Versleuteling en certificaatvalidatie in Microsoft.Data.SqlClient

ADO.NET downloaden

Gebruik Transport Layer Security (TLS) om het verkeer tussen je applicatie en SQL Server te versleutelen. Houd validatie van servercertificaten ingeschakeld om de identiteit van de server te verifiëren. Versleuteling zonder identiteitsvalidatie beschermt niet tegen een tegenstander in het midden die zich voordoet als de server.

Microsoft. Data.SqlClient is standaard op Encrypt=Mandatory en TrustServerCertificate=false. Encrypt=true is een synoniem voor Mandatory. Voor een externe verbinding vraag expliciet deze instellingen op en stel een servercertificaat in dat de client kan valideren:

Server=tcp:<server>,1433;Database=<database>;Integrated Security=true;Encrypt=true;TrustServerCertificate=false;MultiSubnetFailover=true;

Vervang de tijdelijke aanduidingen en gebruik een authenticatiemethode die wordt ondersteund door je server en applicatieomgeving. Voor Azure SQL of SQL-databases in Microsoft Fabric, zie Microsoft Entra authenticatie.

Kies een encryptiemodus

Encrypt bepaalt of de client encryptie vereist. Een server kan ook encryptie vereisen. Deze tabel beschrijft het huidige gedrag zonder certificaatpinning:

Mandatory Gebruik voor versleutelde verbindingen met servers die TDS 8.0 niet ondersteunen. Gebruik Strict wanneer je endpoint TDS 8.0 ondersteunt, inclusief SQL Server 2022 (16.x) en latere versies. TDS 8.0 ondersteunt TLS 1.2 en TLS 1.3; het vereist geen TLS 1.3. De onderhandelde TLS-versie hangt ook af van de configuratie van de client, server en besturingssysteem.

Optional is geen oplossing voor certificaatfouten. Het kan applicatiegegevens onversleuteld achterlaten als de server geen encryptie vereist.

Configureer een verifieerbaar servercertificaat

Voor normale certificaatvalidatie:

1. Een certificaat leveren dat voldoet aan de SQL Server-certificaatvereisten.
2. Vermeld in de alternatieve subjectnaam (SAN) van het certificaat de naam die cliënten gebruiken om verbinding te maken.
3. Maak de uitgevende certificaatautoriteit en eventuele benodigde tussenliggende certificaten betrouwbaar op elke clienthost of container.
4. Configureer SQL Server om het certificaat te gebruiken en behoud TrustServerCertificate=false in clients.
5. Verlenging van het plancertificaat vóór vervaldatum, inclusief eventuele wijzigingen in namen of uitgevende autoriteiten.

Een certificaat van een openbare of bedrijfscertificeringsinstantie kan aan deze eisen voldoen. Een enterprise-certificaat wordt niet automatisch vertrouwd binnen een Linux-container of op een aparte ontwikkelaarcomputer.

Verbind via een alias

Als de verbinding een Domain Name System (DNS) alias gebruikt die niet in het certificaat staat, overweeg dan eerst een certificaat uit te geven dat de alias bevat. U kunt ook HostNameInCertificate instellen op de naam die in het certificaat wordt verwacht:

Server=tcp:sql-alias.contoso.com,1433;Database=<database>;Integrated Security=true;Encrypt=true;TrustServerCertificate=false;HostNameInCertificate=sql-server.contoso.com;MultiSubnetFailover=true;

HostNameInCertificate verandert de naam die SqlClient verwacht tijdens certificaatvalidatie. Het verandert de netwerkbestemming niet en omzeilt ook geen trustchain- en vervalcontroles. Laat het niet ingesteld als de servernaam al overeenkomt met het certificaat.

Een specifiek servercertificaat vastzetten

ServerCertificate levert een lokaal certificaatbestand voor exacte vergelijking met het certificaat van de server. Ondersteunde formaten zijn Privacy-Enhanced Mail (PEM) en Distinguished Encoding Rules (DER), inclusief .cer certificaatbestanden. Gebruik het met Encrypt=Mandatory of Encrypt=Strict, en houd TrustServerCertificate=false.

Server=tcp:<server>,1433;Database=<database>;Integrated Security=true;Encrypt=Strict;TrustServerCertificate=false;ServerCertificate=C:\certificates\sql-server.cer;MultiSubnetFailover=true;

Verspreid het verwachte certificaat via een vertrouwd kanaal en bescherm het bestand tegen vervanging. Een exacte certificaatmatch is een alternatief voor normale chain- en naamvalidatie, geen extra controle daarbovenop. De certificaatbytes moeten overeenkomen; dezelfde subjectnaam of publieke sleutel alleen is niet voldoende. Een ontbrekend, onleesbaar, ongeldig of niet overeengekomen pin-bestand faalt validatie.

Pinning koppelt de uitrol van clients aan certificaatvernieuwing. Werk de pincode bij wanneer het servercertificaat verandert, inclusief verlenging. Krijg geen pincode door een niet-geverifieerd certificaat van het netwerk te accepteren.

SqlClient biedt geen publieke callback voor willekeurige TLS-servercertificaatvalidatie. AccessTokenCallback controleert de verwerving van authenticatietokens, niet de TLS-validatie.

Ontwikkelingscertificaten en probleemoplossing

Gebruik een vertrouwd ontwikkelcertificaat met de juiste servernaam. Als je tijdelijk TrustServerCertificate=true gebruikt in Encrypt=true een geïsoleerde ontwikkelomgeving, is de verbinding versleuteld maar authenticeert de client het servercertificaat niet.

Voor server-side configuratie, zie Certificaatoverzicht.

Wijzigingen in versleutelings- en certificaatvalidatiegedrag

Deze compatibiliteitsnotities leggen gedragsveranderingen uit bij het upgraden van oudere applicaties. Nieuwe applicaties dienen de huidige instellingen te gebruiken die in dit artikel zijn beschreven.

Verwante onderwerpen

• Verbindingsstrings in ADO.NET
• Syntaxis van verbindingsreeks
• Aanbevolen procedures voor beveiliging