021). Я тестировал это на своей машине разработки (Window 7), чтобы отладить этот процесс. Таким образом, сравнив трассировку с IIS Server, который работал, и тем, который не работал, я смог точно определить соответствующие строки в журнале трассировки. Вот часть журнала, в которой работал сертификат клиента. Это настройка прямо перед отправкой

System.Net Information: 0 : [17444] InitializeSecurityContext(In-Buffers count=2, Out-Buffer length=0, returned code=CredentialsNeeded).
System.Net Information: 0 : [17444] SecureChannel#54718731 - We have user-provided certificates. The server has not specified any issuers, so try all the certificates.
System.Net Information: 0 : [17444] SecureChannel#54718731 - Selected certificate:

Вот как выглядел журнал трассировки на машине, на которой произошел сбой сертификата клиента.

System.Net Information: 0 : [19616] InitializeSecurityContext(In-Buffers count=2, Out-Buffer length=0, returned code=CredentialsNeeded).
System.Net Information: 0 : [19616] SecureChannel#54718731 - We have user-provided certificates. The server has specified 137 issuer(s). Looking for certificates that match any of the issuers.
System.Net Information: 0 : [19616] SecureChannel#54718731 - Left with 0 client certificates to choose from.
System.Net Information: 0 : [19616] Using the cached credential handle.

Сосредоточившись на строке, в которой указано, что сервер указал 137 эмитентов, я нашел это Вопросы и ответы, похожие на мою проблему. Решение для меня не было помечено как ответ, поскольку мой сертификат находился в доверенном корне. Ответ – тот, который находится под ним, где вы обновляете реестр. Я просто добавил значение в раздел реестра.

HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet Control SecurityProviders SCHANNEL

Имя значения: SendTrustedIssuerList Тип значения: REG_DWORD Данные значения: 0 (Ложь)

После добавления этого значения в реестр он начал работать на моей машине с Windows 7. Похоже, это проблема Windows 7.

Answer 2

Глядя на исходный код, я также думаю, что с закрытым ключом должна быть какая-то проблема.

На самом деле он проверяет, имеет ли переданный сертификат тип X509Certificate2 и имеет ли он закрытый ключ.

Если он не находит закрытый ключ, он пытается найти сертификат в хранилище CurrentUser, а затем в хранилище LocalMachine. Если он находит сертификат, он проверяет наличие закрытого ключа.

(см. исходный код из класса SecureChannnel, метод EnsurePrivateKey)

Таким образом, в зависимости от того, какой файл вы импортировали (.cer – без закрытого ключа или .pfx – с закрытым ключом) и в каком магазине он может не найти нужный, Request.ClientCertificate не будет заполнен.

Вы можете активировать Network Tracing, чтобы попробовать чтобы отладить это. Это даст вам следующий результат:

Про сертификаты: 1С Отчетность: Указан неправильный алгоритм

Answer 3

У меня действительно была похожая проблема, когда у нас было много доверенных корневых сертификатов. На нашем недавно установленном веб-сервере было больше сотни файлов. Наш корень начинался с буквы Z, поэтому он оказался в конце списка.

Проблема заключалась в том, что IIS отправил клиенту только первые двадцать с чем-то доверенных корней и усек остальные , включая наш. Это было несколько лет назад, не могу вспомнить название инструмента … он был частью пакета администрирования IIS, но Fiddler тоже должен. Осознав ошибку, мы удалили много доверенных корней, которые нам не нужны. Это было сделано методом проб и ошибок, поэтому будьте осторожны при удалении.

После очистки все заработало как шарм.

Answer 4

Недавно я столкнулся с подобной проблемой, и следование совету Фабиана фактически привело меня к решению. Оказывается, с клиентскими сертификатами вы должны обеспечить две вещи:

Закрытый ключ фактически экспортируется как часть сертификата.
Удостоверение пула приложений, на котором запущено приложение, имеет доступ к указанному закрытому ключу.

В нашем случае пришлось:

Импортируйте файл pfx в хранилище локального сервера, установив флажок экспорта, чтобы убедиться, что закрытый ключ был отправлен.
Используя консоль MMC, предоставьте учетной записи службы доступ к закрытому ключу сертификата.

Проблема с доверенным корнем, описанная в других ответах, является допустимой, но в нашем случае это не проблема.

Answer 5

Обновление:

Пример от Microsoft:

https://my-sertif.ru/en-us/azure/app-service/app-service-web-configure-tls-mutual-auth#special-considerations-for-certificate-validation

Исходный

Вот как я получил сертификат клиента и проверял, выдал ли его конкретный корневой центр сертификации и является ли он конкретным сертификатом.

Сначала я отредактировал <src>.vsconfigapplicationhost.config и внес следующее изменение: <section name="access" overrideModeDefault="Allow" />

Это позволяет мне редактировать <system.webServer> в web.config и добавлять следующие строки, которые потребуют сертификации клиента в IIS Express. Примечание. Я отредактировал это в целях разработки, не разрешайте переопределения в рабочей среде .

Для производства следуйте инструкциям, подобным этому, чтобы настроить IIS:

https://medium.com/@hafizmohammedg/configuring-client-certificates-on-iis-95aef4174ddb

Web.config :

<security>
  <access sslFlags="Ssl,SslNegotiateCert,SslRequireCert" />
</security>

Контроллер API:

[RequireSpecificCert]
public class ValuesController : ApiController
{
    // GET api/values
    public IHttpActionResult Get()
    {
        return Ok("It works!");
    }
}

Атрибут :

public class RequireSpecificCertAttribute : AuthorizationFilterAttribute
{
    public override void OnAuthorization(HttpActionContext actionContext)
    {
        if (actionContext.Request.RequestUri.Scheme != Uri.UriSchemeHttps)
        {
            actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden)
            {
                ReasonPhrase = "HTTPS Required"
            };
        }
        else
        {
            X509Certificate2 cert = actionContext.Request.GetClientCertificate();
            if (cert == null)
            {
                actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden)
                {
                    ReasonPhrase = "Client Certificate Required"
                };

            }
            else
            {
                X509Chain chain = new X509Chain();

                //Needed because the error "The revocation function was unable to check revocation for the certificate" happened to me otherwise
                chain.ChainPolicy = new X509ChainPolicy()
                {
                    RevocationMode = X509RevocationMode.NoCheck,
                };
                try
                {
                    var chainBuilt = chain.Build(cert);
                    Debug.WriteLine(string.Format("Chain building status: {0}", chainBuilt));

                    var validCert = CheckCertificate(chain, cert);

                    if (chainBuilt == false || validCert == false)
                    {
                        actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden)
                        {
                            ReasonPhrase = "Client Certificate not valid"
                        };
                        foreach (X509ChainStatus chainStatus in chain.ChainStatus)
                        {
                            Debug.WriteLine(string.Format("Chain error: {0} {1}", chainStatus.Status, chainStatus.StatusInformation));
                        }
                    }
                }
                catch (Exception ex)
                {
                    Debug.WriteLine(ex.ToString());
                }
            }

            base.OnAuthorization(actionContext);
        }
    }

    private bool CheckCertificate(X509Chain chain, X509Certificate2 cert)
    {
        var rootThumbprint = WebConfigurationManager.AppSettings["rootThumbprint"].ToUpper().Replace(" ", string.Empty);

        var clientThumbprint = WebConfigurationManager.AppSettings["clientThumbprint"].ToUpper().Replace(" ", string.Empty);

        //Check that the certificate have been issued by a specific Root Certificate
        var validRoot = chain.ChainElements.Cast<X509ChainElement>().Any(x => x.Certificate.Thumbprint.Equals(rootThumbprint, StringComparison.InvariantCultureIgnoreCase));

        //Check that the certificate thumbprint matches our expected thumbprint
        var validCert = cert.Thumbprint.Equals(clientThumbprint, StringComparison.InvariantCultureIgnoreCase);

        return validRoot && validCert;
    }
}

Затем можно вызвать API с такой сертификацией клиента, протестированной в другом веб-проекте.

[RoutePrefix("api/certificatetest")]
public class CertificateTestController : ApiController
{

    public IHttpActionResult Get()
    {
        var handler = new WebRequestHandler();
        handler.ClientCertificateOptions = ClientCertificateOption.Manual;
        handler.ClientCertificates.Add(GetClientCert());
        handler.UseProxy = false;
        var client = new HttpClient(handler);
        var result = client.GetAsync("https://localhost:44331/api/values").GetAwaiter().GetResult();
        var resultString = result.Content.ReadAsStringAsync().GetAwaiter().GetResult();
        return Ok(resultString);
    }

    private static X509Certificate GetClientCert()
    {
        X509Store store = null;
        try
        {
            store = new X509Store(StoreName.My, StoreLocation.CurrentUser);
            store.Open(OpenFlags.OpenExistingOnly | OpenFlags.ReadOnly);

            var certificateSerialNumber= "‎81 c6 62 0a 73 c7 b1 aa 41 06 a3 ce 62 83 ae 25".ToUpper().Replace(" ", string.Empty);

            //Does not work for some reason, could be culture related
            //var certs = store.Certificates.Find(X509FindType.FindBySerialNumber, certificateSerialNumber, true);

            //if (certs.Count == 1)
            //{
            //    var cert = certs[0];
            //    return cert;
            //}

            var cert = store.Certificates.Cast<X509Certificate>().FirstOrDefault(x => x.GetSerialNumberString().Equals(certificateSerialNumber, StringComparison.InvariantCultureIgnoreCase));

            return cert;
        }
        finally
        {
            store?.Close();
        }
    }
}