如何在C#的SslStream中为TLS 1.3设置RSAPSS签名算法

咱们先理清楚问题根源：TLS 1.3相比1.2在签名算法的要求上有明显差异，RSAPSS是TLS 1.3握手过程中部分场景（比如证书验证）必需的签名算法类型，但默认的SslStream配置在TLS 1.3模式下不会自动把RSAPSS加入到Client Hello的签名算法列表里，这就导致服务器那边找不到期望的算法，最终触发了你看到的SSPI握手错误。

下面是具体的解决方案，分不同.NET版本来处理：

推荐方案（.NET Core 3.1+/NET 5+/NET Framework 4.8+） #

从这些版本开始，.NET提供了直接配置签名算法策略的属性，代码实现起来很简洁：

using System.Net.Security;
using System.Security.Authentication;
using System.Security.Cryptography.X509Certificates;

// 假设你已经建立好底层的NetworkStream连接
var sslAuthOptions = new SslClientAuthenticationOptions
{
    TargetHost = "你的服务器域名/IP",
    // 可根据需求只启用TLS 1.3，或与TLS 1.2混用
    EnabledSslProtocols = SslProtocols.Tls13,
    // 如果需要客户端证书验证，在这里添加你的证书集合
    ClientCertificates = new X509CertificateCollection(),
    CheckCertificateRevocation = false, // 根据业务需求调整是否开启吊销检查
    // 关键配置：强制支持RSAPSS签名算法
    SignatureAlgorithmPolicy = SslSignatureAlgorithmPolicy.SupportRsaPss
};

using var sslStream = new SslStream(networkStream, leaveInnerStreamOpen: false);
// 异步认证场景用这个，同步场景可改用AuthenticateAsClient
await sslStream.AuthenticateAsClientAsync(sslAuthOptions);

关键配置说明 #

SslSignatureAlgorithmPolicy.SupportRsaPss这个枚举值会告诉SslStream在TLS 1.3握手时，主动将RSAPSS系列的签名算法加入到Client Hello的签名算法扩展列表中，正好满足服务器的要求。

老版本.NET Framework（4.8之前）的替代方案 #

如果你的项目还在使用4.8之前的.NET Framework，由于原生不支持直接配置签名算法，有两个可选方向：

1. 升级到.NET Framework 4.8：这是最稳妥的方式，4.8对TLS 1.3的支持更完善，也包含了上面的配置属性。
2. 通过注册表强制启用RSAPSS：在客户端机器的注册表中添加以下项，强制系统在TLS 1.3握手时包含RSAPSS算法：

   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319
   添加 DWORD 项：SchUseStrongCrypto = 1
   HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework\v4.0.30319
   添加 DWORD 项：SchUseStrongCrypto = 1
   

   注意：这个设置会影响所有使用该.NET Framework版本的应用程序。

验证方法 #

配置完成后，可以用Wireshark抓包查看Client Hello报文，找到signature_algorithms和signature_algorithms_cert扩展，确认里面包含rsa_pss_rsae_sha256、rsa_pss_rsae_sha384、rsa_pss_rsae_sha512这些RSAPSS相关的算法标识，就说明配置生效了。

内容的提问来源于stack exchange，提问作者subbaraoc