Протокол TLS в .NET реализован классом System.Net.Security.SslStream
. Этот класс реализует и клиентскую сторону, и серверную.
Подробнейший пример есть в MSDN
В этом примере серверный сертификат используется в вызове метода SslStream.AuthenticateAsServer
:
sslStream.AuthenticateAsServer(serverCertificate, clientCertificateRequired: false, checkCertificateRevocation: true);
В примере путь к файлу сертификата передается как параметр командной строки. Сертификаты в .NET представляются классами System.Security.Cryptography.X509Certificates.X509Certificate
(используется в примере) и System.Security.Cryptography.X509Certificates.X509Certificate2
(рекомендуется Майкрософтом).
В примере из MSDN сертификат конструируется статическим методом X509Certificate.CreateFromCertFile
.
Клиент устанавливает защищенное соединение с сервером вызовом метода SslStream.AuthenticateAsClient
. Этот метод проверяет сертификат сервера и согласовывает параметры защищенного соединения.
Проверка серверного сертификата состоит из двух этапов. Сначала внутренние классы .NET парсят сертификат(ы), присланные сервером и проверяют на базовые ошибки - корректный синтаксис, время NotValidBefore/NotValidAfter, Purpose, целостность цепочки сертификатов, соответствие имени сервера имени в сертификате (имя сервера передаётся как аргумент в AuthenticateAsClient
). Затем вызывается делегат типа RemoteCertificateValidationCallback
, который передаётся как аргумент конструктора клиентского потока SslStream
. В примере клиента, ссылку на который я привел в начале, используется тривиальный коллбэк. Он останавливает аутентификацию, если при проверке серверного сертификата обнаружены какие-либо ошибки.
Защищенное соединение по протоколу TLS устанавливается после того, как на серверной стороне отработает метод AuthenticateAsServer
, а на клиентской стороне AuthenticateAsClient
.
Класс SslStream
предоставляет интерфейс типа Stream
. Для отправки данных используется метод SslStream.Write
, а для получения - SslStream.Read
. Всё шифрование/расшифрование и, при необходимости, переустановка соединения, происходят прозрачным образом внутри SslStream
.