如何为LDAP+SSL连接验证服务器SSL证书

Question

我们的应用程序可以使用Active Directory用户和组。我们在端口389上使用LDAP进行Active Directory操作。现在，我们的一个客户机希望我们添加一个使用LDAP+SSL进行Active Directory通信的选项。

他们告诉我们，他们在域上安装了一个本地CA，并对LDAP使用自签名证书。他们还告诉我们，他们会提供证书，不需要相互信任，我们应该使用Windows证书存储。

他们所说的“我们应该使用Windows证书存储”是什么意思？他们希望我们自动将服务器的证书添加到本地计算机的可信证书存储区吗？

我用于LDAP+SSL连接的示例代码，

LdapConnection _connection = new LdapConnection(new LdapDirectoryIdentifier(m_DomainName, m_PortNo));
_connection.Timeout = TimeSpan.FromMinutes(10);
_connection.AuthType = AuthType.Basic;
_connection.Credential = new NetworkCredential(m_UserName, m_Password);

_connection.SessionOptions.ProtocolVersion = 3;
_connection.SessionOptions.SecureSocketLayer = true; 

_connection.SessionOptions.VerifyServerCertificate = (ldapCon, serverCertificate) =>
{
   //TODO: Verify server certificate
   return true;
};
_connection.SessionOptions.QueryClientCertificate = (con, trustedCAs) => null;

_connection.Bind();

Answer 1

哪个证书（根，用于LDAP+SSL的证书...）客户应该给我们吗？

签署LDAP服务器证书的根证书。他们也可以提前给你整个链，但无论如何都要在TLS握手期间发送。您只需预先获得根证书即可。

在.NET环境下工作的证书的格式应该是什么？

请注意，一旦您将根证书添加为受信任的，他们就可以为安装其根的客户端伪造任何服务器证书，并且他们签名的任何内容在该客户端上都将被视为有效。

奖励：添加半自定义验证和调试证书错误

您可能面临的一个问题是错误消息没有很大帮助。如果证书无法验证，您将得到一条非常通用的错误消息，其中没有关于实际问题的提示。出于其他原因，您可能还想挂接到验证过程中。

为此，您可以定义自己的验证：

private bool VerifyServerCertificate(LdapConnection ldapConnection, X509Certificate certificate)
{
    X509Certificate2 certificate2 = new X509Certificate2( certificate );
    return certificate2.Verify();
}

_connection.SessionOptions.VerifyServerCertificate = 
    new VerifyServerCertificateCallback( VerifyServerCertificate );

您可以在此方法中实现的另一件事是证书钉扎以获得额外的安全性，但这超出了本答案的范围。