Client-Authentifizierung über X509-Zertifikate in asp.net

Zum erstellen einer sicheren Authentifizierungsmethode Sie verwenden würden, sowohl client-Zertifikate und Benutzername /Passwort. Der Grund dafür ist, dass ein Zertifikat ist etwas, das gestohlen werden kann (kopiert), aber ein Passwort ist etwas, das ist bekannt, nur durch die person. Eine alternative könnte sein, ein Zertifikat auf eine smartcard, durch eine PIN geschützt.

Hilfe von client-Zertifikaten in ASP.NET Anwendungen müssen Sie Folgendes tun:

Schritt 1: In IIS Manager, öffnen Sie Ihre Anwendung oder Website, wählen Sie die SSL-Einstellungen und wählen Sie SSL Erforderlich und Erfordern Client-Zertifikat.

Nun, wenn der Benutzer öffnet die Webseite, der browser fordert ihn auf, wählen Sie ein client-Zertifikat verwendet wird, in der Mitteilung.

Wichtig An diesem Punkt haben Sie, um sicherzustellen, dass das Zertifikat ausgestellt wird, von jemandem, den Sie Vertrauen (da kann jeder erstellen Sie Ihre eigenen self-signed Zertifikate).

Schritt 2: Hinzufügen eines configuration item (entweder web.config, Datenbank, etc.). In dieser Liste sollten Sie die Fingerabdrücke des gesamten CA (certificate authority) - Kette für Ihre client-Zertifikate.

<add key="ClientCertificateIssuerThumbprints" value="4901f5b87d736cd88792bd5ef7caee91bf7d1a2b,0113e31aa85d7fb02740a1257f8bfa534fb8549e,c9321de6b5a82666cf6971a18a56f2d3a8675602"/>

Schritt 3: Schaffen einen klassischen username /Passwort-login-Seite. Überprüfen Sie den Benutzernamen/Passwort.

Schritt 4: Fügen Sie den folgenden code, um Ihre login-Seite:

var x509 = new X509Certificate2(this.Request.ClientCertificate.Certificate);
var chain = new X509Chain(true);
chain.ChainPolicy.RevocationMode = X509RevocationMode.Offline;
chain.Build(x509);

var validThumbprints = new HashSet<string>(
    System.Configuration.ConfigurationManager.AppSettings["ClientCertificateIssuerThumbprints"]
        .Replace(" ", "").Split(',', ';'),
    StringComparer.OrdinalIgnoreCase);

//if the certificate is self-signed, verify itself.
for (int i = chain.ChainElements.Count > 1 ? 1 : 0; i < chain.ChainElements.Count; i++)
{
    if (!validThumbprints.Contains(chain.ChainElements[i].Certificate.Thumbprint))
        throw new UnauthorizedAccessException("The client certificate selected is not authorized for this system. Please restart the browser and pick the certificate issued by XXXXX");
}

//certificate Subject would contain some identifier of the user (an ID number, SIN number or anything else unique). here it is assumed that it contains the login name and nothing else
if (!string.Equals("CN=" + login, x509.Subject, StringComparison.OrdinalIgnoreCase))
    throw new UnauthorizedAccessException("The client certificate selected is authorized for another user. Please restart the browser and pick another certificate.");

Nur, wenn beide das Passwort und das Zertifikat überprüft wurde, sollte der Benutzer darf im system.

InformationsquelleAutor der Antwort Knaģis