Если вы знаете, какие сертификаты могут быть корневыми и промежуточными сертификатами для проверки сертификата, вы можете загрузить открытые ключи корневых и промежуточных сертификатов в коллекцию ChainPolicy.ExtraStore объекта X509Chain.
Моей задачей было также написать приложение Windows Forms для установки сертификата, только если оно было выпущено в зависимости от известного «Национального корневого сертификата» правительства моей страны. Также имеется ограниченное количество центров сертификации, которым разрешено выдавать сертификаты для проверки подлинности соединений с национальными веб-службами, поэтому у меня был ограниченный набор сертификатов, которые могут быть в цепочке и могут отсутствовать на целевом компьютере. Я собрал все открытые ключи CA и правительственные корневые сертификаты в подкаталоге «cert» приложения:
В Visual Studio я добавил сертификат сертификата в решение и пометил все файлы в этом каталоге как встроенный ресурс. Это позволило мне перечислить коллекцию «доверенных» сертификатов в коде моей библиотеки c #, создать цепочку для проверки сертификата, даже если сертификат эмитента не установлен. Для этого я создал класс-оболочку для X509Chain:
private class X509TestChain : X509Chain, IDisposable
{
public X509TestChain(X509Certificate2 oCert)
: base(false)
{
try
{
ChainPolicy.RevocationMode = X509RevocationMode.NoCheck;
ChainPolicy.VerificationFlags = X509VerificationFlags.AllowUnknownCertificateAuthority;
if (!Build(oCert) || (ChainElements.Count <= 1))
{
Trace.WriteLine("X509Chain.Build failed with installed certificates.");
Assembly asmExe = System.Reflection.Assembly.GetEntryAssembly();
if (asmExe != null)
{
string[] asResources = asmExe.GetManifestResourceNames();
foreach (string sResource in asResources)
{
if (sResource.IndexOf(".cert.") >= 0)
{
try
{
using (Stream str = asmExe.GetManifestResourceStream(sResource))
using (BinaryReader br = new BinaryReader(str))
{
byte[] abResCert = new byte[str.Length];
br.Read(abResCert, 0, abResCert.Length);
X509Certificate2 oResCert = new X509Certificate2(abResCert);
Trace.WriteLine("Adding extra certificate: " + oResCert.Subject);
ChainPolicy.ExtraStore.Add(oResCert);
}
}
catch (Exception ex)
{
Trace.Write(ex);
}
}
}
}
if (Build(oCert) && (ChainElements.Count > 1))
Trace.WriteLine("X509Chain.Build succeeded with extra certificates.");
else
Trace.WriteLine("X509Chain.Build still fails with extra certificates.");
}
}
catch (Exception ex)
{
Trace.Write(ex);
}
}
public void Dispose()
{
try
{
Trace.WriteLine(string.Format("Dispose: remove {0} extra certificates.", ChainPolicy.ExtraStore.Count));
ChainPolicy.ExtraStore.Clear();
}
catch (Exception ex)
{
Trace.Write(ex);
}
}
}
В вызывающей функции теперь я могу успешно проверить, происходит ли неизвестный сертификат из национального корневого сертификата:
bool bChainOK = false;
using (X509TestChain oChain = new X509TestChain(oCert))
{
if ((oChain.ChainElements.Count > 0)
&& IsPKIOverheidRootCert(oChain.ChainElements[oChain.ChainElements.Count - 1].Certificate))
bChainOK = true;
if (!bChainOK)
{
TraceChain(oChain);
sMessage = "Root certificate not present or not PKI Overheid (Staat der Nederlanden)";
return false;
}
}
return true;
Чтобы завершить картину: для проверки корневого сертификата (который обычно устанавливается, поскольку он включен в Центр обновления Windows, но теоретически также может отсутствовать), я сравниваю понятное имя и отпечаток с опубликованными значениями:
private static bool IsPKIOverheidRootCert(X509Certificate2 oCert)
{
if (oCert != null)
{
string sFriendlyName = oCert.FriendlyName;
if ((sFriendlyName.IndexOf("Staat der Nederlanden") >= 0)
&& (sFriendlyName.IndexOf(" Root CA") >= 0))
{
switch (oCert.Thumbprint)
{
case "101DFA3FD50BCBBB9BB5600C1955A41AF4733A04": // Staat der Nederlanden Root CA - G1
case "59AF82799186C7B47507CBCF035746EB04DDB716": // Staat der Nederlanden Root CA - G2
case "76E27EC14FDB82C1C0A675B505BE3D29B4EDDBBB": // Staat der Nederlanden EV Root CA
return true;
}
}
}
return false;
}
Я не уверен, что эта проверка вообще безопасна, но в моем случае оператор приложения Windows Forms наверняка будет иметь доступ к действительному сертификату, который будет установлен. Цель программного обеспечения - просто отфильтровать список сертификатов, чтобы помочь ему установить только правильный сертификат в хранилище компьютеров компьютера (программное обеспечение также устанавливает открытые ключи промежуточного и корневого сертификатов, чтобы гарантировать, что поведение среды выполнения клиент веб-сервиса правильный).