C# 및 dotnet 4.7.1 TLS 1.2 호출 용 사용자 지정 인증서를 추가하지 않음

Question

사용자 지정 인증서로 https 호출을 생성하는 다음 C# 코드가 있습니다. Tls 1.1을 사용하면 호출이 정상적으로 작동합니다. Tls 1.2를 사용하면 호출이 중단됩니다. tls 1.2를 사용하여 컬을 사용하여 잘 작동합니다.

는

C# 코드 :

X509Certificate2Collection collection = new X509Certificate2Collection(); 
collection.Import("C:\\SomePath\\MyCertificate.pfx", "MyPassword", X509KeyStorageFlags.PersistKeySet); 
var cert = collection[0]; 

ServicePointManager.SecurityProtocol = ...; 

ServicePointManager.ServerCertificateValidationCallback += (sender, certificate, chain, errors) => true; 
HttpClientHandler handler = new HttpClientHandler(); 
handler.ServerCertificateCustomValidationCallback = (message, certificate2, arg3, arg4) => true; 
handler.ClientCertificates.Add(cert); 

var content = new ByteArrayContent(Encoding.GetEncoding("latin1").GetBytes("Hello world")); 
HttpClient client = new HttpClient(handler); 
var resp = client.PostAsync(requestUri: url, content: content).Result.Content.ReadAsStringAsync().Result; 

작품으로 :

ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls11; 

오류와 :

ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12; 

닷넷 오류 메시지 : SocketException이 : 기존의 연결이 강제로 폐쇄되었다 원격 호스트

.NET 버전 : 4.7.1

OS : 윈도우 10 버전 1,703 (지원되는 암호화 목록 : https://msdn.microsoft.com/en-us/library/windows/desktop/mt808163(v=vs.85).aspx) - 상기 서버는 지원되는 암호 사이 인 TLS_RSA_WITH_AES_256_GCM_SHA384 사용되도록 지정한다.

wireshark에서 저는 작업 호출 (C#/Tls 1.1 및 Curl Tls 1.2)에서 인증서가 서버로 전송되고 있음을 볼 수 있습니다. 다음은 C#을 TLS 1.1 전화에 대한 와이어 샤크 덤프입니다 :

그러나, 또한 와이어 샤크에서, 나는 C#을 가진 것을 볼 수가/TLS 1.2에는 인증서가 클라이언트에서 서버로 전송되지되고있다.

사람이 내가 여기에 놓친 거지 무엇을 볼 수 있습니다 여기에 C#을 TLS 1.2 전화에 대한 와이어 샤크 덤프는?

UPDATE는

은 인증서가 TLS 1.2와 함께 창에서 샤넬에 의해 지원되지 않는 MD5 서명이 보인다. 우리의 벤더가 해결책으로 우리에게 또 다른 인증서를 만들었습니다. https://community.qualys.com/thread/15498

Answer 1

이 코드는 항상 맹목적으로 진정한 반환하여 인증서 오류의 몇 가지 유형을 마스킹 믿습니다 :

난 당신이 기능을 가지고 추천

나는이 문제에 대해 설명이 임의의 스레드를 건너 왔어요 진정으로 arg4의 결과를 분석 할 수 있습니다. 이것이 귀하의 SSL 정책 오류입니다. 그들을 기록하면 답을 얻을 수 있습니다. 예제에서는 콘솔에 쓰지만 트레이스 나 파일에 쓸 수 있습니다. SslPolicyErrors 열거 형에 대한 값과 연관된 숫자가 생깁니다. 결과에 따라 체인 인 arg3을 확인해야 할 수도 있습니다.

ServicePointManager.ServerCertificateValidationCallback += (sender, cert, chain, sslPolicyErrors) => { 

SslPolicyErrors errs = sslPolicyErrors; 
Console.WriteLine("Policy Errors " + sslPolicyErrors.ToString());   
return true;}; 

Answer 2

처리기의 SslProtocols 속성을 지정하지 않아야합니까?당신은이 문제의 근본 원인에 맞아

handler.SslProtocols = SslProtocols.Tls12; 

Answer 3

: 기본적으로 보안 채널 기반 클라이언트가 Win10/서버에서 SHA1, SHA256, SHA384 및 SHA512을 (제공 hander 정의 후이 줄을 추가

시도 2016). 따라서 TLS 1.2 서버는 MD5 인증서를 이러한 클라이언트에 보내지 않아야합니다.

클라이언트 (HttpClient)는 signature_algorithms 확장에 MD5를 나열하지 않으므로 TLS 1.2 핸드 셰이크가 실패합니다. 해결 방법은 보안 서버 인증서를 사용하는 것입니다.