X509Certificate2.Verify()总是返回false

Question

X509Certificate2.Verify()总是返回false

c#client-certificatesx509certificate2

24

遇到一个奇怪的问题，X509Certificate2.Verify()对于有效的证书返回false。也许有人之前已经遇到过这种奇怪的情况并且可以为此提供一些帮助。

我正在使用openssl生成用于测试目的的客户端证书。我创建了一个根CA，基于该根CA生成客户端证书，并将根CA添加到其链中。

我将根CA和客户端证书加载到本地证书存储中，看起来没问题，但当我从我的NUnit代码加载它来测试X509Certificate2.Verify()时，它总是返回false。

enter image description here

下面是从存储中加载证书的代码：

        X509Store store = new X509Store(StoreName.My);
        string thumbprint = "60 d1 38 95 ee 3a 73 1e 7e 0d 70 68 0f 2d d0 69 1e 9a eb 72";
        store.Open(OpenFlags.ReadOnly);
        var mCert = store.Certificates.Find(
                                X509FindType.FindByThumbprint,
                                thumbprint,
                                true
                              ).OfType<System.Security.Cryptography.X509Certificates.X509Certificate>().FirstOrDefault();
        if(mCert != null)
        {
            var testClientCert = new X509Certificate2(mCert);
        }

这是我刚刚生成的客户端证书: （CRL网址可以从我的本地计算机正确访问）

这里是当我从浏览器访问时下载的CRL文件：

- Deb

有几个与此相关的问题，比如这个：http://stackoverflow.com/questions/1277791/x509certificate2-validation-on-web-service 你试过其中任何一个吗？ - weston

@weston 是的，确实如此。我查看了以下链接，它似乎与我的问题相似，https://dev59.com/UGLVa4cB1Zd3GeqPyaYi?rq=1 但是我可以从浏览器中轻松访问客户端证书中的CRL url，并且我正在使用Nunits测试，该测试在本地Windows用户帐户下运行，我用它来安装Cert及其RootCA到当前Cert存储区域以供此Windows用户使用。 - Deb

请将此证书导出到文件并向我们显示certutil命令输出：certutil -verify -urlfetch <path>\file.cer。 - Crypt32

@CryptoGuy非常感谢您的回答 - 非常有帮助。我按照您的要求做了，这是输出结果：certutil命令输出的截图链接 - Deb

谢谢，这很有帮助，但还不够。请更新您的帖子并包括颁发者证书。 - Crypt32

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- pepo · Accepted Answer

根据 X509Certificate2.Verify 文件的文档，该方法为证书构建了一个简单的链并对该链应用基本策略。如果需要更多有关失败的信息，请使用 X509Chain 对象直接验证证书。因此，我将尝试使用以下代码构建链（请将 Log 方法替换为您自己的实现，我正在使用 Console.Writeline）。

X509Chain chain = new X509Chain();

try
{
    var chainBuilt = chain.Build(testClientCert );
    Log(string.Format("Chain building status: {0}", chainBuilt));

    if (chainBuilt == false)
        foreach (X509ChainStatus chainStatus in chain.ChainStatus)
            Log(string.Format("Chain error: {0} {1}", chainStatus.Status, chainStatus.StatusInformation));
}
catch (Exception ex)
{
    Log(ex.ToString());
}

这段代码将告诉您证书无法验证的原因。如果需要调整证书链策略，则设置chain.ChainPolicy属性，即：

chain.ChainPolicy = new X509ChainPolicy()
{
    RevocationMode = X509RevocationMode.NoCheck,
    VerificationFlags = X509VerificationFlags.IgnoreNotTimeValid,
    UrlRetrievalTimeout = new TimeSpan(0, 1, 0)
};