Bagaimana mengabaikan cek sertifikat ketika ssl

Saya mencoba menemukan cara untuk mengabaikan pemeriksaan sertifikat ketika meminta sumber daya Https, sejauh ini, saya menemukan beberapa artikel bermanfaat di internet.

Tetapi saya masih memiliki beberapa masalah. Harap tinjau kode saya. Saya hanya tidak mengerti apa artinya kode ServicePointManager.ServerCertificateValidationCallback.

Kapan metode delegasi ini dipanggil? Dan satu pertanyaan lagi, di tempat mana saya harus menulis kode ini? Sebelum ServicePointManager.ServerCertificateValidationCallbackdieksekusi atau sebelumnya Stream stream = request.GetRequestStream()?

public HttpWebRequest GetRequest()
{
    CookieContainer cookieContainer = new CookieContainer();

    // Create a request to the server
    HttpWebRequest request = (HttpWebRequest)WebRequest.Create(_remoteUrl);

    #region Set request parameters

    request.Method = _context.Request.HttpMethod;
    request.UserAgent = _context.Request.UserAgent;
    request.KeepAlive = true;
    request.CookieContainer = cookieContainer;
    request.PreAuthenticate = true;
    request.AllowAutoRedirect = false;

    #endregion

    // For POST, write the post data extracted from the incoming request
    if (request.Method == "POST")
    {
        Stream clientStream = _context.Request.InputStream;
        request.ContentType = _context.Request.ContentType;
        request.ContentLength = clientStream.Length;

        ServicePointManager.ServerCertificateValidationCallback = delegate(
            Object obj, X509Certificate certificate, X509Chain chain, 
            SslPolicyErrors errors)
            {
                return (true);
            };

            Stream stream = request.GetRequestStream();

            ....
        }

        ....

        return request;
    }
}   

Karena hanya ada satu ServicePointManager global , pengaturan ServicePointManager.ServerCertificateValidationCallback akan menghasilkan hasil bahwa semua permintaan selanjutnya akan mewarisi kebijakan ini. Karena ini adalah "pengaturan" global, akan lebih disukai untuk mengaturnya dalam metode Application_Start di Global.asax .

Mengatur panggilan balik mengabaikan perilaku default dan Anda sendiri dapat membuat rutin validasi khusus.

Bagi siapa pun yang tertarik menerapkan solusi ini berdasarkan permintaan, ini adalah opsi dan menggunakan ekspresi Lambda. Ekspresi Lambda yang sama dapat diterapkan pada filter global yang disebutkan oleh blak3r juga. Metode ini tampaknya memerlukan .NET 4.5.

String url = "https://www.stackoverflow.com";
HttpWebRequest request = HttpWebRequest.CreateHttp(url);
request.ServerCertificateValidationCallback += (sender, certificate, chain, sslPolicyErrors) => true;

Di .NET 4.0, Ekspresi Lambda dapat diterapkan ke filter global

ServicePointManager.ServerCertificateValidationCallback += (sender, certificate, chain, sslPolicyErrors) => true;

Ini bekerja untuk saya:

System.Net.ServicePointManager.ServerCertificateValidationCallback +=
delegate(object sender, System.Security.Cryptography.X509Certificates.X509Certificate certificate,
                        System.Security.Cryptography.X509Certificates.X509Chain chain,
                        System.Net.Security.SslPolicyErrors sslPolicyErrors)
    {
        return true; // **** Always accept
    };

Cuplikan dari sini: http://www.west-wind.com/weblog/posts/2011/Feb/11/HttpWebRequest-and-Ignoring-SSL-Certificate-Errors

Juga ada solusi delegasi singkat:

ServicePointManager.ServerCertificateValidationCallback = delegate { return true; }; 

Sebutkan bahwa sebelum .NET 4.5 properti pada permintaan untuk mengaksesnya ServicePointManagertidak tersedia.

Berikut adalah .NET 4.0 kode yang akan memberi Anda akses ke ServicePointberdasarkan permintaan per. Itu tidak memberi Anda akses ke panggilan balik per-permintaan, tetapi seharusnya memberi Anda informasi lebih lanjut tentang masalah tersebut. Akses saja scvPoint.Certificate(atau ClientCertificatejika Anda suka) properti.

WebRequest request = WebRequest.Create(uri);

// oddity: these two .Address values are not necessarily the same!
//  The service point appears to be related to the .Host, not the Uri itself.
//  So, check the .Host vlaues before fussing in the debugger.
//
ServicePoint svcPoint = ServicePointManager.FindServicePoint(uri);
if (null != svcPoint)
{
    if (!request.RequestUri.Host.Equals(svcPoint.Address.Host, StringComparison.OrdinalIgnoreCase))
    {
        Debug.WriteLine(".Address              == " + request.RequestUri.ToString());
        Debug.WriteLine(".ServicePoint.Address == " + svcPoint.Address.ToString());
    }
    Debug.WriteLine(".IssuerName           == " + svcPoint.Certificate.GetIssuerName());
}

Secara kebetulan, ini adalah cara paling tidak resmi untuk mematikan semua validasi sertifikat di aplikasi tertentu yang saya ketahui:

ServicePointManager.ServerCertificateValidationCallback = (a, b, c, d) => true;

Daripada menambahkan panggilan balik ke ServicePointManager yang akan mengesampingkan validasi sertifikat secara global, Anda bisa mengatur panggilan balik pada instance lokal HttpClient. Pendekatan ini hanya akan memengaruhi panggilan yang dibuat menggunakan instance HttpClient itu.

Berikut adalah contoh kode yang menunjukkan bagaimana mengabaikan kesalahan validasi sertifikat untuk server tertentu mungkin diimplementasikan dalam pengontrol Web API.

using System.Net.Http;
using System.Net.Security;
using System.Security.Cryptography.X509Certificates;

public class MyController : ApiController
{

    // use this HttpClient instance when making calls that need cert errors suppressed
    private static readonly HttpClient httpClient;

    static MyController()
    {
        // create a separate handler for use in this controller
        var handler = new HttpClientHandler();

        // add a custom certificate validation callback to the handler
        handler.ServerCertificateCustomValidationCallback = ((sender, cert, chain, errors) => ValidateCert(sender, cert, chain, errors));

        // create an HttpClient that will use the handler
        httpClient = new HttpClient(handler);
    }

    protected static ValidateCert(object sender, X509Certificate cert, X509Chain chain, SslPolicyErrors errors)
    {

        // set a list of servers for which cert validation errors will be ignored
        var overrideCerts = new string[]
        {
            "myproblemserver",
            "someotherserver",
            "localhost"
        };

        // if the server is in the override list, then ignore any validation errors
        var serverName = cert.Subject.ToLower();
        if (overrideCerts.Any(overrideName => serverName.Contains(overrideName))) return true;

        // otherwise use the standard validation results
        return errors == SslPolicyErrors.None;
    }

}

Berdasarkan jawaban Adam dan komentar Rob, saya menggunakan ini:

ServicePointManager.ServerCertificateValidationCallback += (sender, certificate, chain, sslPolicyErrors) => certificate.Issuer == "CN=localhost";

yang menyaring "pengabaian" agak. Emiten lain dapat ditambahkan seperti yang dipersyaratkan tentunya. Ini diuji dalam. NET 2.0 karena kami perlu mendukung beberapa kode lawas.

CA5386: Alat analisis kerentanan akan memberi tahu Anda tentang kode-kode ini.

Kode yang benar:

ServicePointManager.ServerCertificateValidationCallback += (sender, certificate, chain, sslPolicyErrors) =>
{
   return (sslPolicyErrors & SslPolicyErrors.RemoteCertificateNotAvailable) != SslPolicyErrors.RemoteCertificateNotAvailable;
};

Untuk .net core

using (var handler = new HttpClientHandler())
{ 
    // allow the bad certificate
    handler.ServerCertificateCustomValidationCallback = (request, cert, chain, errors) => true;
    using (var httpClient = new HttpClient(handler))
    {
        await httpClient.PostAsync("the_url", null);
    }
}

Dinyatakan secara eksplisit ...

ServicePointManager.ServerCertificateValidationCallback += new System.Net.Security.RemoteCertificateValidationCallback(CertCheck);

private static bool CertCheck(object sender, X509Certificate cert,
X509Chain chain, System.Net.Security.SslPolicyErrors error)
{
    return true;
}

Menambah jawaban Sani dan blak3r, saya telah menambahkan kode startup berikut untuk aplikasi saya, tetapi dalam VB:

'** Overriding the certificate validation check.
Net.ServicePointManager.ServerCertificateValidationCallback = Function(sender, certificate, chain, sslPolicyErrors) True

Tampaknya melakukan trik.

Tip: Anda juga dapat menggunakan metode ini untuk melacak sertifikat yang akan segera kedaluwarsa. Ini dapat menghemat daging Anda jika Anda menemukan sertifikat yang akan kedaluwarsa dan dapat memperbaikinya tepat waktu. Bagus juga untuk perusahaan pihak ketiga - bagi kami ini adalah DHL / FedEx. DHL membiarkan sertifikat berakhir yang mengacaukan kami 3 hari sebelum Thanksgiving. Untungnya saya ada untuk memperbaikinya ... kali ini!

    private static DateTime? _nextCertWarning;
    private static bool ValidateRemoteCertificate(object sender, X509Certificate cert, X509Chain chain, SslPolicyErrors error)
    {
        if (error == SslPolicyErrors.None)
        {
            var cert2 = cert as X509Certificate2;
            if (cert2 != null)
            { 
                // If cert expires within 2 days send an alert every 2 hours
                if (cert2.NotAfter.AddDays(-2) < DateTime.Now)
                {
                    if (_nextCertWarning == null || _nextCertWarning < DateTime.Now)
                    {
                        _nextCertWarning = DateTime.Now.AddHours(2);

                        ProwlUtil.StepReached("CERT EXPIRING WITHIN 2 DAYS " + cert, cert.GetCertHashString());   // this is my own function
                    }
                }
            }

            return true;
        }
        else
        {
            switch (cert.GetCertHashString())
            {
                // Machine certs - SELF SIGNED
                case "066CF9CAD814DE2097D367F22D3A7E398B87C4D6":    

                    return true;

                default:
                    ProwlUtil.StepReached("UNTRUSTED CERT " + cert, cert.GetCertHashString());
                    return false;
            }
        }
    }

Beberapa jawaban di atas berhasil. Saya ingin pendekatan yang saya tidak harus terus membuat perubahan kode dan tidak membuat kode saya tidak aman. Karenanya saya membuat daftar putih. Daftar putih dapat dipertahankan di datastore apa pun. Saya menggunakan file konfigurasi karena ini adalah daftar yang sangat kecil.

Kode saya di bawah.

ServicePointManager.ServerCertificateValidationCallback += (sender, cert, chain, error) => {
    return error == System.Net.Security.SslPolicyErrors.None || certificateWhitelist.Contains(cert.GetCertHashString());
};

Unity C # Versi dari solusi ini:

void Awake()
{
    System.Net.ServicePointManager.ServerCertificateValidationCallback += ValidateCertification;
}

void OnDestroy()
{
    ServerCertificateValidationCallback = null;
}

public static bool ValidateCertification(object sender, X509Certificate certificate, X509Chain chain, System.Net.Security.SslPolicyErrors sslPolicyErrors)
{
    return true;
}