WCF NetTcpBinding Transport 安全模式 (7)：ClientCredentialType 憑證驗證 - ChainTrust 模式

ChainTrust 強制憑證必須從受信任根 CA 建立完整信任鏈。Windows 內建一組預設受信任 CA，若憑證由其簽發 (或其下級 CA 簽發) 即通過。需確保 CA 憑證鏈正確安裝於對應存儲區。

服務端組態

<clientCertificate>
  <certificate findValue="XuanhunClient" storeLocation="CurrentUser" storeName="My" x509FindType="FindBySubjectName"/>
  <authentication certificateValidationMode="ChainTrust" trustedStoreLocation="CurrentUser" />
</clientCertificate>

用戶端組態

<serviceCertificate>
  <defaultCertificate x509FindType="FindBySubjectName" storeLocation="CurrentUser" storeName="TrustedPeople" findValue="XuanhunServer" />
  <authentication certificateValidationMode="ChainTrust" />
</serviceCertificate>

補充：X.509 憑證鏈原理

憑證含持有者資訊、公鑰、簽發者簽名。系統收到新憑證時，驗證簽發者是否具簽署權限且簽名匹配，遞迴至根 CA。根 CA 預裝於系統，構成信任錨點。

作者：玄魂
出處：https://www.cnblogs.com/xuanhun/