Delphi 7 - Indy 9 + SSL - Zertifikat prüfen?

[rollstuhlfahrer]

Hi @all,

ich will jetzt meine erste Anwendung erstellen, die SSL und Sicherheit auch wirklich ernst nimmt. Indy in der Standard-Konfiguration akzeptiert ja alle Zertifikate, egal, ob sie selbstausgestellt sind oder gar nicht zu der Domain passen. Diesen Umstand will ich jetzt beseitigen. Kennt jemand einen einfachen weg, wie man das am geschicktesten macht?

Windows Crypto-Api wäre was schönes, nur habe ich bei meiner Suche im Internet irgendwie nix gefunden.

rollstuhlfahrer

[mjustin]

Zitat von rollstuhlfahrer:

Hi @all,

ich will jetzt meine erste Anwendung erstellen, die SSL und Sicherheit auch wirklich ernst nimmt. Indy in der Standard-Konfiguration akzeptiert ja alle Zertifikate, egal, ob sie selbstausgestellt sind oder gar nicht zu der Domain passen. Diesen Umstand will ich jetzt beseitigen. Kennt jemand einen einfachen weg, wie man das am geschicktesten macht?

Indy kann über OpenSSL die Zertifikate prüfen (soehe z.B. http://stackoverflow.com/questions/1...ertificate-ssl)

Warum Indy 9?

Indy 10.6 (die aktuelle Version seit XE4) kann auch mit Delphi 7 noch verwendet werden. (Dazu muss man noch nicht einmal Packages installieren, die Sdurcepfade im Projekt einzutragen ist ausreichend)

[rollstuhlfahrer]

Auf Indy 10 werde ich sowieso upgraden müssen. Nicht nur wegen den Zertifikaten, sondern auch weil ich HMAC-SHA1 brauche und das gibts nun mal nur bei Indy 10.
Und den Stackoverflow-Thread muss ich mir dann auch noch zu gemüte führen.

rollstuhlfahrer

[pswgroup]

Hallo,

für eine Prüfung mittels OpenSSL braucht man dann nur noch die vertrauenswürdigen Root-Zertifikate. Der von Mozilla verwendete Root-Store findet man über die ca-certificates-Pakete von RedHat und Debian. Bindet man bei der Prüfung mittels OpenSSL die daraus resultierende ca-Datei oder den Ordner mit den Roots ein, wird ein korrektes Verify ausgegeben, sofern das Root-Zertifikat bekannt und das Zertifikat damit vertrauenswürdig ist.

Mit freundlichen Grüßen,
Christian Heutger

[rollstuhlfahrer]

Zitat von pswgroup:

Bindet man bei der Prüfung mittels OpenSSL die daraus resultierende ca-Datei oder den Ordner mit den Roots ein, wird ein korrektes Verify ausgegeben, sofern das Root-Zertifikat bekannt und das Zertifikat damit vertrauenswürdig ist.

Darf ich fragen, wie man das macht?

Mit SSL.SSLOptions.RootCertFile := 'GoDaddyClass2CA.pem'; bekomme ich keine besseren Ergebnisse als ohne (2x OK, 2x nicht ok). GoDaddyClass2CA habe ich aus Firefox exportiert. Und andere Parameter habe ich keine gefunden.

rollstuhlfahrer

EDIT: Indy in der Version 10.

[Codehunter]

Zitat von rollstuhlfahrer:

Darf ich fragen, wie man das macht?

Würde mich auch interessieren. Habe deshalb den Thread mal hochgekramt bevor er Staub ansetzt