企业自颁布服务器证书的有效性验证（C#为例）

目前根据项目的需要，整理了一下公司内部的安全通信规范，将其中涉及证书验证的部分分享出来，供探讨。

处于通信安全的考虑，很多通过互联网进行的通信，

原则上均要求使用加密通信，即采用基于SSL或TLS的安全通信。对于Web应用及Web API来说，原则上应该一律使用HTTPS，禁用HTTP；对于Socket通信来说，原则上应采用SSL协议加密传输。

基于SSL协议，需要服务器证书。对于Web应用及Web API（统称站点），原则上应使用由全球可信机构颁发的证书。但是考虑到证书费用、站点条件等一些因素，对于下列情形，可考虑使用自颁发证书：

1.      站点只在特定局域网、专网内部署使用；

2.      站点只有IP地址，没有注册域名；

3.      站点所有者不愿意支付证书费用。

若考虑企业自己建个证书颁发机构（CA），那就涉及到客户端对服务器证书的验证问题。目前很多人提到的做法都是实现自定义验证，但所谓的自定义验证就是直接返回true。这样处理，虽然能进行HTTPS加密通信，但由于实际上未对服务器证书做任何验证，因此是存在中间人攻击风险的。

本人研究了一下这个问题，发现针对.net开发，在中文网站上似乎没有很好的实现建议，因此才想到整理这篇博文和大家分享我们的做法，欢迎各位大拿批评指正。

首先，要使用自颁发证书实现HTTPS通信，最好是要对企业自己的CA做一个统一管理，CA必须具有唯一性，并且CA一旦建立，