如何在 SslStream.AuthenticateAsClient 期间从 X509Certificate 对象中提取域名？ (.NET4)

Question

我有一个由 SslStream.AuthenticateAsClient 调用的 RemoteCertificateValidationCallback 函数，它传递了一个 X509Certificate 对象。

我想从该证书中提取名称，这样如果我将该字符串传递给 AuthenticateAsClient，它就会通过。 （假设没有其他问题。）

（注意：Subject 属性包含域名，但它位于“CN=..., S=...”等格式的字符串中。）

另请参阅：How to extract CN from X509Certificate in Java?（针对 Java 提出了类似的问题，但我在这些答案中找不到类似的 .NET 类。）

（跟进尤金的回答。）
这个我试过了……

var cert2 = new System.Security.Cryptography.X509Certificates.X509Certificate2();
cert2.Import(certificate.GetRawCertData());

...但是 cert2.SubjectName.Name 仍然具有 CN= 等格式。我做错了吗？

Answer 1

使用GetRawCertData方法获取证书的DER数据。然后创建 X509Certificate2 对象的实例并使用 Import() 方法加载原始证书数据。然后使用SubjectName 属性访问各个主题字段。注意 - 您还需要检查主题备用名称扩展，但不幸的是，在 .NET Framework 类中没有简单的方法来执行此操作（您可能会发现有必要使用第三方 PKI 库来进行正确的证书验证和管理）。

Answer 2

我使用以下方法解析从AD返回的字符串，它可能有助于解析您接收的数据：

    /// <summary>
    /// Recursively searches the supplied AD string for all groups.
    /// </summary>
    /// <param name="data">The string returned from AD to parse for a group.</param>
    /// <param name="delimiter">The string to use as the seperator for the data. ex. ","</param>
    /// <returns>null if no groups were found -OR- data is null or empty.</returns>
    public static List<string> Parse(string data, string delimiter)
    {
        if (data == null) return null;

        if (!delimiter.EndsWith("=")) delimiter = delimiter + "=";

        //data = data.ToUpper(); // why did i add this?
        if (!data.Contains(delimiter)) return null;

        //base case
        var result = new List<string>();
        int start = data.IndexOf(delimiter) + 3;
        int length = data.IndexOf(',', start) - start;
        if (length == 0) return null; //the group is empty
        if (length > 0)
        {
            result.Add(data.Substring(start, length));

            //only need to recurse when the comma was found, because there could be more groups
            var rec = Parse(data.Substring(start + length), delimiter);
            if (rec != null) result.AddRange(rec); //can't pass null into AddRange() :(
        }
        else //no comma found after current group so just use the whole remaining string
        {
            result.Add(data.Substring(start));            
        }

        return result;
    }

所以给它一个像“CN=my common name,CN=another common name,O=my orginization”这样的字符串，它会返回一个包含两个通用名称的列表。

Answer 3

我是通过以下方式完成的：

var cert2 = new X509Certificate2(cert);
string hostName = cert2.GetNameInfo(X509NameType.DnsName, false);

您也可以检查证书是否有效：

bool valid = cert2.Verify();

（有关 X509Certificate2 类的说明，请参阅 this question）

Answer 4

对于我的证书字符串，通过这样的小调整效果更好

public static List<string> Parse(string data, string delimiter)
        {
            if (data == null) return null;
            if (!delimiter.EndsWith("=")) delimiter = delimiter + "=";
            if (!data.Contains(delimiter)) return null;
            //base case
            var result = new List<string>();
            int start = data.IndexOf(delimiter) + delimiter.Length;
            int length = data.IndexOf(',', start) - start;
            if (length == 0) return null; //the group is empty
            if (length > 0)
            {
                result.Add(data.Substring(start, length));
                //only need to recurse when the comma was found, because there could be more groups
                var rec = Parse(data.Substring(start + length), delimiter);
                if (rec != null) result.AddRange(rec); //can't pass null into AddRange() :(
            }
            else //no comma found after current group so just use the whole remaining string
            {
                result.Add(data.Substring(start));
            }
            return result;
        } 

...

var name = Parse(_cert.Subject, "CN").FirstOrDefault();
var email = Parse(_cert.Subject, "E").FirstOrDefault();