Comment utiliser un certificat client pour authentifier et autoriser dans une API Web

j'essaie d'utiliser un certificat client pour authentifier et autoriser des périphériques à l'aide d'une API Web et j'ai développé une simple validation de principe pour résoudre les problèmes avec la solution potentielle. Je tombe sur un problème où le certificat client n'est pas reçu par l'application web. Un certain nombre de personnes ont rapporté ce problème, y compris dans cette Q&R , mais aucun d'entre eux ont une réponse. Mon espoir est de fournir plus de détails pour relancer cette question et nous espérons obtenir une réponse à mon problème. Je suis ouvert à d'autres solutions. La principale exigence est qu'un processus autonome écrit en C# puisse appeler une API Web et être authentifié à l'aide d'un certificat client.

l'API Web de ce POC est très simple et ne renvoie qu'une seule valeur. Il utilise un attribut pour valider que HTTPS est utilisé et qu'un certificat client est présent.

public class SecureController : ApiController
{
    [RequireHttps]
    public string Get(int id)
    {
        return "value";
    }

}

voici le code pour la commande RequireHttpsAttribute:

public class RequireHttpsAttribute : AuthorizationFilterAttribute 
{ 
    public override void OnAuthorization(HttpActionContext actionContext) 
    { 
        if (actionContext.Request.RequestUri.Scheme != Uri.UriSchemeHttps) 
        { 
            actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden) 
            { 
                ReasonPhrase = "HTTPS Required" 
            }; 
        } 
        else 
        {
            var cert = actionContext.Request.GetClientCertificate();
            if (cert == null)
            {
                actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden)
                {
                    ReasonPhrase = "Client Certificate Required"
                }; 

            }
            base.OnAuthorization(actionContext); 
        } 
    } 
}

dans ce POC je vérifie juste la disponibilité du certificat client. Une fois que cela fonctionne, je peux ajouter des vérifications des informations dans le certificat pour valider par rapport à une liste de certificats.

Voici les paramètres dans IIS pour SSL pour cette application web.

voici le code pour le client qui envoie la demande avec un certificat de client. C'est une application de console.

    private static async Task SendRequestUsingHttpClient()
    {
        WebRequestHandler handler = new WebRequestHandler();
        X509Certificate certificate = GetCert("ClientCertificate.cer");
        handler.ClientCertificates.Add(certificate);
        handler.ServerCertificateValidationCallback = new RemoteCertificateValidationCallback(ValidateServerCertificate);
        handler.ClientCertificateOptions = ClientCertificateOption.Manual;
        using (var client = new HttpClient(handler))
        {
            client.BaseAddress = new Uri("https://localhost:44398/");
            client.DefaultRequestHeaders.Accept.Clear();
            client.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));

            HttpResponseMessage response = await client.GetAsync("api/Secure/1");
            if (response.IsSuccessStatusCode)
            {
                string content = await response.Content.ReadAsStringAsync();
                Console.WriteLine("Received response: {0}",content);
            }
            else
            {
                Console.WriteLine("Error, received status code {0}: {1}", response.StatusCode, response.ReasonPhrase);
            }
        }
    }

    public static bool ValidateServerCertificate(
      object sender,
      X509Certificate certificate,
      X509Chain chain,
      SslPolicyErrors sslPolicyErrors)
    {
        Console.WriteLine("Validating certificate {0}", certificate.Issuer);
        if (sslPolicyErrors == SslPolicyErrors.None)
            return true;

        Console.WriteLine("Certificate error: {0}", sslPolicyErrors);

        // Do not allow this client to communicate with unauthenticated servers.
        return false;
    }

quand j'exécute cette application de test, je récupère un code de statut de 403 Interdit avec une phrase de raison de "certificat Client requis" indiquant qu'il entre dans mon Requirhttpsattribute et qu'il ne trouve pas de certificats client. En exécutant ceci avec un débogueur, j'ai vérifié que le certificat est chargé et ajouté à WebRequestHandler. Le certificat est exporté dans un fichier CER qui: est en cours de chargement. Le certificat complet avec la clé privée est situé sur les stocks de racine personnels et de confiance de la Machine locale pour le serveur d'application web. Pour ce test, le client et l'application web sont exécutés sur la même machine.

je peux appeler cette méthode de L'API Web en utilisant Fiddler, en attachant le même certificat client, et ça marche très bien. Lors de L'utilisation de Fiddler il passe les tests dans RequireHttpsAttribute et retourne un code de statut réussi de 200 et renvoie le la valeur attendue.

Quelqu'un a-t-il rencontré le même problème lorsque HttpClient n'envoie pas de certificat client dans la requête et a-t-il trouvé une solution?

mise à Jour 1:

j'ai également essayé d'obtenir le certificat de la boutique de certificats qui comprend la clé privée. Voici comment je l'ai récupéré:

    private static X509Certificate2 GetCert2(string hostname)
    {
        X509Store myX509Store = new X509Store(StoreName.My, StoreLocation.LocalMachine);
        myX509Store.Open(OpenFlags.ReadWrite);
        X509Certificate2 myCertificate = myX509Store.Certificates.OfType<X509Certificate2>().FirstOrDefault(cert => cert.GetNameInfo(X509NameType.SimpleName, false) == hostname);
        return myCertificate;
    }

j'ai vérifié que ce certificat était récupéré correctement et il a été ajouté à la collection de certificats clients. Mais j'ai eu les mêmes résultats où le code du serveur ne récupérait aucun certificat client.

par souci d'exhaustivité, voici le code utilisé pour extraire le certificat d'un fichier:

    private static X509Certificate GetCert(string filename)
    {
        X509Certificate Cert = X509Certificate.CreateFromCertFile(filename);
        return Cert;

    }

vous remarquerez que lorsque vous obtenez le certificat à partir d'un fichier il retourne un objet de type X509Certificate et que lorsque vous le récupérez à partir de la mémoire de certificat il est de type X509Certificate2. Le X509CertificateCollection.Ajouter la méthode attend un type de X509Certificate.

mise à Jour 2: J'essaie toujours de comprendre cela et j'ai essayé de nombreuses options différentes, mais en vain.

• j'ai changé l'application web pour exécuter sur un nom d'hôte au lieu d'hôte local.
• j'ai paramétré l'application web pour Exiger SSL
• j'ai vérifié que le certificat était L'Authentification du Client et qu'il est dans la racine de confiance
• en plus de tester le certificat client dans Fiddler, je l'ai également validé dans Chrome.

à un moment donné au cours de l'essai de ces options, il a commencé à fonctionner. Puis j'ai commencé à annuler les changements pour voir ce qui a fait que ça a marché. Il a continué à travailler. Puis j'ai essayé de retirer le certificat de la racine de confiance pour valider que cela était nécessaire et il a cessé de fonctionner et maintenant je ne peux pas obtenir il fonctionne à nouveau même si j'ai remis le certificat dans la racine de confiance. Maintenant Chrome ne me demandera même pas un certificat comme il l'a utilisé et il échoue dans Chrome, mais fonctionne toujours dans Fiddler. Il doit y avoir une configuration magique qui me manque.

j'ai aussi essayé d'activer" Negotiate Client Certificate " dans la reliure, mais Chrome ne me demandera toujours pas de certificat client. Voici les paramètres en utilisant "netsh http show sslcert"

 IP:port                 : 0.0.0.0:44398
 Certificate Hash        : 429e090db21e14344aa5d75d25074712f120f65f
 Application ID          : {4dc3e181-e14b-4a21-b022-59fc669b0914}
 Certificate Store Name  : MY
 Verify Client Certificate Revocation    : Disabled
 Verify Revocation Using Cached Client Certificate Only    : Disabled
 Usage Check    : Enabled
 Revocation Freshness Time : 0
 URL Retrieval Timeout   : 0
 Ctl Identifier          : (null)
 Ctl Store Name          : (null)
 DS Mapper Usage    : Disabled
 Negotiate Client Certificate    : Enabled

voici le certificat client que j'utilise:

je suis perplexe quant à la question. J'ajoute une prime pour quiconque qui peut m'aider à comprendre ça.