Verificatie uitvoeren met behulp van Schannel

Voor alle Schannel-protocollen moet de server een -certificaat opgeven van een vertrouwde certificeringsinstantie (CA) als bewijs van de identiteit. Dit proces wordt serververificatie genoemd. Clientverificatie, waarbij de client een bewijs van zijn identiteit levert, is optioneel en kan op elk gewenst moment door de server worden aangevraagd.

De server verifiëren

Het standaardgedrag van Schannel is het gebruik van de functie WinVerifyTrust om de integriteit en het eigendom van het servercertificaatte controleren. Als u deze functie wilt uitschakelen, geeft u ISC_REQ_MANUAL_CRED_VALIDATION op bij het aanroepen van defunctieInitializeSecurityContext (Schannel). Voor meer informatie, zie Schannel-referenties handmatig valideren.

De client verifiëren

Schannel valideert de certificaten van de client niet; de server moet deze verificatie handmatig uitvoeren. Normaal gesproken controleert de server de identiteit van de client in een database met gebruikersaccountgegevens. Zie voor servers die een cliëntaccount moeten verkrijgen met behulp van een certificaat, Toewijzen van certificaten.

Wanneer de server clientverificatie aanvraagt, moet de client een van de certificaten van de server verzenden. Standaard probeert Schannel, zonder melding aan de client, een clientcertificaat te vinden en naar de server te verzenden. Om deze functie uit te schakelen, geven clients ISC_REQ_USE_SUPPLIED_CREDS op bij het aanroepen van de InitializeSecurityContext (Schannel) functie. Wanneer deze vlag is opgegeven, retourneert Schannel SEC_I_INCOMPLETE_CREDENTIALS aan de client wanneer de server verificatie aanvraagt en de client nog geen certificaat heeft opgegeven.