3

我正在尝试验证来自签名链的证书是否返回到Windows不信任的特定根证书（它是应用程序的私有证书）。

我目前这样做的尝试涉及创建一个链接引擎，它只信任我想要的特定证书作为根，因此不能生成其他链。

HCERTSTORE hPrivateRootStore = CertOpenStore(CERT_STORE_PROV_FILENAME, dwEncoding,
    NULL, CERT_STORE_OPEN_EXISTING_FLAG | CERT_STORE_READONLY_FLAG,
    _T("C:\\Test\\PrivateRoot.cer"));
CERT_CHAIN_ENGINE_CONFIG config;
memset(&config, 0, sizeof(config));
config.cbSize = sizeof(config);
config.hRestrictedTrust = hPrivateRootStore;
config.dwFlags = CERT_CHAIN_CACHE_ONLY_URL_RETRIEVAL | CERT_CHAIN_ENABLE_SHARE_STORE;
HCERTCHAINENGINE hEngine;
CertCreateCertificateChainEngine(&config, &hEngine);
CERT_CHAIN_PARA params;
memset(&params, 0, sizeof(params));
params.cbSize = sizeof(params);
PCCERT_CHAIN_CONTEXT chains = NULL;
if (CertGetCertificateChain(hEngine, pCertContext, NULL, hStore, &params,
    0, NULL, &chains))
   ...

（为清楚起见，省略了错误检查；pCertContext并且hStore来自从CryptQueryObject签名的二进制文件中提取签名和相关证书。）

不幸的是，这似乎不起作用。尽管使用了自定义链接引擎，但它似乎仍在搜索 OS 存储，并且要么找不到链，要么找到一个到不同的根（操作系统信任）。我只能通过将我的私有根证书添加到操作系统受信任的存储中来获得我想要的链。

我也尝试设置config.hRestrictedOther为空的内存存储，因为文档建议使用hRestrictedTrust非 NULL 将再次引入系统存储，但这没有任何区别。

有什么我错过的，或者更好的方法吗？

编辑：只是为了提供更多上下文，我正在尝试做一些类似于驱动程序签名证书的事情，其中​​签名证书链回两个不同的根：一个受操作系统信任的标准 CA 根和一个内部根（在驱动程序也受操作系统信任，但在我的情况下，只会受我的应用程序信任）。十字架出现在“主”链的中间位置；可能有许多不同的文件都使用不同的“真实”CA 签名，但仍链接回我的内部证书。

4

1 回答 1

2

我现在找到了一个半生不熟的解决方法；它有点难看，但确实有点用。我从Chromium 的测试套件中得到了基本的想法；它涉及在 Crypt32 中安装一个钩子，这样当它尝试打开系统存储以构建链时，它会获取我的自定义存储，其中仅包含我想要的证书。

好处是，这似乎迫使CertGetCertificateChain“过去”真正的 CA 证书并一直链接到我的自定义证书，而不是停在 CA 证书上（这是受信任时通常会做的事情）。

不好的是，它似乎并没有阻止它建立链并信任任何其他 CA 证书。我可以通过明确验证链的根是我想要的证书来解决这个问题，但这并不理想，而且我不确定是否存在会出错的情况。

仍在寻找更好的解决方案；我肯定会觉得我在某个地方走错了路。

好的，新计划。我现在只是手动走链（因为我知道我关心的所有证书都hStore将从签名的 .exe 中提取），基本结构如下：

  • 用于WinVerifyTrust进行基本的“是否未被篡改”身份验证。
  • 用于从 .exeCryptQueryObject获取证书存储hStore
  • 使用CryptMsgGetParam和CertFindCertificateInStore从 中查找签名证书hStore。
  • 从签名证书开始，在循环中使用CertFindCertificateInStorewithCERT_FIND_SUBJECT_NAME来查找潜在的颁发者证书；继续往回走，直到我找到一个自签名证书或找到我想要的根（通过检查匹配CertComparePublicKeyInfo）。
  • CertVerifySubjectCertificateContext如果说签名不匹配，则放弃特定分支。

似乎比我之前尝试的方法更干净。想法/评论/替代方案？

（在某些方面似乎更有意义的事情是添加一个额外的自定义副签名[类似于时间戳]，而不是尝试像这样链接证书，但我找不到任何关于这样做的信息，或者什么优点/缺点是。）

于 2011-09-27T02:39:05.953 回答