L'Authentification du Client via les Certificats X509 dans asp.net

De créer un mécanisme d'authentification sécurisée vous utilisez à la fois les certificats de client et le nom d'utilisateur /mot de passe. La raison en est qu'un certificat est quelque chose qui peut être volé (copié), mais un mot de passe est quelque chose qui est seulement connue par la personne. Une alternative pourrait être d'un certificat sur carte à puce, protégée par un code PIN.

À l'utilisation de certificats client dans ASP.NET les applications que vous devez faire ce qui suit:

Étape 1: Dans le Gestionnaire des services IIS, ouvrez votre application ou site web, choisissez les Paramètres SSL et de choisir à la fois Exiger SSL et le Besoin de certificat Client.

Maintenant, lorsque l'utilisateur ouvre votre site web, le navigateur va lui demander de sélectionner un certificat client qui sera utilisé dans la communication.

Important À ce stade, vous devez vous assurer que le certificat est émis par une personne de confiance (puisque n'importe qui peut créer leurs propres certificats auto-signés).

Étape 2: Ajouter un élément de configuration (web.config, base de données etc.). Dans cette liste, vous devez ajouter les empreintes digitales de l'ensemble de la CA (autorité de certification) de la chaîne de vos certificats de client.

<add key="ClientCertificateIssuerThumbprints" value="4901f5b87d736cd88792bd5ef7caee91bf7d1a2b,0113e31aa85d7fb02740a1257f8bfa534fb8549e,c9321de6b5a82666cf6971a18a56f2d3a8675602"/>

Étape 3: Créer un classique nom d'utilisateur /mot de passe de la page de login. Vérifiez le nom d'utilisateur/mot de passe.

Étape 4: Ajoutez le code suivant à votre page de connexion:

var x509 = new X509Certificate2(this.Request.ClientCertificate.Certificate);
var chain = new X509Chain(true);
chain.ChainPolicy.RevocationMode = X509RevocationMode.Offline;
chain.Build(x509);

var validThumbprints = new HashSet<string>(
    System.Configuration.ConfigurationManager.AppSettings["ClientCertificateIssuerThumbprints"]
        .Replace(" ", "").Split(',', ';'),
    StringComparer.OrdinalIgnoreCase);

//if the certificate is self-signed, verify itself.
for (int i = chain.ChainElements.Count > 1 ? 1 : 0; i < chain.ChainElements.Count; i++)
{
    if (!validThumbprints.Contains(chain.ChainElements[i].Certificate.Thumbprint))
        throw new UnauthorizedAccessException("The client certificate selected is not authorized for this system. Please restart the browser and pick the certificate issued by XXXXX");
}

//certificate Subject would contain some identifier of the user (an ID number, SIN number or anything else unique). here it is assumed that it contains the login name and nothing else
if (!string.Equals("CN=" + login, x509.Subject, StringComparison.OrdinalIgnoreCase))
    throw new UnauthorizedAccessException("The client certificate selected is authorized for another user. Please restart the browser and pick another certificate.");

Uniquement lorsque le mot de passe et le certificat ont été cochée, l'utilisateur doit être autorisé dans le système.