WCF NetTcpBinding Transport 安全模式 (6)：ClientCredentialType 憑證驗證 - PeerTrust 模式

PeerTrust 僅信任位於 TrustedPeople 存儲區的憑證，不驗證 CA 鏈。最嚴格但部署最繁瑣，需手動匯入每張受信任憑證。

雙向組態

<!-- 服務端驗證客戶端 -->
<clientCertificate>
  <certificate findValue="XuanhunClient" storeLocation="CurrentUser" storeName="My" x509FindType="FindBySubjectName"/>
  <authentication certificateValidationMode="PeerTrust" trustedStoreLocation="CurrentUser" />
</clientCertificate>

<!-- 用戶端驗證服務端 -->
<serviceCertificate>
  <defaultCertificate x509FindType="FindBySubjectName" storeLocation="CurrentUser" storeName="My" findValue="XuanhunServer" />
  <authentication certificateValidationMode="PeerTrust" />
</serviceCertificate>

實測流程

1. MMC 憑證嵌入式管理單元查看：產生的 XuanhunClient/Server 僅在「個人」存儲區 (圖 11-15)。
2. 直接執行報錯：憑證不在 TrustedPeople (圖 11-16)。
3. 拖曳憑證至「受信任的人」存儲區 (圖 11-17)。
4. 修改組態 storeName="TrustedPeople"。
5. 再次執行，雙向驗證通過 (圖 11-18)。

圖 11-14 新增憑證管理單元

圖 11-15 憑證存儲區分佈

圖 11-16 PeerTrust 驗證失敗

圖 11-17 匯入 TrustedPeople

圖 11-18 PeerTrust 驗證成功

作者：玄魂
出處：https://www.cnblogs.com/xuanhun/ (改編自《.NET 安全揭秘》)