.NET Framework 4.5.2 WebSocket TLS服务器AuthenticateAsServer证书报错

这个System.ComponentModel.Win32Exception: 'The credentials supplied to the package were not recognized'错误通常和PFX证书的私钥访问权限、证书结构或.NET导入证书的方式有关，以下是针对性的排查和解决步骤：

1. 调整X509Certificate2构造参数，确保私钥可访问 #

.NET Framework 4.5.2默认的证书密钥存储可能导致私钥无法被SslStream访问，修改证书初始化代码，添加X509KeyStorageFlags参数：

serverCertificate = new X509Certificate2(
    "D:\\myCert.pfx", 
    "password", 
    X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable
);

这些标志会将私钥存储在机器级容器，允许持久化和导出，避免进程权限不足导致的私钥访问失败。

2. 验证PFX证书的完整性 #

使用OpenSSL命令检查PFX是否包含有效私钥和证书链：

openssl pkcs12 -info -in myCert.pfx

输入密码后，确认输出中包含以下内容：

• 私钥条目（标记为Bag Attributes，包含localKeyID等字段）
• 服务器证书和CA证书的条目
  如果私钥未被正确包含，重新执行PFX导出步骤，确保使用正确的密钥和证书文件。

3. 重新生成证书，简化私钥配置 #

你当前生成的服务器私钥（ServKey.key）使用了-des3加密，虽然密码正确，但带密码的私钥在.NET导入时可能存在兼容性问题。重新生成无密码的私钥并重新制作证书链：

# 生成无密码的服务器私钥
openssl genrsa -out ServKey.key 16384
# 生成服务器CSR
openssl req -new -key ServKey.key -out ServCSR.csr
# 重新生成CA（如果需要）
openssl req -new -newkey rsa:16384 -nodes -out CA_CSR.csr -keyout CA_CSR_key.key -sha256
openssl x509 -signkey CA_CSR_key.key -days 365 -req -in CA_CSR.csr -out CA.crt -sha256
# 签发服务器证书
openssl x509 -req -days 365 -in ServCSR.csr -CA CA.crt -CAkey CA_CSR_key.key -out myCert.crt -set_serial 01 -sha256
# 导出PFX
openssl pkcs12 -export -out myCert.pfx -inkey ServKey.key -in myCert.crt -certfile CA.crt

导出PFX时设置的密码保持一致，再重新测试代码。

4. 临时关闭证书吊销检查 #

当前代码中checkCertificateRevocation: true，但自签名CA的证书吊销列表通常不存在，可能触发额外的验证错误。临时修改为false测试是否解决问题：

sslStream.AuthenticateAsServer(
    serverCertificate, 
    clientCertificateRequired: false, 
    enabledSslProtocols: SslProtocols.Tls12, 
    checkCertificateRevocation: false
);

如果问题解决，再考虑配置有效的证书吊销列表或保持该设置（仅用于测试或内部环境）。

内容的提问来源于stack exchange，提问作者Clément Parmentier