Utilisation d'un certificat auto-signé avec HttpWebRequest/Response de .NET

Question

J'essaie de me connecter à une API qui utilise un certificat SSL auto-signé. Pour ce faire, j'utilise les objets HttpWebRequest et HttpWebResponse de .NET. Et j'obtiens une exception qui :

La connexion sous-jacente a été fermée : Impossible d'établir une relation de confiance pour le canal sécurisé SSL/TLS.

Je comprends ce que cela signifie. Et je comprends pourquoi .NET estime qu'il devrait m'avertir et fermer la connexion. Mais dans ce cas, j'aimerais tout de même me connecter à l'API, sans craindre les attaques de type "man-in-the-middle".

Alors, comment dois-je procéder pour ajouter une exception pour ce certificat auto-signé ? Ou est-ce que l'approche consiste à dire à HttpWebRequest/Response de ne pas valider le certificat du tout ? Comment dois-je m'y prendre ?

Answer 1

Il s'avère que si vous souhaitez simplement désactiver la validation du certificat, vous pouvez modifier le ServerCertificateValidationCallback du ServicePointManager, comme suit :

ServicePointManager.ServerCertificateValidationCallback = delegate { return true; };

Cela validera tous les certificats (y compris les certificats invalides, expirés ou auto-signés).

Answer 2

@Domster : cela fonctionne, mais vous pourriez vouloir renforcer un peu la sécurité en vérifiant si le hachage du certificat correspond à ce que vous attendez. Une version étendue ressemble donc un peu à ceci (basé sur un code réel que nous utilisons) :

static readonly byte[] apiCertHash = { 0xZZ, 0xYY, ....};

/// <summary>
/// Somewhere in your application's startup/init sequence...
/// </summary>
void InitPhase()
{
    // Override automatic validation of SSL server certificates.
    ServicePointManager.ServerCertificateValidationCallback =
           ValidateServerCertficate;
}

/// <summary>
/// Validates the SSL server certificate.
/// </summary>
/// <param name="sender">An object that contains state information for this
/// validation.</param>
/// <param name="cert">The certificate used to authenticate the remote party.</param>
/// <param name="chain">The chain of certificate authorities associated with the
/// remote certificate.</param>
/// <param name="sslPolicyErrors">One or more errors associated with the remote
/// certificate.</param>
/// <returns>Returns a boolean value that determines whether the specified
/// certificate is accepted for authentication; true to accept or false to
/// reject.</returns>
private static bool ValidateServerCertficate(
        object sender,
        X509Certificate cert,
        X509Chain chain,
        SslPolicyErrors sslPolicyErrors)
{
    if (sslPolicyErrors == SslPolicyErrors.None)
    {
        // Good certificate.
        return true;
    }

    log.DebugFormat("SSL certificate error: {0}", sslPolicyErrors);

    bool certMatch = false; // Assume failure
    byte[] certHash = cert.GetCertHash();
    if (certHash.Length == apiCertHash.Length)
    {
        certMatch = true; // Now assume success.
        for (int idx = 0; idx < certHash.Length; idx++)
        {
            if (certHash[idx] != apiCertHash[idx])
            {
                certMatch = false; // No match
                break;
            }
        }
    }

    // Return true => allow unauthenticated server,
    //        false => disallow unauthenticated server.
    return certMatch;
}

Answer 3

Notez que dans .NET 4.5, vous pouvez remplacer la validation SSL par HttpWebRequest lui-même (et non par un délégué global qui affecte toutes les requêtes) :

http://msdn.microsoft.com/en-us/library/system.net.httpwebrequest.servercertificatevalidationcallback.aspx

Answer 4

Ajoutez le certificat auto-signé aux autorités de certification racine de confiance de l'ordinateur local.

Vous pouvez importer le certificat en exécutant la MMC en tant qu'administrateur.

Comment : Afficher les certificats à l'aide du module instantané MMC

Answer 5

La portée du rappel de validation utilisé dans La réponse de Domster peut être limitée à une demande spécifique en utilisant le paramètre d'expéditeur de la fonction ServerCertificateValidationCallback délégué. La classe scope simple suivante utilise cette technique pour mettre en place temporairement un rappel de validation qui ne s'exécute que pour un objet de demande donné.

public class ServerCertificateValidationScope : IDisposable
{
    private readonly RemoteCertificateValidationCallback _callback;

    public ServerCertificateValidationScope(object request,
        RemoteCertificateValidationCallback callback)
    {
        var previous = ServicePointManager.ServerCertificateValidationCallback;
        _callback = (sender, certificate, chain, errors) =>
            {
                if (sender == request)
                {
                    return callback(sender, certificate, chain, errors);
                }
                if (previous != null)
                {
                    return previous(sender, certificate, chain, errors);
                }
                return errors == SslPolicyErrors.None;
            };
        ServicePointManager.ServerCertificateValidationCallback += _callback;
    }

    public void Dispose()
    {
        ServicePointManager.ServerCertificateValidationCallback -= _callback;
    }
}

La classe ci-dessus peut être utilisée pour ignorer toutes les erreurs de certificat pour une demande spécifique comme suit :

var request = WebRequest.Create(uri);
using (new ServerCertificateValidationScope(request, delegate { return true; }))
{
    request.GetResponse();
}