具有相互身份验证证书的WCF Web服务无法进行客户端链信任验证

Question

我正在开发使用SSL和证书进行相互认证的WCF Web服务的概念验证。

因此，我有2个证书，均由有效的证书颁发机构提供（这些证书是生产证书，而不是开发证书）。 这是证书的连锁店和商店位置：

服务器证书链

• 发行方根CA
  • 中级1 CA
    • 服务器认证证书

我不知道此详细信息是否重要：服务器证书是域（* .mydomain.com ）的通配符证书。

客户证书链

• 发行方根CA
  • 中级2 CA
    • 客户端认证证书

颁发者根CA是两个证书的通用根CA。

中间证书是不同的。

店面位置

已将颁发者根CA导入到服务器和客户端计算机上的“ 受信任的根CA”中 。已将中间CA 1和2导入到服务器和客户端上的“ 中间CA”中 。颁发者证书和中间证书仅具有公共密钥。

服务器证书已导入到服务器计算机上的“ 个人 ”中。 该证书具有私钥。 服务器证书已导入到客户端计算机上的“ 个人 ”中。 该证书仅具有公共密钥。 客户端身份验证证书已导入到服务器和客户端计算机上的“ 个人 ”中。 这些证书都有两个私钥。

我创建了一个简单的WCF应用程序项目，该项目托管在带有框架C＃4.0的IIS 8.5中。 我使用项目创建时默认提供的示例类，将其重命名为DemoService.svc 。 然后，我创建了客户端（我使用winform应用程序使目标用户具有图形界面来查看结果）并添加Web服务引用。

然后，我修改了服务配置以设置相互身份验证。 全部通过web.config完成：

  <system.serviceModel>
    <behaviors>
      <serviceBehaviors>
        <behavior name="demoServiceBehavior">
          <serviceAuthorization principalPermissionMode="UseWindowsGroups"></serviceAuthorization>
          <serviceMetadata httpGetEnabled="false" httpsGetEnabled="false" />
          <serviceDebug includeExceptionDetailInFaults="false" />
          <serviceCredentials>
            <serviceCertificate storeLocation="LocalMachine" storeName="My" x509FindType="FindBySubjectName" findValue="*.mydomain.com"/>
            <clientCertificate>
              <authentication certificateValidationMode="ChainTrust" revocationMode="NoCheck" mapClientCertificateToWindowsAccount="true"
                trustedStoreLocation="LocalMachine"/>
              <certificate storeLocation="LocalMachine" storeName="My" x509FindType="FindBySubjectName"
                findValue="myservice.mydomain.com"/>
            </clientCertificate>
          </serviceCredentials>
        </behavior>
      </serviceBehaviors>
    </behaviors>
    <bindings>
      <basicHttpBinding>
        <binding name="demoServiceBinding">
          <security mode="Transport">
            <transport clientCredentialType="Certificate"></transport>
          </security>
        </binding>
      </basicHttpBinding>
    </bindings>
    <serviceHostingEnvironment multipleSiteBindingsEnabled="true">
      <serviceActivations>
        <add service="WcfMutualAuthenticationServiceDemo.DemoService" relativeAddress="DemoService.svc" />
      </serviceActivations>
    </serviceHostingEnvironment>
    <services>
      <service name="WcfMutualAuthenticationServiceDemo.DemoService" behaviorConfiguration="demoServiceBehavior">
        <host>
          <baseAddresses>
            <add baseAddress="https://myservice.mydomain.com/"/>
          </baseAddresses>
        </host>
        <endpoint name="demoServiceEndpoint"
                  address=""
                  binding="basicHttpBinding"
                  bindingConfiguration="demoServiceBinding"
                  contract="WcfMutualAuthenticationServiceDemo.IDemoService"></endpoint>
      </service>
    </services>
  </system.serviceModel>

我也修改了客户端配置以设置相互身份验证：

<system.serviceModel>
    <behaviors>
      <endpointBehaviors>
        <behavior name="demoClientBehavior">
          <clientCredentials>
            <clientCertificate storeLocation="LocalMachine" storeName="My" x509FindType="FindBySubjectName"
              findValue="myservice.dekra-automotivesolutions.com"/>
          </clientCredentials>
        </behavior>
      </endpointBehaviors>
    </behaviors>
    <bindings>
      <basicHttpBinding>
        <binding name="demoClientBinding">
          <security mode="Transport">
            <transport clientCredentialType="Certificate"></transport>
          </security>
        </binding>
      </basicHttpBinding>
    </bindings>
    <client>
      <endpoint address="https://myservice.mydomain.com/DemoService.svc"
                behaviorConfiguration="demoClientBehavior"
                binding="basicHttpBinding"
                bindingConfiguration="demoClientBinding"
                contract="DemoServiceValidReference.IDemoService"
                name="demoServiceEndpoint" />
    </client>
</system.serviceModel>

当我通过客户端调用Web服务时，它返回一个异常：

System.ServiceModel.Security.SecurityNegotiationException：无法使用权​​限“ myservice.mydomain.com”为SSL / TLS建立安全通道。 ---> System.Net.WebException：请求已中止：无法创建SSL / TLS安全通道。 在System.Net.HttpWebRequest.GetResponse（）在System.ServiceModel.Channels.HttpChannelFactory`1.HttpRequestChannel.HttpChannelRequest.WaitForReply（TimeSpan timeout）-内部异常堆栈跟踪的结尾-

经过调查，我在服务器的事件查看器中找到一个条目：

处理异常。 异常详细信息：System.IdentityModel.Tokens.SecurityTokenValidationException：X.509证书CN = myservice.mydomain链构建失败。 使用的证书具有无法验证的信任链。 替换证书或更改certificateValidationMode。 证书链已正确处理，但是策略提供者不信任其中一个CA证书。

在System.IdentityModel.Selectors.X509CertificateValidator.ChainTrustValidator.Validate（X509Certificate2证书）在System.IdentityModel.Selectors.X509SecurityTokenTokenSystem.IdentityModel.Selectors.X509SecurityTokenAuthenticator.IdentityToken System.ServiceModel.Channels.HttpsChannelListener上的.SecurityTokenAuthenticator.ValidateToken（SecurityToken令牌）1.System.ServiceModel.Channels.HttpsChannelListener上的1.CreateSecurityProperty（ 1.CreateSecurityProperty(X509Certificate2 certificate, WindowsIdentity identity, String authType) at System.ServiceModel.Channels.HttpsChannelListener ）在System.ServiceModel.Activation上的。 .HostedHttpContext.OnProcessAuthentication（）在System.ServiceModel.Channels.HttpRequestContext.ProcessAuthentication（）在System.ServiceModel.Channels.HttpChannelListener 1.HttpContextReceivedAsyncResult 1.Authenticate（）在System.ServiceModel.Channels.HttpChannelListener 1.HttpContextReceivedAsyncResult 1.HttpContextReceivedAsyncResult 1.ProcessHttpContextAsync（）

关于此异常，我发现问题出在客户端身份验证证书的链验证上，但我不知道为什么。 在这一点上，我被卡住了！ 我不知道自己的证书出了什么问题，也不知道如何找到解决方案。

我真的希望有人可以帮助我解决此问题。

编辑：我们已经使用另一个客户端证书测试了证书链，使其在服务器和客户端证书上相同，它没有任何改变。

Answer 1

今天找到了解决方案：在客户端和服务器上配置正常。 IIS服务器证书映射上的配置错误，未配置功能，但未启用。