7

我正在尝试使用 anHttpWebRequest来查询运行 nginx 的远程服务器。我需要提供客户端证书才能完成连接。

我正在执行以下操作:

Dim Request As HttpWebRequest = DirectCast(WebRequest.Create(Url), HttpWebRequest)
Dim Cert = SSL.GetClientCertificate()
Request.ClientCertificates.Clear()
Request.ClientCertificates.Add(Cert)
Dim Response As WebResponse = Request.GetResponse()

SSL.GetClientCertificate只是一个辅助方法,它My在本地计算机上打开存储并检索适当的证书(作为X509Certificate2)。正在返回正确的证书。我也尝试从具有相同结果的文件中加载证书。)

就目前情况而言,当我到达Dim Response As...并且它实际上试图打开连接时,我收到一个 400 Bad Request 返回,并带有以下正文:

400 Bad Request
No required SSL certificate was sent
-----------------------------------
nginx/1.0.10

我们正在使用我们自己的 CA,它LocalMachine\TrustedRootCertificationAuthorities在我的机器上有一个证书。客户端证书有效但验证失败,因为我们的 CA 没有公开OCSP端点。如果我创建一个 X509Chain 并要求它验证链而不检查撤销,一切都会通过。

所以我的问题是......为什么证书没有随请求一起发送?我不认为它应该在发送之前尝试验证客户端证书(这是服务器的工作)。

我不会在 Wireshark 日志中淹没你,但客户端没有发送证书。简而言之,我得到...

  • [Out] 客户你好
  • [在] 服务器你好
  • [在] 证书
  • [在]服务器你好完成
  • [出] 证书、客户端密钥交换、更改密码规范、加密握手消息
  • [在]更改密码规范,加密握手消息
  • [Out] 应用程序数据(大概是 GET 请求)
  • [在] 应用程序数据(大概是 400)
  • [In] 加密警报(终止频道)

认为nginx 正在做一些聪明的事情,而不是在我无法发送证书时死亡,而是重新协商以允许它发送 400 响应正文(而不是一开始就无法创建通道)

无论如何,我不会发送真正问题的证书。有谁知道为什么?

如果有帮助,nginx 的日志坚持没有发送证书(而不是证书无效):

2012/11/22 14:16:26 [info] 27755#0: *799 客户端在读取客户端请求标头时未发送所需的 SSL 证书,客户端:10.0.0.200,服务器:10.0.0.100,请求:“GET /state HTTP /1.1”,主机:“10.0.0.100”

请不要使用下面的代码 - 它效率低下,不可靠,仅用于测试

回复:获得证书:

Public Shared Function GetClientCertificate() As X509Certificate2
    Dim Store As New X509Store(StoreName.My, StoreLocation.LocalMachine)
    Dim Ret As X509Certificate2 = Nothing

    Try
        Store.Open(OpenFlags.ReadOnly Or OpenFlags.OpenExistingOnly)
        For Each Certificate In Store.Certificates
            If Certificate.SubjectName.Name = "The subjectname of our certificate" Then
                Ret = Certificate
                Exit For
            End If
        Next
    Finally
        Store.Close()
    End Try
    Return Ret
End Function
4

1 回答 1

4

您需要具有可访问私钥的证书才能将其用作客户端(或服务器,就此而言)证书。

只要您授予任何需要使用证书访问其私钥的用户,就可以将证书存储在机器证书存储中。您不能使用 .cer 对客户端进行身份验证,因为它只包含公钥。您可以通过为您的用户安装客户端证书并使用浏览器访问 URL 来测试所有内容。如果您得到一个选择证书的弹出窗口,则它已正确安装(对于该用户)。

于 2012-12-01T11:30:26.447 回答