.Netプログラミング：SSL自己署名証明書で検証するもの

Question

サーバーに実際の証明書を作成させることはできませんが、セキュリティチェックをしたいと思います。ですから、私が読むと、はのcertsをチェックしているので、以下はあまりにも軽いです。

ServicePointManager.ServerCertificateValidationCallback = delegate { return true; }; 

クライアントにx509証明書の確認を依頼することをお勧めしますか？私が.NET言語（C＃/ f＃）を使用していることを考えると、

Answer 1

実際の証明書を作成するクライアントを取得できない場合は、少なくともサーバーを使用して証明書を作成するようにしてください。 CAが侵害されたかどうかを知ることができるので、証明書が有効であるか、少なくともCAから証明されているかを確認できます。あなたがすべてのCAを信頼しているなら、本当に何もチェックする価値はありません。

Answer 2

自己署名証明書を使用している場合は、ルート（Cert。Issuer）のチェーンエラーだけが予想されます。私はこのようなチェーンエラーのトラップを具体的に示唆し、他のすべてのエラーが発生することをお勧めします。あなたは本命を確認することができた場合

ServicePointManager.ServerCertificateValidationCallback += new RemoteCertificateValidationCallback(
    ValidateRemoteCertificate 
); 

private static bool ValidateRemoteCertificate(object sender, X509Certificate certificate, X509Chain chain, SslPolicyErrors policyErrors) 
{ 
    string trustedIssuer = "CN=www.domain.com"; 
    string trustedDomain = "CN=www.domain.com"; 
    bool policyErr = false; 

    switch (policyErrors) 
    { 
     case SslPolicyErrors.None: 
      policyErr |= false; 
      break; 
     case SslPolicyErrors.RemoteCertificateChainErrors: 
      bool chainErr = false; 
      foreach (X509ChainStatus status in chain.ChainStatus) 
      { 
       switch (status.Status) 
       { 
        case X509ChainStatusFlags.NoError: 
         chainErr |= false; 
         break; 
        case X509ChainStatusFlags.UntrustedRoot: 
         if (certificate.Subject != trustedDomain || certificate.Issuer != trustedIssuer) 
          chainErr |= true; 
         else 
          chainErr |= false; 
         break; 
        default: 
         chainErr |= true; 
         break; 
       }      
      } 
      policyErr |= chainErr; 
      break; 
     default: 
      policyErr |= true; 
      break; 
    } 

    return !policyErr; 
} 

Answer 3

あなたが機能で独自の検証ロジックを置くことができValidateRemoteCertificate

System.Net.ServicePointManager.ServerCertificateValidationCallback += (a, b, c, d) => 
{ 
    return ValidateRemoteCertificate(a, b, c, d); 
}; 

private static bool ValidateRemoteCertificate(object sender, X509Certificate certificate, 
      X509Chain chain, SslPolicyErrors policyErrors) 
{ 
      if (certificate.Subject.Equals("CN=www.domain.com")) 
       return true; 
      else 
       return policyErrors == SslPolicyErrors.None; 

}