在与Microsoft SQL Server一起使用TLS时，如何自定义服务器证书验证？

Question

我正在尝试将.NET 6应用程序连接到使用自签名服务器证书的SQL Server 2016实例。使用默认的连接字符串设置，此导致错误在

A connection was successfully established with the server, but then an error occurred during the login process. (provider: SSL Provider, error: 0 - The certificate chain was issued by an authority that is not trusted.)

技术上是正确的，因为证书是自签名的，而不是由受信任的当局发行的。因为这是一个内部的私人数据库，因此获得可信赖的授权来签署证书的权限不是一个选择。 编辑：我们也没有网络中已经信任的内部CA。

我知道encrypt = false设置，但是我们希望连接加密。我也知道trustservercertificate = true设置，但是如果攻击者还使用自签名的证书，那将使我们对中间攻击开放。理想情况下，我想自定义证书验证，并允许连接，如果证书拇指标准符合我期望的验证。

如果这是HTTP请求，我可以执行以下

var handler = new HttpClientHandler();
handler.ServerCertificateCustomValidationCallback = (sender, cert, chain, errors) => {
    if (errors == SslPolicyErrors.None) return true;
    if (errors == SslPolicyErrors.RemoteCertificateChainErrors)
        return cert.Thumbprint == "MyTrustedThumbprint";
    return false;
};
var client = new HttpClient(handler);

解决方案避免中间攻击（因为他们无法复制拇指丝），并且可以避免我们的团队必须在每台机器上安装一个自签名的证书在我们的网络中。

在microsoft.data.sqlclient生态系统中，是否有类似于ServerCertificatificatificatecustomValidationCallback？奖励点如果解决方案还可以与高级数据库访问（例如Entity Framework或Dapper）一起使用。

Answer 1

因为这是一个内部的私人数据库，因此获得可信赖的权限来签署证书。

那不是真的。仍然有两条途径可以使证书由可信赖的权威签署：

1. 让您的服务器连接到一个以您真正控制的公共域名命名的Active Directory域。在这种情况下，您可以从客户接受的信誉良好（值得信赖的）CA供应商那里购买证书。

   请注意，这并不一定意味着让您的广告域使用与面向公共服务的服务相同的名称（当然，不建议您使用）；只是将其设置为使用可以公开的域名，并且您可以证明您拥有此名称的值得信赖的CA。您通常可以通过将电话的组合通过您实际回答的WHOIS注册表中的一个数字和一组DNS TXT和CAA记录中的一个数字传递此支票，这意味着甚至没有使用此域的服务器可以从Internet上接触。<<<<<<<<<<<<<<<<<<<<<<<<< /p>
   

   还要注意，无论如何您都应该以这种方式设置，但是我知道很多地方都没有按照应有的方式进行设置，或者广告环境预先应有此指南。如果是这样，我知道这是一件大事，要求您的组织改变。这把我带到了第二个道路...

   
   

2. 运行您自己的CA，您的客户被设置为信任CA。在广告环境中，这是相当直接的。如果您在域中正确设置了广告证书服务，则您的域名客户将将其视为课程的标准。

   与第一个选项不同，如果您还没有CA，并且无法遵循PATH 1，则 在某种程度上是合理的，可以期望组织获得此功能以支持安全的安全与数据库进行通信，因为还会有其他好处。

如果这些路径都不可行（即，客户端不会成为AD的一部分），那么您将必须向客户发布证书，因此可以将其添加到其证书存储中。

值得一提的是， 在客户端代码中没有工作可以使您绕过此。唯一的选择是未加密的与数据库服务器的通信。这是因为本机SQL客户端绝对会不是让您自定义证书检查，并且SQL Server已由.NET从第一天使用本机客户端支持，因此没人见过需要做出替代方案，无论是商业，开源还是介于两者之间的东西。