3

Como requisitar o certificado SSL do client em uma aplicação ASP.NET MVC 5?

Eu habilitei o SSL no meu site usando IIS 7.5 mas ele tenta autenticar o usuário usando o certificado do cliente mas eu não quero autenticar usuários quero apenas recuperar algumas informações do certificado.

Configuração SSL no IIS 7.5

2
  • Nessa, configuração, possivelmente ele vai querer autenticar o certificado do cliente também. Não seria o correto marcar a opção 'Ignore'? 5/08/2014 às 20:18
  • Quando marco 'Ignore' o IIS não requisita o certificado do client. Quero o certificado do cliente mas não quero usa-lo para autenticação e sim como uma variável a mais na segurança de aplicativos web. Na verdade tentarei detectar ataques MEN-IN-THE-MIDDLE, especialmente detectar proxy's que não informam o cabeçalho X-Forwarded-For.
    – fandev
    7/08/2014 às 14:48

1 Resposta 1

1

A opção correta é mesmo Require. De outra forma, o navegador não vai pedir ao usuário para selecionar um certificado. Contudo, não é possível interceptar a validação do certificado no ASP.Net. É preciso criar um módulo nativo (em C++) e configurá-lo na sua aplicação. Este artigo tem mais detalhes. Nele, é mostrado o código para ignorar completamente a validação do certificado; imagino que seja o que você quer.

Se você for usar certificados de cliente auto-assinados, há outro detalhe. O servidor envia os certificados-raiz que considera confiáveis e é comum que o navegador permita que o usuário selecione apenas aqueles certificados que pertençam às cadeias aceitas pelo servidor. Quer dizer, o navegador não vai mostrar o certificado auto-assinado. É possível modificar a configuração do servidor para que ele não envie a lista de raízes confiáveis (veja o método 3 — só criar um valor no registro).

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .