SSL原理及应用（3）.NET开发中处理HTTPS

 

在ASP.NET、SQL Server、WCF等通信领域，微软都提供了基于SSL的安全保护机制。遗憾的是，.NET并没有对SSL协议本身提供像TCP、UDP这样的基础网络协议的编程性支持。如果想从协议的角度处理SSL通信或者想构建完整的SSL框架，那么.NET帮不上你，但是还有选择，许多第三方安全通信的项目提供了支持，比如OpenSSL。这不意味着我们在此领域将无所作为，第6章介绍了.NET中操作数字证书的两个类：

q  System.Security.Cryptography.X509Certificates.X509Certificate2类

q  System.Security.Cryptography.X509Certificates.X509Store类

在Web开发中，SSL通信由浏览器和Web服务器来实现通信细节。封装了HTTP协议的WebRequest、WebResponse等类提供了处理HTTPS请求的能力。当我们在程序中向HTTPS链接发送请求的时候，可以获取服务器返回的证书。

请求HTTPS链接

当使用WebRequest类请求HTTPS链接的时候，在操作上和请求普通的HTTP链接没什么不同。代码清单8-1演示了如何获取一个HTTPS链接的方法。

代码清单 8-1获取HTTPS链接

try

{

Uri uri = new Uri("sample.com/https.aspx");

 

WebRequest http = HttpWebRequest.Create(uri);

HttpWebResponse response = (HttpWebResponse)http.GetResponse();

Stream stream = response.GetResponseStream();

}

catch(UriFormatException e)

{

Console.WriteLine("无效的URL");

}

catch(IOException e)

{

Console.WriteLine("连接失败");

}

代码清单8-1中，通过HttpWebRequest对象的Create方法创建一个简单的HTTPS请求，并反回一个HttpWebResponse对象。

说明 HttpWebRequest类对WebRequest中定义的属性和方法提供支持，在使用HttpWebRequest对象向HTTP服务器发起请求时请不要使用HttpWebRequest对象的构造函数，而应该使用WebRequest.Create()方法来初始化新的HttpWebRequest对象。如果统一资源标识符方案是"http://"或"https://"时,Create()则返回HttpWebResponse对象。

证书信息的获取与证书加载

在代码清单8-1的基础上，只需略加修改就可以让程序适应需要提交客户端证书的情况。如代码清单8-2所示。

码清单8-2  证书信息的获取与证书加载

   public void Test()

        {

            Uri uri = new Uri("sample.com/https.aspx");

 

            HttpWebRequest httpRequest = (HttpWebRequest)HttpWebRequest.Create(uri);

            

            X509Certificate cer = X509Certificate.CreateFromCertFile("证书文件地址");

            httpRequest.ClientCertificates.Add(cer);

            HttpWebResponse response = (HttpWebResponse)httpRequest.GetResponse();

            Stream stream = response.GetResponseStream();

        }

在代码清单8-2中，首先创建一个X509Certificate对象，把它添加到WebRequest的ClientCertificates集合中。我们的证书一定要保护密钥信息。

在服务器端，可以从客户端请求的上下文中获取客户端提交的证书。

在Asp.NET中，可以通过下面的代码来获取证书信息：

Request.ClientCertificate(key[SubField])

在上面的代码中，Key指定要获取证书字段的名称，不同的Key值具有不同的含义，SubField为可选字段。Key具体信息如表8-2所示。

表8-2  Request.ClientCertificate的Key值信息

值	意义
Certificate	ASN.1 格式的二进制流字符串，即完整的证书内容
Flags	一组标志，提供其他客户端证书信息。可以设置：ceCertPresent（当前的客户端证书）和ceUnrecognizedIssuer（该链接上来自未知的发行者的最后一个证书）
Issuer	包含子字段值的列表的字符串，此列表包含证书颁发者的信息。若该值在无SubField项的情况下指定，则ClientCertificate集合返回一个以逗号分隔的子字段列表。例如：C=US, O=Verisign等
SerialNumber	包含证书的序列号的字符串，序列号以连字符(-)分隔的16进制ASCII码表示，如04-67-F3-02
Subject	包含子字段值的列表的字符串，此列表包含有关证书的主题信息。若该值在无SubField项的情况下指定，则 ClientCertificate 集合返回一个以逗号分隔的子字段列表。例如，C=US, O=Verisign等
ValidFrom	指定证书何时有效。此日期遵循VBScript格式并随国家（地区）设置而变化。例如，在美国可表示为9/26/96 11:59:59 PM
ValidUntil	指定证书何时到期

SubField用于按Subject或Issuer关键字检索单独的字段。此参数作为一个后缀添加到Key参数中，如IssuerO或SubjectCN。表8-3列出了一些通用的SubField值。

表8-3  SubField支持的参数和意义

值	意义
C	指定原国家（地区）名
CN	指定公用用户名（此子字段仅同 Subject 关键字一起使用）
GN	指定给定的名称
L	指定所在地
O	指定公司或组织名称
OU	指定机构的名称
S	指定州或省
T	指定此人或组织的头衔

根据表8-2和表8-3的说明，可以获取关于客户端证书的完整信息，这里不再演示。

 ----------------------注：本文部分内容改编自《.NET 安全揭秘》