Leer certificado pfx para webservice

isnagil · #1 27-09-2023

Hola buenas tardes:

Mi problema es el siguiente:

Quiero cargar un certificado pfx sin tenerlo instalado en windows para utilizarlo en un componente HTTPRio y acceder a un webservice.
Estoy usando RAD STUDIO 10.4

He estado buscando en el foro y ya hay un tema al respecto:

https://www.clubdelphi.com/foros/showthread.php?t=95356

La cuestión es que no puedo usar CAPICOM. En este tema se ofrece una solución utilizando la unidad JwaWinCrypt.

He buscado información y creo que esta unidad está en el componente JWAPI pero no sé como obtenerlo ni como instalarlo.

¿Alguien me puede ayudar, por favor?

Gracias

Garada · #2 27-09-2023

Buenas.

En el ejemplo que puse en el otro hilo comentaba que la mayoría de las funciones estaban declaradas en la unidad CertHelper de Delphi 2010, prueba a ver si existe la unidad en 10.4 y dime que funciones te faltan y te paso las declaraciones.

Garada · #3 27-09-2023

Lo revisé un poco y aquí te dejo una versión probada en Delphi 2010 usando sólo la unidad CertHelper que ya viene de serie.

Código Delphi [-]uses
  CertHelper, WinInet;

function PFXImportCertStore(var pPFX: CRYPT_BIT_BLOB;
                          szPassword: LPCWSTR;
                          dwFlags: DWORD): HCERTSTORE; stdcall; external 'Crypt32.dll';

procedure TformMain.HTTPRIO1HTTPWebNode1BeforePost(
  const HTTPReqResp: THTTPReqResp; Data: Pointer);

  procedure CheckError(Puntero: Pointer);
  begin
    if not Assigned(Puntero) then
      RaiseLastOSError;
  end;


const
  INTERNET_OPTION_CLIENT_CERT_CONTEXT = 84;
  PKCS12_INCLUDE_EXTENDED_PROPERTIES  = $0010;
  CERT_COMPARE_HAS_PRIVATE_KEY        = 21;
  CERT_FIND_HAS_PRIVATE_KEY           = CERT_COMPARE_HAS_PRIVATE_KEY shl CERT_COMPARE_SHIFT;

  Pass = 'LaContraseña';
var
  pStore: HCERTSTORE;
  pCert: PCERT_CONTEXT;
  DataBlob: CRYPT_BIT_BLOB;
  PFX: TBytes;
begin
  pStore := nil;
  pCert := nil;

  PFX := TFile.ReadAllBytes('ArchivoDelCertificado.PFX');

  try
    DataBlob.cbData := Length(PFX);
    DataBlob.pbData := @PFX[0];

    // Almacen temporal con el contenido del PFX
    pStore := PFXImportCertStore(DataBlob, PWideChar(Pass), PKCS12_INCLUDE_EXTENDED_PROPERTIES);
    CheckError(pStore);

    // Buscar un certificado con clave privada
    // Solo debería haber uno
    pCert := CertFindCertificateInStore(pStore,
                                        X509_ASN_ENCODING,
                                        0,
                                        CERT_FIND_HAS_PRIVATE_KEY, //CERT_FIND_ANY,
                                        nil,
                                        nil);
    CheckError(pCert);

    // Pasarlo al servicio
    InternetSetOption(Data, INTERNET_OPTION_CLIENT_CERT_CONTEXT, pCert, SizeOf(CERT_CONTEXT));
  finally
    if Assigned(pCert) then
      CertFreeCertificateContext(pCert);

    if Assigned(pStore) then
      CertCloseStore(pStore, 0);
  end;
end;

isnagil · #4 28-09-2023

Muchas gracias Garada, muy amable.

He probado el código y el compilador no reconoce la función InternetSetOption. Seguramente está en otra unidad y me falta añadirla al uses.

InternetSetOption(Data, INTERNET_OPTION_CLIENT_CERT_CONTEXT, pCert, SizeOf(CERT_CONTEXT));

Tampoco reconoce la variable Data que no sé de donde la sacas porque no está declarada.

Si puedes aclararme esto te estaría muy agradecido.

isnagil · #5 28-09-2023

Bueno ya sé de donde vienen la función InternetSetOption. De la unidad WinINet.

Ahora, de momento, solo me falta saber el valor de la variable data para que el procedimiento se pueda compilar.

Garada · #6 28-09-2023

data es un parámetro del evento BeforePost del WebNode del HTTPRIO.

Al menos en D2010 viene declarado así:

Código Delphi [-]procedure TformMain.HTTPRIO1HTTPWebNode1BeforePost(const HTTPReqResp: THTTPReqResp; Data: Pointer);

Si en D10.4 es diferente pásame la declaración a ver que ha cambiado.

isnagil · #7 28-09-2023

Ahora es:

HTTPRIO1HTTPWebNode1BeforePost(const HTTPReqResp: THTTPReqResp; Client: THTTPClient);

Garada · #8 28-09-2023

Pues por lo que veo (he instalado la versión Community Edition) en la versión 10.4 han hecho ese cambio.

Por ahora te puedo decir que todas las funciones del API para gestionar los certificados que estaban en CertHelper y las que te declaré en el ejemplo las vas a encontrar en System.Net.HttpClient.Win

No he podido averiguar que hacer con el THTTPClient que si tiene para elegir el certificado de la lista de los instalados en el sistema pero ni idea como pasarle un certificado de un fichero.
En un foro en inglés hablan de modificar un evento (DoClientCertificateAccepted) para que haga lo que te interesa.

Si averiguo algo más actualizo información. A mi en parte me interesa por si algún día me obligan a actualizar versión de Delphi.

isnagil · #9 29-09-2023

Ok, gracias.

Lo ideal sería cargar directamente el certificado del fichero pfx pero una solución menor sería seleccionar directamente el certificado instalado en almacén de windows sin que aparezca la ventana que le pregunta al cliente.

Voy a buscar información al respecto, aunque por lo que dices sabes como hacerlo.

Gracias por tu interés

Garada · #10 30-09-2023

He conseguido hacerlo, pero no muy elegantemente.

Delphi no da ninguna oportunidad para cargar un certificado, sólo elegir de la lista de instalados en el equipo.
La clase que se ocupa de todo no es pública y no se puede acceder a ella.

En un foro en inglés alguien comentó que parcheaba modificando las VMT (Virtual Method Table) para que llamara a su función. Pero eso se escapa de mis posibilidades.

El método bruto es copiar la unidad System.Net.HttpClient.Win en la carpeta de tu proyecto y Delphi la usará en vez de la suya.
El archivo está en "C:\Program Files (x86)\Embarcadero\Studio\22.0\source\rtl\net\System.Net.HttpClient.Win.pas"

En tu proyecto, en el evento HTTPRIO1HTTPWebNode1NeedClientCertificate pones el parametro AnIndex a cero. Con eso le indicas que quieres usar el primer certificado ya que si lo dejas como viene (-1) indicas que no elijes ninguno y no saltará la función que modificamos para cargar el certificado.

Código Delphi [-]procedure TformMain.HTTPRIO1HTTPWebNode1NeedClientCertificate(
  const Sender: TObject; const ARequest: TURLRequest;
  const ACertificateList: TCertificateList; var AnIndex: Integer);
begin
  AnIndex := 0;
end;

Y en la unidad que copiaste, System.Net.HttpClient.Win buscas la función TWinHTTPClient.DoClientCertificateAccepted y le pones el código que se usaba con el D2010

Código Delphi [-]function TWinHTTPClient.DoClientCertificateAccepted(const ARequest: THTTPRequest; const AnIndex: Integer): Boolean;

  procedure CheckError(Puntero: Pointer);
  begin
    if not Assigned(Puntero) then
      RaiseLastOSError;
  end;

const
  CERT_COMPARE_HAS_PRIVATE_KEY        = 21;
  CERT_FIND_HAS_PRIVATE_KEY           = CERT_COMPARE_HAS_PRIVATE_KEY shl CERT_COMPARE_SHIFT;

  Pass = 'LaContraseña';
var
  pStore: HCERTSTORE;
  pCert: PCERT_CONTEXT;
  DataBlob: CRYPT_DATA_BLOB;
  PFX: TBytes;

  LRequest: TWinHTTPRequest;
begin
  pStore := nil;
  pCert := nil;

  PFX := TFile.ReadAllBytes('certificado.pfx');

  try
    DataBlob.cbData := Length(PFX);
    DataBlob.pbData := @PFX[0];

    // Almacen temporal con el contenido del PFX
    pStore := PFXImportCertStore(@DataBlob, PWideChar(Pass), 0);
    CheckError(pStore);

    // Buscar un certificado con clave privada
    // Solo debería haber uno
    pCert := CertFindCertificateInStore(pStore,
                                        X509_ASN_ENCODING,
                                        0,
                                        CERT_FIND_HAS_PRIVATE_KEY, //CERT_FIND_ANY,
                                        nil,
                                        nil);
    CheckError(pCert);

    // Pasarlo al servicio, aquí está el equivalente al antiguo data
    LRequest := TWinHTTPRequest(ARequest);
    Result := WinHttpSetOption(LRequest.FWRequest, WINHTTP_OPTION_CLIENT_CERT_CONTEXT, pCert, SizeOf(CERT_CONTEXT));
  finally
    if Assigned(pCert) then
      CertFreeCertificateContext(pCert);

    if Assigned(pStore) then
      CertCloseStore(pStore, 0);
  end;
end;

isnagil · #11 02-10-2023

Hola Garada, buenos días.

Muchas gracias por tu ayuda. Es maravillosa.

Una duda. Has hecho cambios cambios en el código respecto a la primera versión:

DataBlob: CRYPT_BIT_BLOB; por DataBlob: CRYPT_DATA_BLOB;
PKCS12_INCLUDE_EXTENDED_PROPERTIES = $0010 por 0

Es que entonces habría que cambiar la función:

Código:

function PFXImportCertStore(var pPFX: CRYPT_BIT_BLOB;
                          szPassword: LPCWSTR;
                          dwFlags: DWORD): HCERTSTORE; stdcall; external 'Crypt32.dll';

¿Cuál es la versión correcta?

De todas formas si pongo

Código:

function PFXImportCertStore(
  var pPFX: CRYPT_BIT_BLOB; szPassword: LPCWSTR; dwFlags: DWORD): HCERTSTORE; stdcall; external 'Crypt32.dll';

y cambio el tipo del datablob por un CRYPT_BIT_BLOB me sigue dando un error de "types of actual and formal var parameters must be identical"

isnagil · #12 02-10-2023

Hola,

He cambiado el sitio donde declaro la función PFXImportCertStore. Lo he cambiado aquí:

Código:

function CryptUIDlgSelectCertificateFromStore(hCertStore: HCERTSTORE;
                                              hwnd: HWND;
                                              pwszTitle: LPCWSTR;
                                              pwszDisplayString: LPCWSTR;
                                              dwDontUseColumn: DWORD;
                                              dwFlags: DWORD;
                                              pvReserved: Pointer): PCCERT_CONTEXT; stdcall; forward;
{$NODEFINE CryptUIDlgSelectCertificateFromStore}

function PFXImportCertStore(
  var pPFX: CRYPT_BIT_BLOB; szPassword: LPCWSTR; dwFlags: DWORD): HCERTSTORE; stdcall; external 'Crypt32.dll';

Y ahora no me da error, cambiando el tipo de datablob.

Lo que pasa es que me da otros errores:

No me reconoce ni Enter ni Exit del tipo Monitor:

Código:

TMonitor.Enter(ARequest);

ni

Código:

TMonitor.Exit(ARequest);

Undeclared identifier

En dicha unidad: System.Net.HttpClient.Win;

isnagil · #13 02-10-2023

Al final he dejado el evento así:

Código Delphi [-]function TWinHTTPClient.DoClientCertificateAccepted(const ARequest: THTTPRequest; const AnIndex: Integer): Boolean;
// Cambiamos el contenido del evento por el webservice
{var
  LRequest: TWinHTTPRequest;
begin
  inherited;
  LRequest := TWinHTTPRequest(ARequest);
  Result := WinHttpSetOption(LRequest.FWRequest, WINHTTP_OPTION_CLIENT_CERT_CONTEXT, FWinCertList[AnIndex], SizeOf(CERT_CONTEXT) );}
procedure CheckError(Puntero: Pointer);
  begin
    if not Assigned(Puntero) then
      RaiseLastOSError;
  end;

const
  CERT_COMPARE_HAS_PRIVATE_KEY = 21;
  PKCS12_INCLUDE_EXTENDED_PROPERTIES  = $0010;
  CERT_FIND_HAS_PRIVATE_KEY = CERT_COMPARE_HAS_PRIVATE_KEY shl CERT_COMPARE_SHIFT;

  Pass = 'XXXXXXXXX';
var
  pStore: HCERTSTORE;
  pCert: PCERT_CONTEXT;
  DataBlob: CRYPT_BIT_BLOB;
  PFX: TBytes;

  LRequest: TWinHTTPRequest;
begin
  pStore := nil;
  pCert := nil;

  PFX := TFile.ReadAllBytes('XXXXXXXXXXXXXXXX.pfx');
  // Se comprueba que existe el certificado
  {if not FileExists(ExtractFilePath(Application.ExeName) + 'XXXXXXXXXXXXXXXX.pfx') then
  begin
    Showmessage('El nombre del certificado es incorrecto o no se encuentra');
    Exit;
  end;

  PFX := TFile.ReadAllBytes(ExtractFilePath(Application.ExeName) + 'XXXXXXXXXXXXXXXX.pfx');}

  try
    DataBlob.cbData := Length(PFX);
    DataBlob.pbData := @PFX[0];

    // Almacen temporal con el contenido del PFX
    pStore := PFXImportCertStore(DataBlob, PWideChar(Pass), PKCS12_INCLUDE_EXTENDED_PROPERTIES);
    CheckError(pStore);

    // Buscar un certificado con clave privada
    // Solo debería haber uno
    pCert := CertFindCertificateInStore(pStore,
                                        X509_ASN_ENCODING,
                                        0,
                                        CERT_FIND_HAS_PRIVATE_KEY, //CERT_FIND_ANY,
                                        nil,
                                        nil);
    CheckError(pCert);

    // Pasarlo al servicio, aquí está el equivalente al antiguo data
    LRequest := TWinHTTPRequest(ARequest);
    Result := WinHttpSetOption(LRequest.FWRequest, WINHTTP_OPTION_CLIENT_CERT_CONTEXT, pCert, SizeOf(CERT_CONTEXT));
  finally
    if Assigned(pCert) then
      CertFreeCertificateContext(pCert);

    if Assigned(pStore) then
      CertCloseStore(pStore, 0);
  end;
end;

Quería comprobar que existía el archivo del certificado antes de leerlo pero si declaro en el uses Vcl.Forms para que reconozca el objeto Application no me compila.

Garada · #14 02-10-2023

No hay que darlas.

Los cambios viene a que en esa unidad (System.Net.HttpClient.Win) ya viene declarado todo lo que necesitas y que antes estaba en Certhelper o declaradas a mano.

PKCS12_INCLUDE_EXTENDED_PROPERTIES es opcional, sólo informa que se quiere importar el certificado con las propiedades extendidas. Este flag sí que no estaba declarado en la unidad y como no afecta al funcionamiento, lo descarté.

El resto pues lo comentado, ya está en la unidad sin necesidad de añadir nada al USES. De hecho me extraña que no te diera error por declarar dos veces la función PFXImportCertStore

Si tienes que añadir alguna unidad al USES, añádela al principio de la lista para que no afecte a los originales (tendrán preferencia sobre las tuyos)

Cita:

Empezado por isnagil

Hola Garada, buenos días.

Muchas gracias por tu ayuda. Es maravillosa.

Una duda. Has hecho cambios cambios en el código respecto a la primera versión:

DataBlob: CRYPT_BIT_BLOB; por DataBlob: CRYPT_DATA_BLOB;
PKCS12_INCLUDE_EXTENDED_PROPERTIES = $0010 por 0

Es que entonces habría que cambiar la función:

Código:

function PFXImportCertStore(var pPFX: CRYPT_BIT_BLOB;
                          szPassword: LPCWSTR;
                          dwFlags: DWORD): HCERTSTORE; stdcall; external 'Crypt32.dll';

isnagil · #15 02-10-2023

Entonces es que supongo que no tenemos el mismo código en la unidad System.Net.HttpClient.Win

En el que tengo yo en el que no aparece por ningún lado la función PFXImportCertStore, como te decía la he tenido que declarar yo y si declaro la unidad Vcl.Forms

Código Delphi [-]function ShowSelectCertificateDialog(AParentWnd: UIntPtr;
  const ATitle, ADisplayString: string; var ACertificate): Boolean;

implementation

uses
  System.SysUtils,
  System.Classes,
  System.Generics.Collections,
  System.SyncObjs,
  System.Net.URLClient,
  System.NetConsts,
  System.Net.HttpClient,
  System.Types,
  Winapi.Windows,
  Winapi.WinHTTP,
  System.NetEncoding,
  System.Net.Mime,
  //Vcl.Forms,
  Vcl.Dialogs,
  System.IOUtils;

me salen errores:

Código Delphi [-]TMonitor.Enter(ARequest);

Undeclared identifier: 'Enter'

Garada · #16 02-10-2023

Ok, yo lo he probado en Delphi 11 ya que la 10.4 ya me había caducado.

Es correcto entonces añadir la función a mano.

Para el error, cambia Tmonitor por System.Tmonitor

isnagil · #17 02-10-2023

ok, muchas gracias.

Con el system me funciona bien.

Ahora me piden otra cosa al respecto que me he jodido todo el invento.

Poder seleccionar un certificado según un parámetro que se le pasaría al componente HTTPRIO. Si condición elegimos el certificado 1 sino el 2

El problema es que al estar el procedimiento en la unidad System.Net.HttpClient.Win y no en el componente HTTPRIO no puedo pasarle ningún parámetro. He pensado en pasar el procedimiento al evento OnNeedClientCertificate pero los parámetros no son los mismos:

Código Delphi [-]NeedClientCertificate(
  const Sender: TObject; const ARequest: TURLRequest;
  const ACertificateList: TCertificateList; var AnIndex: Integer);

Código Delphi [-]DoClientCertificateAccepted(const ARequest: THTTPRequest; const AnIndex: Integer): Boolean;

El problema estaría aquí:

Código Delphi [-]LRequest := TWinHTTPRequest(ARequest);
Result := WinHttpSetOption(LRequest.FWRequest, WINHTTP_OPTION_CLIENT_CERT_CONTEXT, pCert, SizeOf(CERT_CONTEXT));

Garada · #18 02-10-2023

Si añades al USES la unidad con el HTTPRIO puedes acceder a él.

Si quieres separarlo, podrías usar el parámetro AnIndex que es numérico y ya lees el certificado que te interese según su valor.

isnagil · #19 02-10-2023

El problema es que he creado una clase heredada de THTTPRIO

TMi_HTTPRIO = class(THTTPRIO)

Y como envío y recibo varios tipos de XML, voy creando distintos HTTPRIOs para cada tipo de XML que se envía, con lo cual no puedo acceder a él desde System.Net.HttpClient.Win, principalmente porque no sé ni cuál es.

Otra cosa, he comentado el procedimiento DoClientCertificateAccepted que he modificado en la unidad System.Net.HttpClient.Win y la aplicación elige el primer certificado que encuentra en el almacén y lo utiliza sin preguntar. O sea que realmente no sé si realiza alguna función. ¿Si desinstalo los certificados que tengo instalados cogerá el certificado que le indico del fichero pfx?

De todas formas sin poder seleccionarlo desde esta unidad no me sirve para mucho.

Por otra parte si utilizo el evento httWebNodeNeedClientCertificate cómo sé qué certificado tengo en según el parámetro AnIndex. Es decir si tengo varios instalados como sé cuál es cuál.

Garada · #20 02-10-2023

Sin ver todo en su conjunto, algunas ideas.

1 - Hacer publica la clase TWinHTTPClient para que puedas acceder a ella desde los eventos del httprio y asignarle p.e. una propiedad con el fichero o el stream del certificado.
2 - Pasar el HTTPRio como Integer a través del parametro AnIndex para acceder a él desde el TWinHttpClient

Yo haría la 1

Y aparte, sobre el AnIndex. En la unidad sin modificar, te pasa la lista de certificados y devuelves el índice del que quieres usar o -1 si no eliges.
En la versión modificada que te pase, le da igual cual elijas (excepto -1) pq va a cargar el certificado del fichero siempre.
En la modificación puedes usar 1 o 2 para que después tu elijas tu certificado 1 o 2. (esa es una tercera opción)

Temas Similares
Tema	Autor	Foro	Respuestas	Último mensaje
acceder a Webservice con certificado de cliente	iMia	Internet	8	13-09-2022 12:20:58
Conectar Webservice con httpRio+Certificado	gasal	Internet	2	20-07-2018 18:11:08
Como leer un TRemotable que proviene de un webservice	apicito	Internet	17	02-09-2011 23:48:41
SOAP POST - Webservice con Certificado y SSL	JXJ	Varios	5	09-05-2011 21:11:08