ASP.NET Core下mTLS客户端证书有效性验证方案咨询

1. 先确保证书的基础有效性 #

你的代码已经开启了在线吊销检查，但还需要限制证书必须由你信任的CA机构签发，避免接受任意自签或未知CA的证书。可以通过配置强化信任链校验：

.AddCertificate(options =>
{
    options.AllowedCertificateTypes = CertificateTypes.All;
    options.RevocationMode = X509RevocationMode.Online;
    // 指定仅信任你认可的CA证书链
    options.CertificateValidationMode = X509CertificateValidationMode.ChainTrust;
    // 若使用自定义CA，可将CA证书导入服务器的「受信任的根证书颁发机构」存储，或直接加载指定CA证书
    // options.TrustedRootCertificates = new X509Certificate2Collection { LoadYourCaCertificate() };
})

2. 自定义验证逻辑：结合数据库记录+多维度校验 #

仅对比指纹和序列号不足以防范证书盗用风险，需要在验证流程中加入以下核心校验，确保请求的证书是你授权的有效凭证：

实现自定义证书验证服务 #

先注入自定义验证服务，再修改证书认证配置：

// 注入自定义验证服务
services.AddScoped<IClientCertificateValidator, ClientCertificateValidator>();

services.AddAuthentication(CertificateAuthenticationDefaults.AuthenticationScheme)
    .AddCertificate(options =>
    {
        options.AllowedCertificateTypes = CertificateTypes.All;
        options.RevocationMode = X509RevocationMode.Online;
        // 启用自定义验证逻辑
        options.CertificateValidationMode = X509CertificateValidationMode.Custom;
        options.CustomCertificateValidator = sp => 
            sp.GetRequiredService<IClientCertificateValidator>();
    });

编写验证服务类 #

这个类需要从数据库查询已授权证书信息，并完成多维度校验：

public interface IClientCertificateValidator
{
    Task ValidateAsync(X509Certificate2 certificate, X509Chain chain, TaskCompletionSource<object> validationCompletionSource);
}

public class ClientCertificateValidator : IClientCertificateValidator
{
    private readonly ICertificateAuthorizationRepo _authRepo;

    public ClientCertificateValidator(ICertificateAuthorizationRepo authRepo)
    {
        _authRepo = authRepo;
    }

    public async Task ValidateAsync(X509Certificate2 certificate, X509Chain chain, TaskCompletionSource<object> validationCompletionSource)
    {
        try
        {
            // 1. 先校验证书链的基础有效性（信任链+未吊销）
            if (!chain.Build(certificate))
            {
                validationCompletionSource.SetException(new SecurityTokenValidationException("证书链验证失败"));
                return;
            }

            // 2. 从数据库查询已授权的证书记录
            var thumbprint = certificate.Thumbprint?.ToUpperInvariant();
            var serialNumber = certificate.SerialNumber?.ToUpperInvariant();
            var authorizedCert = await _authRepo.GetAuthorizedCertAsync(thumbprint, serialNumber);

            if (authorizedCert == null)
            {
                validationCompletionSource.SetException(new SecurityTokenValidationException("未授权的证书"));
                return;
            }

            // 3. 校验证书是否在有效期内
            var now = DateTime.UtcNow;
            if (certificate.NotBefore > now || certificate.NotAfter < now)
            {
                validationCompletionSource.SetException(new SecurityTokenValidationException("证书已过期或未生效"));
                return;
            }

            // 4. 校验证书是否具备客户端认证权限（增强型密钥用法）
            var clientAuthOid = new Oid("1.3.6.1.5.5.7.3.2");
            var hasClientAuthEku = certificate.Extensions
                .OfType<X509EnhancedKeyUsageExtension>()
                .Any(eku => eku.EnhancedKeyUsages.Cast<Oid>().Any(o => o.Value == clientAuthOid.Value));

            if (!hasClientAuthEku)
            {
                validationCompletionSource.SetException(new SecurityTokenValidationException("证书不具备客户端认证权限"));
                return;
            }

            // 5. 校验证书颁发者与数据库记录一致（防止伪造同序列号/指纹的证书）
            if (certificate.Issuer != authorizedCert.Issuer)
            {
                validationCompletionSource.SetException(new SecurityTokenValidationException("证书颁发者不匹配"));
                return;
            }

            // 所有校验通过
            validationCompletionSource.SetResult(null);
        }
        catch (Exception ex)
        {
            validationCompletionSource.SetException(ex);
        }
    }
}

3. 额外安全强化措施 #

• 禁止客户端证书私钥导出：分发证书时，将私钥标记为不可导出，避免证书被盗用后直接复用。
• 绑定客户端身份与权限：在数据库中关联证书与具体客户端角色，在授权阶段（UseAuthorization）进一步校验权限，避免合法证书被滥用。
• 调整Kestrel强制要求证书：将客户端证书模式改为RequireCertificate，拒绝未携带证书的请求：

  builder.WebHost.ConfigureKestrel(kestelOptions =>
  {
      kestelOptions.ConfigureHttpsDefaults(httpOptions =>
      {
          httpOptions.ClientCertificateMode = ClientCertificateMode.RequireCertificate;
      });
  });
  

内容的提问来源于stack exchange，提问作者Szyszka947