如何根據X509Certificate2Collection鏈驗證X509Certificate2

Question

我正在編寫一個SAML 2.0響應解析器來處理ASP.Net中的POST驗證（在C＃和MVC中，但這不太相關）。

所以我有一個.p7b文件來驗證，並可以讀取到一個X509Certificate2Collection和一個示例斷言 - 一個基地64編碼的SAML響應。

理想情況下，我想使用內置的WSSecurityTokenSerializer，但that fails，所以我正在尋找一種可行的方式。

我讀取XML，而不是直接：

// get the base 64 encoded SAML 
string samlAssertionRaw = GetFromHttpRequest(); 

// load a new XML document 
var assertion = new XmlDocument { PreserveWhitespace = true }; 
assertion.LoadXml(samlAssertionRaw); 

// use a namespace manager to avoid the worst of xpaths 
var ns = new XmlNamespaceManager(assertion.NameTable); 
ns.AddNamespace("samlp", @"urn:oasis:names:tc:SAML:2.0:protocol"); 
ns.AddNamespace("saml", @"urn:oasis:names:tc:SAML:2.0:assertion"); 
ns.AddNamespace("ds", SignedXml.XmlDsigNamespaceUrl); 

// get the signature XML node 
var signNode = assertion.SelectSingleNode(
    "/samlp:Response/saml:Assertion/ds:Signature", ns); 

// load the XML signature 
var signedXml = new SignedXml(assertion.DocumentElement); 
signedXml.LoadXml(signNode as XmlElement); 

// get the certificate, basically: 
// signedXml.KeyInfo.OfType<KeyInfoX509Data>().First(). 
//  Certificates.OfType<X509Certificate2>().First() 
// but with added checks 
var certificate = GetFirstX509Certificate(signedXml); 

// check the key and signature match 
if (!signedXml.CheckSignature(certificate, true)) 
{ 
    throw new SecurityException("Signature check failed."); 
} 

// go on and read the SAML attributes from the XML doc 

也就是說很多作品，但所有它做的是檢查簽名和SAML響應匹配X509Certificate2公鑰。它不以任何方式驗證它來自哪裏，我需要在接受SAML身份驗證之前執行此操作。

似乎有兩種方法可以檢查在SAML響應中找到的證書 - 我可以做certificate.Verify()或者我可以使用簽名signedXml.CheckSignature(certificate, false)進行檢查。

然而，兩者都返回false。

我認爲這是因爲他們正在對機器商店或可能在線檢查（我不知道如何檢查）。我想檢查它們與從.p7b文件檢索到的X509Certificate2Collection，而不是 - 在機器上註冊的證書應該被忽略，並且只檢查.p7b證書。

似乎沒有辦法將X509Certificate2Collection傳遞給Verify或CheckSignature方法。

這是對SAML響應的正確檢查嗎？

有什麼辦法可以按照我想要的方式使用.p7b證書嗎？

Answer 1

您是否嘗試過使用自定義X509Chain配置爲在驗證過程中搜索證書ExtraStore。像下面這樣：

// Placeholder for the certificate to validate 
var targetCertificate = new X509Certificate2(); 
// Placeholder for the extra collection of certificates to be used 
var certificates = new X509Certificate2Collection(); 

var chain = new X509Chain(); 

chain.ChainPolicy.RevocationMode = X509RevocationMode.NoCheck; 
chain.ChainPolicy.ExtraStore.AddRange(certificates); 

bool isValidCertificate = chain.Build(targetCertificate); 

在吊銷檢查也被禁用的例子，但如果你有在線或離線訪問CRL，你可以啓用它。

---

ExtraStore應該允許包含不在機器/用戶存儲中的中間證書。但是，受信任的根證書可能需要位於機器或用戶存儲中，具體取決於X509Chain中指定的證書，因爲否​​則您將得到UntrustedRoot失敗。如果在機器或用戶存儲中甚至沒有可用的根目錄，您可以嘗試遍歷所產生的鏈，並確保您擁有的唯一錯誤是由於不受信任的根，並且同時保證鏈根是您預計會根據您要驗證的X509Certificate2Collection。

或者，您可以創建自己的自定義X509CertificateValidator以驗證證書，僅考慮提供的X509Certificate2Collection。