使用 BouncyCastle 生成的证书作为服务器进行身份验证时出现“无法识别提供给 package 的凭据”错误

Question

我正在尝试使用 BouncyCastle.Crypto dll 创建一个证书，然后将其用于验证 SslStream 作为 Windows 服务进程中的服务器，该进程在本地系统帐户下运行。

但是，当我进行 SslStream.AuthenticateAsServer(certificate) 调用时，它会引发 Win32 异常并显示错误消息“无法识别提供给 package 的凭据”。

这里有几个关于此错误消息的问题，但似乎都没有描述或解决我的特定问题。

希望有人能够提供一些帮助，我包含了我用来创建和安装证书的代码：

// First create a certificate using the BouncyCastle classes
BigInteger serialNumber = BigInteger.ProbablePrime(120, new Random());
AsymmetricCipherKeyPair keyPair = GenerateKeyPair();

X509V1CertificateGenerator generator = new X509V1CertificateGenerator();
generator.SetSerialNumber(serialNumber);
generator.SetIssuerDN(new X509Name("CN=My Issuer"));
generator.SetNotBefore(DateTime.Today);
generator.SetNotAfter(DateTime.Today.AddYears(100));
generator.SetSubjectDN(new X509Name("CN=My Issuer"));
generator.SetPublicKey(keyPair.Public);
generator.SetSignatureAlgorithm("SHA1WITHRSA");

Org.BouncyCastle.X509.X509Certificate cert = generator.Generate(
    keyPair.Private, SecureRandom.GetInstance("SHA1PRNG"));

// Ok, now we have a BouncyCastle certificate, we need to convert it to the 
// System.Security.Cryptography class, by writing it out to disk and reloading
X509Certificate2 dotNetCert;

string tempStorePassword = "Password01"; // In real life I'd use a random password
FileInfo tempStoreFile = new FileInfo(Path.GetTempFileName());

try
{
    Pkcs12Store newStore = new Pkcs12Store();

    X509CertificateEntry entry = new X509CertificateEntry(cert);

    newStore.SetCertificateEntry(Environment.MachineName, entry);

    newStore.SetKeyEntry(
        Environment.MachineName,
        new AsymmetricKeyEntry(keyPair.Private),
        new [] { entry });

    using (FileStream s = tempStoreFile.Create())
    {
        newStore.Save(s, 
            tempStorePassword.ToCharArray(), 
            new SecureRandom(new CryptoApiRandomGenerator()));
    }

    // Reload the certificate from disk
    dotNetCert = new X509Certificate2(tempStoreFile.FullName, tempStorePassword);
}
finally
{
    tempStoreFile.Delete();
}

// Now install it into the required certificate stores
X509Store targetStore = new X509Store(StoreName.My, StoreLocation.LocalMachine);
targetStore.Open(OpenFlags.ReadWrite);
targetStore.Add(dotNetCert);
targetStore.Close();

好的，现在我已经创建并安装了证书。 然后，我将我的 Windows 服务配置为使用此证书，方法是向它提供生成的证书指纹。 然后我像这样使用证书：

// First load the certificate
X509Certificate2 certificate = null;

X509Store store = new X509Store(StoreName.My, StoreLocation.LocalMachine);
store.Open(OpenFlags.ReadOnly);

foreach (X509Certificate2 certInStore in store.Certificates)
{
    if (certInStore.Thumbprint == "...value not shown...")
    {
        certificate = certInStore;
        break;
    }
}

SslStream sslStream = new SslStream(new NetworkStream(socket, false), false);

// Now this line throws a Win32Exception 
// "The credentials supplied to the package were not recognized"
sslStream.AuthenticateAsServer(certificate);

有谁知道这里可能有什么问题？

如果我安装使用“makecert”创建的证书，我不会遇到问题，但这不适用于生产证书。

我还尝试创建一个单独的 x509v1 CA 证书，然后创建用于服务器身份验证的 x509v3 证书，但我遇到了同样的错误，因此为简单起见，我在示例代码中删除了它。

Answer 1

该特定错误消息响铃。 我猜你要么没有将私钥与证书一起存储，要么Windows服务无法访问私钥。 要检查此问题，请打开“证书”MMC管理单元：

1. 运行mmc（例如从“开始”菜单）
2. “文件”菜单>“添加/删除管理单元”
3. 在左窗格中选择“证书”，然后单击“添加”
4. 选择“计算机帐户”（对于LocalMachine），然后单击“下一步”，然后单击“完成”

导航到证书，然后双击右窗格。 在出现的“常规”选项卡上，您应该在底部看到一个小键图标以及文本“您有一个与此证书对应的私钥”。 如果没有，那就是问题所在。 私钥未保存。

如果私钥存在 ，单击确定关闭此对话框，然后在证书上在右窗格中单击鼠标右键，选择弹出菜单中：所有任务>管理私钥。 在该对话框中，确保运行该服务的Windows帐户具有对私钥的读取权限。 如果没有，那就是问题所在。

编辑：糟糕，您写道该服务作为本地系统运行，因此它必须是缺少私钥，如果它是这两个问题之一。 无论如何，我会在我的答案中留下密钥访问检查，对于任何其他人来说，并且不是作为本地系统运行。

Answer 2

有时，当应用程序尝试访问证书时没有足够的权限来访问证书时，问题可能通过以管理员身份运行应用程序来解决。

Answer 3

在网上找到了这个解决方案，但我找不到信用的来源。

由于我遇到了“提供给包的凭据无法识别”的问题，因为AuthenticateAsClient（）（用于客户端验证），我想记录我是如何解决它的。 这是一种具有相同目标的不同方法。 因为它可能对AuthenticateAsServer（）有用，所以不知道为什么不这样做。

在这里，我将BC证书转换为.NET证书。 添加一个额外的步骤，将其转换为.NET X509Certificate2以存储它的PrivateKey属性。

Org.BouncyCastle.X509.X509Certificate bcCert;

X509Certificate dotNetCert = DotNetUtilities.ToX509Certificate(bcCert);
X509Certificate2 dotNetCert2 = new X509Certificate2(dotNetCert);

将BouncyCastle私钥添加到.NET私钥时出现问题。 X509证书转换正常但不是私钥。 我使用提供的DotNetUtilities将BC私钥转换为RSACryptoServiceProvider。 不幸的是，转换似乎并不完整。 所以我创建了另一个RSACryptoServiceProvider，然后我进行了初始化。 然后我将私钥导入到我创建的私钥中。

// Apparently, using DotNetUtilities to convert the private key is a little iffy. Have to do some init up front.
RSACryptoServiceProvider tempRcsp = (RSACryptoServiceProvider)DotNetUtilities.ToRSA((RsaPrivateCrtKeyParameters)ackp.Private);
RSACryptoServiceProvider rcsp = new RSACryptoServiceProvider(new CspParameters(1, "Microsoft Strong Cryptographic Provider", 
            new Guid().ToString(), 
            new CryptoKeySecurity(), null));

rcsp.ImportCspBlob(tempRcsp.ExportCspBlob(true));
dotNetCert2.PrivateKey = rcsp;

之后，我能够将X509Certificate2对象直接保存到密钥库。 我不需要实际文件所以我跳过了那一步。

Answer 4

我有同样的问题，尝试过很多帖子中的所有内容，以及谷歌研究。 但看起来我发现了修复。 当我将Identify从ApplicationPoolIdentity更改为LocalSystem时，一切都开始完美。

可能会对某人有所帮助。

Answer 5

对我来说，适用于Windows Server 2012 R2（.net 4.6.1） - “所有任务>管理私钥”并设置对Everyone的访问权限（设置为IS_IUSRS是不够的）

Answer 6

如果您从 IIS 运行，请确保应用程序池将“加载用户配置文件”设置为 true。 这是我唯一的解决方案。

Answer 7

以前，每次遇到此问题时，我都必须从本地计算机证书库中删除证书并重新导入。 然后一切似乎都很开心。 如果只是重新导入它，我无法看到它是如何成为全局权限问题或无效证书可以解决问题。

我最终如何修复它是使用Windows资源工具包中的winhttpcertcfg工具向使用该证书的特定用户授予权限。

语法是：

"C:\Program Files (x86)\Windows Resource Kits\Tools\winhttpcertcfg" -i cert.p12 -c LOCAL_MACHINE\My -a UserWhoUsesTheCert -p passwordforp12

Answer 8

从.NET应用程序调用WCF REST服务时我遇到了类似的问题，我需要附加客户端证书; 我所要做的就是提供对证书存储[mmc console]中的证书访问“NETWORKSERVICE”的权限，当然我的IIS池是默认池，表明它使用的是NETWORKService用户帐户。

我犯的错误是，我将证书从另一个商店复制到本地机器 - >人员商店，证书用密码保护。 应该在必需的商店中明确导入证书。

Answer 9

此错误的另一个原因是您在密码已更改的帐户下运行应用程序/服务器，破坏了它访问它想要在证书存储中使用的证书的能力。

如果您使用 NuGet package 之类的自动将 LetsEncrypt 存储在您的商店中的 LettuceEncrypt，这可能不会那么明显。

从您的商店中删除证书并重新导入。

Answer 10

我不记得这个错误，但您创建的证书不适用于SSL / TLS，包括：

• v1（非v3）证书;
• 缺少扩展;
• CN无效;
• ...

有几个RFC讨论这个问题，包括TLS上的RFC5246 （1.2）。

最后制作自己的证书并不比使用makecert制作的证书更合适 （但最后一个可以生成可用于SSL / TLS服务器证书的最小集合）。

我强烈建议您从着名的证书颁发机构（CA）购买用于生产的SSL / TLS证书。 这将为您提供大多数浏览器和工具认可的工作证书。