当SMTP服务器拥有有效证书时,出现“远程证书无效”的验证流程错误

15

这似乎是一个常见的错误,虽然我找到了一个解决方法(见下文),但我无法确定我最初出现这个错误的原因。

我正在将SMTP功能添加到我们的应用程序中,并尝试为我们已经拥有的工作中的SMTP添加SSL功能。

我正在使用我们公司的MS Exchange服务器进行测试,特别是启用了Webmail选项。我可以通过不认证我的连接并匿名发送来通过我的代码在内部发送电子邮件,但是由于我们公司的政策,这些电子邮件无法中继到外部电子邮件地址。此外,我正在为我们的客户编写此代码,他们并不都允许开放式中继和/或匿名连接。

我相信Exchange服务器正在使用显式SSL / TLS。我尝试使用telnet到服务器地址的25端口并得到了人类可读的文本响应,根据我的先前一些搜索意味着它正在使用显式SSL / TLS。

我有以下测试代码

SmtpClient SMTPClient = new SmtpClient(webmailaddress);
SMTPClient.Port = 25;
SMTPClient.UseDefaultCredentials = true;
SMTPClient.EnableSsl = true;
System.Net.Mail.MailMessage Message = new `
System.Net.Mail.MailMessage(emailFrom,emailTo,subject,body);
SMTPClient.Send(Message);

在寻找解决方案的过程中,我遇到了这个"使用Gmail SMTP服务器时出现“远程证书无效”的验证程序

从中我得到了以下代码...

ServicePointManager.ServerCertificateValidationCallback = new RemoteCertificateValidationCallback(ValidateServerCertificate);

public static bool ValidateServerCertificate(object sender,X509Certificate certificate,X509Chain chain,SslPolicyErrors sslPolicyErrors)
{
    if (sslPolicyErrors == SslPolicyErrors.None)
        return true;
    else
    {
        if (System.Windows.Forms.MessageBox.Show("The server certificate is not valid.\nAccept?", "Certificate Validation", System.Windows.Forms.MessageBoxButtons.YesNo, System.Windows.Forms.MessageBoxIcon.Question) == System.Windows.Forms.DialogResult.Yes)
            return true;
        else
            return false;
    }
}

这段代码在我的测试代码中有效。然而,我正在编写的实际进程将在后台运行,无法要求用户(而是在Windows错误日志中报告错误)。

正如我开始时提出的问题,我真正想知道的是为什么会出现这种错误。如果我在浏览器中访问https:webmail.ourdomain.co.uk,它会显示一个有效的证书,并且没有安装证书的选项(如果是自签名证书,则会安装证书)。

Certificate Screenshot 但是当我运行我的代码时,在ValidateServerCertificate方法中设置了调试断点,查看证书值时,会看到我们本地服务器的颁发者以及今天的“不用于之前”和“不用于之后”属性。这与我获取的证书不符。

我还检查了ValidateServerCertificate的调试中sslPolicyErrors标志,它们显示为“RemoteCertificateChainErrors”和“RemoteCertificateNameMismatch”。

那么我错过了什么......为什么它不使用正确的证书?如果我需要采取安装证书的步骤来使其本地使用,则需要知道这些步骤,以便在客户遇到此问题时告诉他们如何操作。

我不希望通过从ValidateServerCertificate方法中返回true来绕过检查,并且因为它是后台进程,我无法要求用户,因此我需要了解如何使我的代码使用正确/受信任的证书。

希望有人能提供建议。


好吧,我猜没有人知道这个答案。仍然没有找到解决方案 :( - RosieC
3个回答

9
我最终找到的答案是,服务器上的SMTP服务没有使用与https相同的证书。这里阅读的诊断步骤假设它们使用相同的证书,而我以前尝试过的每一次都确实如此,并且诊断步骤恰好是我多次解决问题所采取的方法。 在这种情况下,那些步骤不起作用,因为使用的证书不同,这种可能性是我从未遇到过的。 解决方案要么是从服务器导出实际证书,然后将其安装为我的计算机上的可信证书,要么是为服务器上的SMTP服务获取不同的有效/受信任证书。目前由我们的IT部门管理服务器决定他们想要做什么。

5

虽然这个帖子有点老了,但是你说“为什么它没有使用正确的证书”,我想提供一个方法来查找用于SMTP的SSL证书(请参见此处),需要使用openssl:

openssl s_client -connect exchange01.int.contoso.com:25 -starttls smtp

这将概述SMTP服务所使用的SSL证书。根据你在这里看到的,你可以用正确的证书替换错误的证书(就像你已经做的一样)或手动信任该证书。


0

虽然这是一篇旧帖子,但我认为我应该分享我的解决方案,因为针对此问题的解决方案并不多。

如果您正在运行旧的Windows Server 2003机器,则可能需要安装一个热修复程序(KB938397)。

此问题发生的原因是Windows Server 2003中的密码学API 2(CAPI2)不支持SHA2哈希算法系列。CAPI2是处理证书的密码学API的一部分。

https://support.microsoft.com/en-us/kb/938397

出于某种原因,微软希望通过电子邮件向您发送此热补丁,而不是允许您直接下载。以下是来自电子邮件的热补丁直接链接:

http://hotfixv4.microsoft.com/Windows Server 2003/sp3/Fix200653/3790/free/315159_ENU_x64_zip.exe


网页内容由stack overflow 提供, 点击上面的
可以查看英文原文,
原文链接