2016-03-27 2 views
0
public bool CheckValidationResult(ServicePoint sp, 
     System.Security.Cryptography.X509Certificates.X509Certificate cert, WebRequest req, int problem) 
    { 

     return true; 
    } 

Здесь я могу получить доступ к веб-сервису, используя только Tls 1.2, из веб-службы.TLS Модернизация

Итак, добавив ниже строки перед возвратом true в методе. , Затем я могу получить доступ к сервису, а также получить ответ.

Это правильный способ справиться с этим или любым другим способом? ? ?

Пожалуйста, помогите всем, у кого есть опыт в этом.

Спасибо заранее.

// Здесь приведены версии протокола с или оператором принятия TLS 1.1, 1.2 и 1.0 вместе с SSL3

 sp.Expect100Continue = true; 
     ServicePointManager.Expect100Continue = true; 
     ServicePointManager.SecurityProtocol = SecurityProtocolType.Ssl3 | SecurityProtocolType.Tls11 | SecurityProtocolType.Tls | SecurityProtocolType.Tls12; 

ответ

1

Нет, это не правильный путь! Хотя я знаю, что 100 разработчиков делают это (верните true для проверки сертификата), однако их связь перестает быть защищенной и теперь подвержена атакам посредника и повтора, которые являются наиболее распространенными атаками SSL, известными человеку.

По правде говоря, вам необходимо предоставить «всеобъемлющую реализацию» для проверки сертификата, которая основана на нескольких RFC (поиск: проверка сертификата X.509). Как минимум, вам необходимо проверить действительность сертификатов (даты), проверить хэш-подпись подписи объекта с помощью открытого ключа CA и подтвердить отзыв CRL CA (чтобы серверный сертификат не был отозван). Однако ...

Чтобы все было просто, без ухудшения целостности TLS, вы могли просто проверить «проблему» (int problem), а затем вернуть true или false, исходя из значения проблемы. ОС должна установить значение проблемы на основе внутренней политики безопасности ОС. Лично я все же предпочел бы «всестороннюю реализацию», потому что политика безопасности ОС может быть слабой, затопленной или поврежденной (взломанной). Дайте мне знать, если вам нужна дополнительная информация о «комплексной реализации»

Смежные вопросы