SSL olduğunda sertifika kontrolü nasıl göz ardı edilir

Bir Https kaynağı talep ettiğimde sertifika kontrolünü göz ardı etmenin bir yolunu bulmaya çalışıyorum, şimdiye kadar internette bazı yararlı makaleler buldum.

Ama hala bir sorunum var. Lütfen kodumu gözden geçirin. Kodun ne anlama geldiğini anlamıyorum ServicePointManager.ServerCertificateValidationCallback.

Bu temsilci yöntemi ne zaman çağrılacak? Ve bir soru daha, bu kodu hangi yere yazmalıyım? Önce ServicePointManager.ServerCertificateValidationCallbackçalıştırmak veya daha önce Stream stream = request.GetRequestStream()?

public HttpWebRequest GetRequest()
{
    CookieContainer cookieContainer = new CookieContainer();

    // Create a request to the server
    HttpWebRequest request = (HttpWebRequest)WebRequest.Create(_remoteUrl);

    #region Set request parameters

    request.Method = _context.Request.HttpMethod;
    request.UserAgent = _context.Request.UserAgent;
    request.KeepAlive = true;
    request.CookieContainer = cookieContainer;
    request.PreAuthenticate = true;
    request.AllowAutoRedirect = false;

    #endregion

    // For POST, write the post data extracted from the incoming request
    if (request.Method == "POST")
    {
        Stream clientStream = _context.Request.InputStream;
        request.ContentType = _context.Request.ContentType;
        request.ContentLength = clientStream.Length;

        ServicePointManager.ServerCertificateValidationCallback = delegate(
            Object obj, X509Certificate certificate, X509Chain chain, 
            SslPolicyErrors errors)
            {
                return (true);
            };

            Stream stream = request.GetRequestStream();

            ....
        }

        ....

        return request;
    }
}   

Sadece bir küresel olmadığı ServicePointManager , ayar ServicePointManager.ServerCertificateValidationCallback sonraki tüm istekleri bu politikayı devralan olacağı sonucu verecektir. Global bir "ayar" olduğu için Global.asax içindeki Application_Start yönteminde ayarlanması tercih edilir .

Geri aramayı ayarlamak, varsayılan davranışı geçersiz kılar ve kendiniz özel bir doğrulama rutini oluşturabilirsiniz.

Bu çözümü istek bazında uygulamak isteyen herkes için bu bir seçenektir ve bir Lambda ifadesi kullanır. Aynı Lambda ifadesi, blak3r tarafından bahsedilen genel filtreye de uygulanabilir. Bu yöntem .NET 4.5 gerektiriyor gibi görünüyor.

String url = "https://www.stackoverflow.com";
HttpWebRequest request = HttpWebRequest.CreateHttp(url);
request.ServerCertificateValidationCallback += (sender, certificate, chain, sslPolicyErrors) => true;

.NET 4.0'da, Lambda İfadesi genel filtreye bu şekilde uygulanabilir

ServicePointManager.ServerCertificateValidationCallback += (sender, certificate, chain, sslPolicyErrors) => true;

Bu benim için çalıştı:

System.Net.ServicePointManager.ServerCertificateValidationCallback +=
delegate(object sender, System.Security.Cryptography.X509Certificates.X509Certificate certificate,
                        System.Security.Cryptography.X509Certificates.X509Chain chain,
                        System.Net.Security.SslPolicyErrors sslPolicyErrors)
    {
        return true; // **** Always accept
    };

Snippet buradan: http://www.west-wind.com/weblog/posts/2011/Feb/11/HttpWebRequest-and-Ignoring-SSL-Certificate-Errors

Ayrıca kısa delege çözümü var:

ServicePointManager.ServerCertificateValidationCallback = delegate { return true; }; 

NET 4.5'ten önce özelliğin, kendisine erişme isteği üzerine ServicePointManager kullanılamadığı belirtildi.

İşte size ServicePointistek başına temelinde erişmenizi sağlayacak .NET 4.0 kodu . Size istek başına geri aramaya erişim sağlamaz, ancak sorunla ilgili daha fazla ayrıntı bulmanızı sağlar. Sadece scvPoint.Certificate(veya ClientCertificatetercih ederseniz) özelliklere erişin .

WebRequest request = WebRequest.Create(uri);

// oddity: these two .Address values are not necessarily the same!
//  The service point appears to be related to the .Host, not the Uri itself.
//  So, check the .Host vlaues before fussing in the debugger.
//
ServicePoint svcPoint = ServicePointManager.FindServicePoint(uri);
if (null != svcPoint)
{
    if (!request.RequestUri.Host.Equals(svcPoint.Address.Host, StringComparison.OrdinalIgnoreCase))
    {
        Debug.WriteLine(".Address              == " + request.RequestUri.ToString());
        Debug.WriteLine(".ServicePoint.Address == " + svcPoint.Address.ToString());
    }
    Debug.WriteLine(".IssuerName           == " + svcPoint.Certificate.GetIssuerName());
}

Sadece tesadüfen, bu, bildiğim belirli bir uygulamadaki tüm sertifika doğrulamasını kapatmanın en az ayrıntılı bir yoludur:

ServicePointManager.ServerCertificateValidationCallback = (a, b, c, d) => true;

ServicePointManager'a sertifika doğrulamasını genel olarak geçersiz kılacak bir geri arama eklemek yerine, geri aramayı yerel bir HttpClient örneğinde ayarlayabilirsiniz. Bu yaklaşım yalnızca bu HttpClient örneği kullanılarak yapılan çağrıları etkilemelidir.

Belirli sunucular için sertifika doğrulama hatalarının yok sayılmasının bir Web API denetleyicisinde nasıl uygulanabileceğini gösteren örnek kod aşağıda verilmiştir.

using System.Net.Http;
using System.Net.Security;
using System.Security.Cryptography.X509Certificates;

public class MyController : ApiController
{

    // use this HttpClient instance when making calls that need cert errors suppressed
    private static readonly HttpClient httpClient;

    static MyController()
    {
        // create a separate handler for use in this controller
        var handler = new HttpClientHandler();

        // add a custom certificate validation callback to the handler
        handler.ServerCertificateCustomValidationCallback = ((sender, cert, chain, errors) => ValidateCert(sender, cert, chain, errors));

        // create an HttpClient that will use the handler
        httpClient = new HttpClient(handler);
    }

    protected static ValidateCert(object sender, X509Certificate cert, X509Chain chain, SslPolicyErrors errors)
    {

        // set a list of servers for which cert validation errors will be ignored
        var overrideCerts = new string[]
        {
            "myproblemserver",
            "someotherserver",
            "localhost"
        };

        // if the server is in the override list, then ignore any validation errors
        var serverName = cert.Subject.ToLower();
        if (overrideCerts.Any(overrideName => serverName.Contains(overrideName))) return true;

        // otherwise use the standard validation results
        return errors == SslPolicyErrors.None;
    }

}

Adam'ın cevabına ve Rob'un yorumuna dayanarak şunu kullandım:

ServicePointManager.ServerCertificateValidationCallback += (sender, certificate, chain, sslPolicyErrors) => certificate.Issuer == "CN=localhost";

bu da "görmezden gelme" yi bir şekilde filtreler. Elbette gerektiği gibi başka ihraççılar da eklenebilir. Bazı eski kodları desteklememiz gerektiğinden, bu .NET 2.0'da test edilmiştir.

CA5386: Güvenlik açığı analiz araçları sizi bu kodlar konusunda uyaracaktır.

Doğru kod:

ServicePointManager.ServerCertificateValidationCallback += (sender, certificate, chain, sslPolicyErrors) =>
{
   return (sslPolicyErrors & SslPolicyErrors.RemoteCertificateNotAvailable) != SslPolicyErrors.RemoteCertificateNotAvailable;
};

.Net çekirdeği için

using (var handler = new HttpClientHandler())
{ 
    // allow the bad certificate
    handler.ServerCertificateCustomValidationCallback = (request, cert, chain, errors) => true;
    using (var httpClient = new HttpClient(handler))
    {
        await httpClient.PostAsync("the_url", null);
    }
}

Açıkça ifade edildi ...

ServicePointManager.ServerCertificateValidationCallback += new System.Net.Security.RemoteCertificateValidationCallback(CertCheck);

private static bool CertCheck(object sender, X509Certificate cert,
X509Chain chain, System.Net.Security.SslPolicyErrors error)
{
    return true;
}

Sani'nin ve blak3r'ın yanıtlarına ek olarak, uygulamamın başlangıç ​​koduna aşağıdakileri ekledim, ancak VB'de:

'** Overriding the certificate validation check.
Net.ServicePointManager.ServerCertificateValidationCallback = Function(sender, certificate, chain, sslPolicyErrors) True

Hile yapıyor gibi görünüyor.

İpucu: Bu yöntemi, yakında sona erecek olan sertifikaları izlemek için de kullanabilirsiniz. Bu, süresi dolmak üzere olan bir sertifika bulursanız pastırmanızı kaydedebilir ve zamanında düzeltebilir. Üçüncü şahıs şirketler için de iyi - bizim için bu DHL / FedEx. DHL, Şükran Günü'nden 3 gün önce bizi alt üst eden sertifikanın süresinin dolmasına izin verdi. Neyse ki düzeltmek üzereyim ... bu sefer!

    private static DateTime? _nextCertWarning;
    private static bool ValidateRemoteCertificate(object sender, X509Certificate cert, X509Chain chain, SslPolicyErrors error)
    {
        if (error == SslPolicyErrors.None)
        {
            var cert2 = cert as X509Certificate2;
            if (cert2 != null)
            { 
                // If cert expires within 2 days send an alert every 2 hours
                if (cert2.NotAfter.AddDays(-2) < DateTime.Now)
                {
                    if (_nextCertWarning == null || _nextCertWarning < DateTime.Now)
                    {
                        _nextCertWarning = DateTime.Now.AddHours(2);

                        ProwlUtil.StepReached("CERT EXPIRING WITHIN 2 DAYS " + cert, cert.GetCertHashString());   // this is my own function
                    }
                }
            }

            return true;
        }
        else
        {
            switch (cert.GetCertHashString())
            {
                // Machine certs - SELF SIGNED
                case "066CF9CAD814DE2097D367F22D3A7E398B87C4D6":    

                    return true;

                default:
                    ProwlUtil.StepReached("UNTRUSTED CERT " + cert, cert.GetCertHashString());
                    return false;
            }
        }
    }

Yukarıdaki birkaç cevap işe yarar. Kod değişiklikleri yapmaya devam etmek zorunda olmadığım ve kodumu güvensiz hale getirmediğim bir yaklaşım istedim. Bu nedenle bir beyaz liste oluşturdum. Beyaz liste herhangi bir veri deposunda tutulabilir. Çok küçük bir liste olduğu için yapılandırma dosyasını kullandım.

Kodum aşağıda.

ServicePointManager.ServerCertificateValidationCallback += (sender, cert, chain, error) => {
    return error == System.Net.Security.SslPolicyErrors.None || certificateWhitelist.Contains(cert.GetCertHashString());
};

Bu çözümün Unity C # sürümü:

void Awake()
{
    System.Net.ServicePointManager.ServerCertificateValidationCallback += ValidateCertification;
}

void OnDestroy()
{
    ServerCertificateValidationCallback = null;
}

public static bool ValidateCertification(object sender, X509Certificate certificate, X509Chain chain, System.Net.Security.SslPolicyErrors sslPolicyErrors)
{
    return true;
}