Question

面对一个非常奇怪的问题X509Certificate2.Verify（）为有效证书返回false。也许有些人之前已经遇到过这种奇怪的情况，并且可以对它有所启发。

我使用openssl生成客户端证书以进行测试。我创建了一个根CA并根据该根CA生成客户端证书，并将根CA添加到其链中。

我将根CA和客户端证书加载到本地证书存储区，看起来没问题但是当我从我的NUnit代码加载它以测试X509Certificate2.Verify（）时总是返回false。

enter image description here

以下是从商店加载Cert的代码：

        X509Store store = new X509Store(StoreName.My);
        string thumbprint = "60 d1 38 95 ee 3a 73 1e 7e 0d 70 68 0f 2d d0 69 1e 9a eb 72";
        store.Open(OpenFlags.ReadOnly);
        var mCert = store.Certificates.Find(
                                X509FindType.FindByThumbprint,
                                thumbprint,
                                true
                              ).OfType<System.Security.Cryptography.X509Certificates.X509Certificate>().FirstOrDefault();
        if(mCert != null)
        {
            var testClientCert = new X509Certificate2(mCert);
        }

这是我刚刚生成的客户端证书：（可以从我的本地计算机正确访问CRL URL）

以下是我从浏览器访问时下载的CRL文件：

Answer 1

根据X509Certificate2.Verify文档

此方法为证书构建一个简单链，并将基本策略应用于该链。如果您需要有关故障的更多信息，请使用X509Chain对象直接验证证书。

因此我会尝试使用此代码构建链（将Log方法替换为您自己的实现，我使用的是Console.Writeline）

X509Chain chain = new X509Chain();

try
{
    var chainBuilt = chain.Build(testClientCert );
    Log(string.Format("Chain building status: {0}", chainBuilt));

    if (chainBuilt == false)
        foreach (X509ChainStatus chainStatus in chain.ChainStatus)
            Log(string.Format("Chain error: {0} {1}", chainStatus.Status, chainStatus.StatusInformation));
}
catch (Exception ex)
{
    Log(ex.ToString());
}

此代码将告诉您无法验证证书的原因。如果您需要调整连锁政策，请设置chain.ChainPolicy属性，即

chain.ChainPolicy = new X509ChainPolicy()
{
    RevocationMode = X509RevocationMode.NoCheck,
    VerificationFlags = X509VerificationFlags.IgnoreNotTimeValid,
    UrlRetrievalTimeout = new TimeSpan(0, 1, 0)
};

X509Certificate2.Verify（）始终返回false

1 个答案: