使用 Windows 系统信任库来验证使用 Indy/OpenSSL 的服务器证书

Question

我正在使用 Delphi 10.4 和 Indy 10，8 月底从 GitHub 更新。

我正在寻找让 OpenSSL 使用 Windows 系统证书存储验证服务器证书的最佳方法。 我正在使用不是 HTTP 的自定义 TCP 协议，所以我使用的是TIdTCPClient组件。

为了让 OpenSSL 针对本地系统的信任库验证服务器证书，似乎我必须手动将它们添加到 OpenSSL 证书库中。 为此，我需要为存储在 Windows 证书存储中的每个证书调用X509_STORE_add_cert() 。

第一个问题- 从TIdSSLIOHandlerSocketOpenSSL object 调用X509_STORE_add_cert()需要提供指向包含存储的PX509_STORE变量的指针，该变量确实由fSSLContext.fContext.cert_store包装。 由于fContext不是公开的，因此访问它的唯一方法似乎是创建一个 class 助手来放置我的代码。 有没有更聪明的方法来进行？

第二个问题- 必须将证书添加到 OpenSSL 证书存储中，但在与服务器建立连接之前， TIdSSLIOHandlerSocketOpenSSL.SSLContext似乎nil 。 最好的地方在哪里？ 它必须在进行 SSL 握手之前完成，但在包装 OpenSSL 的内部对象被创建和初始化之后。 似乎覆盖TIdSSLIOHandlerSocketOpenSSL.Init并将初始化代码放在这里会是最好的地方，但是方法不是虚拟的，是不是错误？ 还是设计使然？ 为什么TIdSSLIOHandlerSocketOpenSSL.Init是static而TIdServerIOHandlerSSLOpenSSL.Init - 服务器 IOHandlers 的对应物 - 是虚拟的并且可以自由覆盖，有什么理由吗？

我决定更改 Indy 代码并使TIdSSLIOHandlerSocketOpenSSL.Init虚拟化。 这样我就可以在连接到服务器之前添加证书：

TThSSLContext = class helper for TIdSSLContext
public
  function LoadCertsFromWindowsCertStore(const AStoreName: string): Boolean;
end;

procedure TThIOHandlerSSLBase.Init;
begin
  inherited;
  SSLContext.LoadCertsFromWindowsCertStore('ROOT');
  SSLContext.LoadCertsFromWindowsCertStore('CA');
end;

LoadCertsFromWindowsCertStore()模仿可以在 Internet 上找到的所有 C++ 代码，以将证书从 Windows 证书存储导入 OpenSSL 证书存储：

function TThSSLContext.LoadCertsFromWindowsCertStore(const AStoreName: string): Boolean;
var
  LWinStore: HCERTSTORE;
  LCert: PCCERT_CONTEXT;
  LX509: PX509;
begin
  Result := True;
  LWinStore := CertOpenSystemStore(0, PChar(AStoreName));
  if LWinStore = nil then
    Exit(False);
  try
    LCert := CertEnumCertificatesInStore(LWinStore, nil);
    while Assigned(LCert) do
    begin
      LX509 := d2i_X509(nil, @lCert.pbCertEncoded, LCert.cbCertEncoded);
      if Assigned(LX509) then
      begin
        if X509_STORE_add_cert(fContext.cert_store, LX509) <= 0 then
          Exit(False);
        X509_free(LX509);
      end;
      LCert := CertEnumCertificatesInStore(LWinStore, LCert);
    end;
  finally
    CertCloseStore(LWinStore, 0);
  end;
end;

这样做似乎可行，但是有没有更好的方法来通过 OpenSSL 验证服务器证书，而无需更改 Indy 源代码并使用 class 助手访问受保护的变量？