无法建立 SSL/TLS 安全通道的信任关系 -- SOAP

Question

我有一个简单的 Web 服务调用，由 .NET (C#) 2.0 Windows 应用程序通过 Visual Studio 生成的 Web 服务代理生成，用于同样用 C# (2.0) 编写的 Web 服务。 这种做法已经行之有效了好几年，并且在十几个正在运行的地方继续如此。

新站点的新安装遇到了问题。 尝试调用 Web 服务时，失败并显示以下消息：

无法建立 SSL/TLS 安全信任关系 频道

Web 服务的 URL 使用 SSL (https://) ——但这已经在许多其他位置工作了很长时间（并且继续如此）。

我该往哪里看？ 这可能是 Windows 和 .NET 之间的安全问题，是此安装特有的吗？ 如果是这样，我在哪里建立信任关系？ 我迷路了！

Answer 1

以下代码片段将修复您调用的服务器上的 SSL 证书出现问题的情况。 例如，它可能是自签名的，或者证书和服务器之间的主机名可能不匹配。

如果您正在调用超出您直接控制范围的服务器，这很危险，因为您无法再确定正在与您认为已连接的服务器进行通信。 但是，如果您正在处理内部服务器并且获得“正确”的证书不切实际，请使用以下命令告诉 Web 服务忽略证书问题并勇敢地继续下去。

前两个使用 lambda 表达式，第三个使用常规代码。 第一个接受任何证书。 最后两项至少检查证书中的主机名是否是您期望的主机名。
...希望您觉得它有帮助

//Trust all certificates
System.Net.ServicePointManager.ServerCertificateValidationCallback =
    ((sender, certificate, chain, sslPolicyErrors) => true);

// trust sender
System.Net.ServicePointManager.ServerCertificateValidationCallback
                = ((sender, cert, chain, errors) => cert.Subject.Contains("YourServerName"));

// validate cert by calling a function
ServicePointManager.ServerCertificateValidationCallback += new RemoteCertificateValidationCallback(ValidateRemoteCertificate);

// callback used to validate the certificate in an SSL conversation
private static bool ValidateRemoteCertificate(object sender, X509Certificate cert, X509Chain chain, SslPolicyErrors policyErrors)
{
    bool result = cert.Subject.Contains("YourServerName");
    return result;
}

Answer 2

非常简单的“包罗万象”解决方案是这样的：

System.Net.ServicePointManager.ServerCertificateValidationCallback = delegate { return true; };

sebastian-castaldi 的解决方案更详细一些。

Answer 3

想法（基于过去的痛苦）：

• 你有 DNS 和服务器的视线吗？
• 您使用的证书名称是否正确？
• 证书还有效吗？
• 配置不当的负载均衡器是否会造成混乱？
• 新的服务器机器的时钟设置是否正确（即UTC时间是正确的[忽略本地时间，这在很大程度上是无关紧要的]） - 这对于WCF来说当然很重要，因此可能会影响常规的SOAP？
• 是否存在证书信任链问题？ 如果从服务器浏览到soap服务，能得到SSL吗？
• 与上述相关 - 证书是否安装到正确的位置？ （您可能需要受信任的根证书颁发机构中的副本）
• 服务器的机器级代理设置是否正确？ （与用户的代理不同）； 请参阅 XP / 2003 的 proxycfg（不确定 Vista 等）

Answer 4

我个人最喜欢以下解决方案：

using System.Security.Cryptography.X509Certificates;
using System.Net.Security;

...然后在请求收到错误之前，执行以下操作

System.Net.ServicePointManager.ServerCertificateValidationCallback = delegate(object sender, X509Certificate certificate, X509Chain chain, SslPolicyErrors sslPolicyErrors) { return true; };

在咨询卢克的解决方案

Answer 5

如果您不想盲目信任每个人并仅对某些主机设置信任例外，则以下解决方案更合适。

public static class Ssl
{
    private static readonly string[] TrustedHosts = new[] {
      "host1.domain.com", 
      "host2.domain.com"
    };

    public static void EnableTrustedHosts()
    {
      ServicePointManager.ServerCertificateValidationCallback = 
      (sender, certificate, chain, errors) =>
      {
        if (errors == SslPolicyErrors.None)
        {
          return true;
        }

        var request = sender as HttpWebRequest;
        if (request != null)
        {
          return TrustedHosts.Contains(request.RequestUri.Host);
        }

        return false;
      };
    }
}

然后，只需在应用程序启动时调用 Ssl.EnableTrustedHosts 即可。

Answer 6

如果您使用的是 Windows 2003，您可以尝试以下操作：

打开 Microsoft 管理控制台
（开始-->运行-->mmc.exe）；

选择文件--> 添加/删除管理单元；

在“独立”选项卡中，选择“添加”；

选择证书管理单元，然后
单击“添加”；

在向导中，选择计算机
帐户，然后选择本地
电脑。 按完成结束
向导；

关闭“添加/删除管理单元”对话框；

导航到证书（本地
电脑）并选择一家商店
导入：

如果您有根 CA 证书
对于发行该
证书，选择受信任的根
认证机构；

如果您有证书
服务器本身，选择其他人

右键单击商店并选择全部
任务--> 导入

按照向导操作并提供
您拥有的证书文件；

之后，只需重新启动 IIS 并尝试
再次调用网络服务。

参考： http://www.outsystems.com/NetworkForums/ViewTopic.aspx?Topic=Web-Services:-Could-not-built-trust-relationship-for-the-SSL/TLS- ...

Answer 7

卢克（Luke）就此写了一篇非常好的文章..
非常简单..尝试一下

卢克的解决方案

原因（引自他的文章（减去咒骂））
“..
上面代码的问题是，如果您的证书无效，它就不起作用。 为什么我要发布到带有无效 SSL 证书的网页？ 因为我很便宜，而且我不想向 Verisign 或其他 **-* 之一支付我的测试盒证书，所以我自行签署了它。 当我发送请求时，我收到一个可爱的异常：

System.Net.WebException
底层连接已关闭。 无法与远程服务器建立信任关系。

我不了解您的情况，但对我来说，该异常看起来像是由我的代码中的一个愚蠢错误引起的，导致 POST 失败。 所以我一直在寻找、调整、做各种奇怪的事情。 只有在我用谷歌搜索了 ***n 的事情之后，我才发现遇到无效的 SSL 证书后的默认行为是抛出这个异常。
..”

Answer 8

Microsoft 的 SSL 诊断工具也许能够帮助确定问题。

更新链接现已修复。

Answer 9

添加以下内容：

 ServicePointManager.ServerCertificateValidationCallback += (sender, cert, chain, sslPolicyErrors) => true;}

在您调用服务的行之前

Answer 10

我刚刚遇到这个问题。 我的解决方案是通过手动同步到时间服务器来更新系统时间。 为此，您可以：

• 右键单击​​任务栏中的时钟
• 选择调整日期/时间
• 选择Internet时间选项卡
• 单击更改设置
• 选择立即更新

在我的例子中，同步不正确，因此我必须单击它几次才能正确更新。 如果它继续错误更新，您甚至可以尝试使用服务器下拉列表中的不同时间服务器。

Answer 11

尝试一下：

System.Net.ServicePointManager.SecurityProtocol = System.Net.SecurityProtocolType.Tls12;

请注意，您至少必须使用 4.5 .NET 框架

Answer 12

我在 Internet Explorer 中的 .NET 应用程序中遇到了类似的问题。

我解决了将证书（在我的例子中为 VeriSign 3 类证书）添加到受信任的编辑器证书中的问题。

Go to Internet Options-> Content -> Publishers and import it

如果您导出证书即可获得：

Internet Options-> Content -> Certificates -> Intermediate Certification Authorities -> VeriSign Class 3 Public Primary Certification Authority - G5

谢谢

Answer 13

我在一个网络服务器上运行时遇到了这个错误，其网址如下：

a.b.domain.com

但没有证书，所以我得到了一个名为“

a_b.domain.com

Just puthinttothissolutionhere”的 DNS，因为这在谷歌中排名最高。

Answer 14

对于那些通过 VS 客户端遇到此问题的人，一旦成功添加了服务引用并尝试执行第一个调用，就会出现此异常：
“底层连接已关闭：无法为 SSL/TLS 安全通道建立信任关系”
如果您使用（如我的情况）带有 IP 地址的端点 URL 并遇到此异常，那么您可能需要执行以下步骤重新添加服务引用：

• 在 Internet Explorer 上打开端点 URL。
• 单击证书错误（地址栏中的红色图标）
• 单击查看证书。
• 获取发布到：“名称”并替换 IP 地址或我们正在使用的任何名称，并收到此“名称”的错误。

再试一次 ：）。
谢谢

Answer 15

就我而言，我尝试使用 IIS 7 在 Visual Studio 环境中测试 SSL。

这就是我最终所做的使其正常工作：

• 在我的网站下的“绑定..”在 IIS 右侧的“绑定...”部分中，我必须将“https”绑定添加到端口 443 并选择“IIS Express 开发证书”。

• 在我的网站右侧的“高级设置...”部分中，我必须将“启用的协议”从“http”更改为“https”。

• 在“SSL 设置”图标下，我为客户端证书选择了“接受”。

• 然后我必须回收应用程序池。

• 我还必须使用 mmc.exe 将本地主机证书导入到我的个人存储中。

我的 web.config 文件已经正确配置，所以在我整理完以上所有内容后，我就可以继续我的测试了。

Answer 16

我的解决方案（VB.Net，此应用程序的“临时”（UAT）版本需要使用“临时”证书，但一旦请求位于实时站点上，就不会影响请求）：

    ...
        Dim url As String = ConfigurationManager.AppSettings("APIURL") & "token"
        If url.ToLower().Contains("staging") Then
           System.Net.ServicePointManager.ServerCertificateValidationCallback = AddressOf AcceptAllCertifications
        End If
    ...

    Private  Function AcceptAllCertifications(ByVal sender As Object, ByVal certification As System.Security.Cryptography.X509Certificates.X509Certificate, ByVal chain As System.Security.Cryptography.X509Certificates.X509Chain, ByVal sslPolicyErrors As System.Net.Security.SslPolicyErrors) As Boolean
        Return True
    End Function

Answer 17

我已经使用了一段时间的一个变体，如果对任何人有帮助的话。

调用者必须明确请求需要不受信任的认证，并在完成后将回调放回到默认状态。

    /// <summary>
    /// Helper method for returning the content of an external webpage
    /// </summary>
    /// <param name="url">URL to get</param>
    /// <param name="allowUntrustedCertificates">Flags whether to trust untrusted or self-signed certificates</param>
    /// <returns>HTML of the webpage</returns>
    public static string HttpGet(string url, bool allowUntrustedCertificates = false) {
        var oldCallback = ServicePointManager.ServerCertificateValidationCallback;
        string webPage = "";
        try {
            WebRequest req = WebRequest.Create(url);

            if (allowUntrustedCertificates) {
                // so we can query self-signed certificates
                ServicePointManager.ServerCertificateValidationCallback = 
                    ((sender, certification, chain, sslPolicyErrors) => true);
            }

            WebResponse resp = req.GetResponse();
        
            using (StreamReader sr = new StreamReader(resp.GetResponseStream())) {
                webPage = sr.ReadToEnd().Trim();
                sr.Close();
            }
            return webPage;
        }
        catch {
            // if the remote site fails to response (or we have no connection)
            return null;
        }
        finally {
            ServicePointManager.ServerCertificateValidationCallback = oldCallback;
        }
    }

Answer 18

如果证书不工作，当ServerCertificateValidationCallback返回true；
我的 ServerCertificateValidationCallback 代码：

ServicePointManager.ServerCertificateValidationCallback += delegate
{
    LogWriter.LogInfo("Проверка сертификата отключена, на уровне ServerCertificateValidationCallback");
    return true;
};

我的代码被阻止执行 ServerCertificateValidationCallback：

     if (!(ServicePointManager.CertificatePolicy is CertificateValidation))
    {
        CertificateValidation certValidate = new CertificateValidation();
        certValidate.ValidatingError += new CertificateValidation.ValidateCertificateEventHandler(this.OnValidateCertificateError);
        ServicePointManager.CertificatePolicy = certValidate;
    }

OnValidateCertificateError 函数：

private void OnValidateCertificateError(object sender, CertificateValidationEventArgs e)
{
    string msg = string.Format(Strings.OnValidateCertificateError, e.Request.RequestUri, e.Certificate.GetName(), e.Problem, new Win32Exception(e.Problem).Message);
    LogWriter.LogError(msg);
    //Message.ShowError(msg);
}

我禁用了 CertificateValidation 代码并且 ServerCertificateValidationCallback 运行得很好