Delphi Indy vérifier le certificat de serveur SSL

Vous devez implémenter un gestionnaire d'événement pour l'OnVerifyPeer événement de votre TIdSSLIOHandlerSocketOpenSSL composant.

De IdSSLOpenSSL.pas:

Note que vous devriez vraiment toujours
mettre en œuvre OnVerifyPeer, sinon le certificat d'entre vous sont
la connexion n'est PAS vérifié pour s'assurer qu'il est valide.

Si vous voulez juste de considérer la validité de la même certificats de la Bibliothèque estime également valable, vous avez juste à le mettre en œuvre cette manière:

function TForm1.IdSSLIOHandlerSocketOpenSSL1VerifyPeer(Certificate: TIdX509;
  AOk: Boolean; ADepth, AError: Integer): Boolean;
begin
  Result := AOk;
end;

Comme Indy première vérifie la validité du certificat et de passer à côté de vous si il est Ok ou pas dans l'AOk paramètre. Le dernier mot est dans votre code, vous pourriez laisser passer certains types de mineur erreurs de validation, tout comme de jour, ou même demander à l'utilisateur si le certificat est accepté ou non en cas d'erreur (mineur ou pas).

De comprendre pourquoi cela fonctionne de cette façon, vous pouvez aussi lire tous les commentaires en haut de la IdSSLOpenSSL.pas fichier:

{

Informations importantes concernant OnVerifyPeer:
Rev 1.39 février 2005 délibérément brisé le OnVerifyPeer interface,
qui (évidemment?) n'affecte que les programmes mis en œuvre que de rappel
dans le cadre de la négociation SSL. Notez que vous devriez vraiment toujours
mettre en œuvre OnVerifyPeer, sinon le certificat d'entre vous sont
la connexion n'est PAS vérifié pour s'assurer qu'il est valide.

Avant cela, si la bibliothèque SSL détecté un problème avec un certificat
ou la Profondeur est insuffisante (c'est à dire le "Ok" paramètre dans VerifyCallback
est de 0 /FALSE), puis, indépendamment de savoir si votre OnVerifyPeer renvoyé True
ou Faux, la connexion SSL serait délibérément échoué.

Cela a créé un problème en ce sens que même si il n'y avait qu'une place très réduite
problème avec l'un des certificats de la chaîne (OnVerifyPeer est appelé
une fois pour chaque certificat de la chaîne), que l'utilisateur peut
ont été heureux de l'accepter, de la négociation SSL serait échoué. Cependant,
modification du code pour permettre la connexion SSL lorsqu'un utilisateur a renvoyé True
pour OnVerifyPeer aurait signifié que le code existant qui dépendait
le rejet automatique de certificats non valides serait alors accepter
les certificats non valides, ce qui aurait été inacceptable pour la sécurité
changement.

Par conséquent, OnVerifyPeer a été changé délibérément rompre code existant
par l'ajout d'une AOk paramètre. Afin de préserver la précédente fonctionnalité, votre
OnVerifyPeer événement doit faire "Result := AOk;". Si vous voulez examiner
accepter les certificats SSL de la bibliothèque est considérée comme invalide, alors
dans votre OnVerifyPeer, assurez-vous de vous assurer que le certificat
vraiment est valide, puis définissez le Résultat est True. En réalité, en plus de
vérification de l'AOk, vous devriez toujours mettre en œuvre le code qui vous assure de ne sont
l'acceptation des certificats qui sont valides (au moins à partir de votre point de vue).

Ciaran Costelloe, ccostelloe[_a_t_]flogas.ie

}

{

RLebeau 1/12/2011: la Rupture OnVerifyPeer événement nouveau, cette fois pour ajouter un autre
Erreur de paramètre (patch avec la permission de "jvlad", [email protected]). Cette
aide de l'utilisateur code distinquish entre Auto-signé et non valides
les certificats.

}

OriginalL'auteur jachguate

Si vous obtenez une erreur comme SSL3_GET_SERVER_CERTIFICATE:certificate verify failed, alors continuer à lire:

Il semble en Indy 10, que si vous définissez un VerifyDepth de 0, le 0 signifie en fait all.

OriginalL'auteur Marcus Adams