c# - X509Certificate2.Verify() 行为首次使用

Question

我正在使用证书进行测试。我有以下代码是我检查文件夹中的 .dll 并查看它们是否有证书。如果他们这样做并且经过验证，我将它们添加到程序集列表中:

var files = Directory.EnumerateFiles(directory, "*.dll", SearchOption.AllDirectories);
foreach (var file in files)
{
   try
   {
       var cert = new X509Certificate2(X509Certificate.CreateFromSignedFile(file));
       if (cert.IsNull() || !cert.Verify() || !PUBLIC_KEY.Equals(cert.GetPublicKeyString()))
       {
          cert.Dispose();
          continue;
       }

       cert.Dispose();

       assemblies.Add(Assembly.LoadFrom(file));
   }
   catch (CryptographicException)
   {
     // dll not signed
   }
}

但奇怪的是，如果电脑没有连接到互联网，它不会将 .dll 添加到我的程序集中。但是如果它连接到互联网并且我运行我的测试，所有带有证书的 dll 都会添加到我的程序集列表中。同样在断开连接后，我的测试仍然有效。所以它需要一次性连接到互联网。我认为这与 Verify() 函数有关。

有没有办法不让第一次互联网连接？我想在没有互联网连接的计算机上运行我的测试。我是证书菜鸟，所以不确定如何解决这个问题。

Answer 1

根据 X509Certificate2.Verify() 的文档它使用基本验证策略执行 X.509 链验证。

(基本)链验证策略有许多属性，这些属性告诉应该如何构建链以及应该如何验证链中的证书。在您的情况下，它是默认值 X509ChainPolicy.RevocationMode设置为 Online 的属性。这就是 X509Cerificate2.Verify() 在没有互联网连接的情况下失败的原因。如果您在事件日志中启用 CAPI2 登录，您应该会看到已完成的操作，并且吊销信息不可用或无法获取中间 CA 证书。

你可以使用 X509Chain可以在其中设置自己的验证策略和 X509Chain.Build(X509Certificate2) 方法来验证来自 dll 的证书的类。然后检查 X509Chain.ChainElements 中的错误信息，如示例中所示 here

或者您可以使用 native WinVerifyTrust方法。 Windows 使用此方法来验证 dll 的签名。你可以找到一个例子 here .恕我直言，这是检查 dll 签名的正确方法(至少在 Windows 上)。