.NET 6 HttpClient双向TLS认证未携带根证书握手失败问题

问题表现 #

• .NET 6环境下使用HttpClient发起双向TLS请求时持续抛出握手失败异常，异常信息为：The SSL connection could not be established, see inner exception. -> AuthenticationException: Authentication failed because the remote party sent a TLS alert: 'HandshakeFailure'
• 使用的p12证书文件包含私钥，共3张证书，顺序为：客户端证书、中间CA证书、根CA证书
• Wireshark抓包分析TLS握手载荷，发现客户端仅发送客户端证书、中间证书2张，缺失根证书
• 已尝试的无效修复操作：
  • 将证书分别安装到当前用户、本地计算机存储位置的My、Root证书存储区
  • 执行证书链构建校验var chain = new X509Chain(); chain.Build(certificate)，确认所有中间证书可正常解析
  • 手动向证书集合追加链解析出的全部证书
• 初始测试误判openssl s_client可成功建立连接，实际为误读输出末尾的验证结果导致

复现代码 #

using System.Security.Authentication;
using System.Security.Cryptography.X509Certificates;

const string thumbprint = "";

using var store = new X509Store(StoreLocation.LocalMachine);
store.Open(OpenFlags.ReadOnly);
var certificate = store.Certificates.Find(X509FindType.FindByThumbprint, thumbprint, false)[0];

var clientHandler = new HttpClientHandler
{
    ClientCertificateOptions = ClientCertificateOption.Manual,
    SslProtocols = SslProtocols.Tls12,
    ClientCertificates = { certificate }
};

var client = new HttpClient(clientHandler)
{
    BaseAddress = new Uri("url")
};

var response = await client.GetAsync(string.Empty);

根因与解决步骤 #

1. 修正openssl测试结论：重新核对openssl s_client输出，确认初始状态下openssl实际也未连接成功，根因初步定位为服务端未将客户端证书对应的CA加入信任允许列表
2. 协同服务端完成配置：联系服务提供方在服务端安装所需信任证书、配置客户端证书信任CA列表后，openssl在三种带私钥的证书组合场景下均可正常连接：
   • 携带客户端+中间+根全量3张证书
   • 携带客户端证书+中间证书
   • 仅携带客户端证书
3. .NET侧连接验证：服务端配置生效后，经最终环境核对，.NET程序可正常建立双向TLS连接，问题闭环

关键提示：按照TLS协议规范，双向TLS握手阶段客户端不需要发送根CA证书，根证书属于通信双方本地预置的信任锚点，抓包观测到客户端不发送根证书是符合标准的正常行为，并非故障原因

内容的提问来源于stack exchange，提问作者joacar