将原始函数与存储在 Microsoft KSP 中的密钥一起使用

Question

我的问题是关于 CNG API 和 Microsoft 提供商的用例。我不编写代码示例是因为我寻求您的帮助，了解与 CSP API 相比，在我的应用程序中使用 CNG API 的最佳方式。

我构建了一个应用程序，它使用通过以下步骤存储的对称密钥：

• 使用 CertFindCertificateInStore 枚举“我的”存储中的证书
• 对于找到的每个证书，使用 CertGetCertificateContextProperty 询问私钥信息
• 对于找到的每个私钥信息，存储提供者名称 pwszProvName 和容器名称 pwszContainerName

然后，当找到密钥时，我的应用程序使用通过 CSP API 找到的私钥执行签名功能：

• 使用带有 pwszProvName 和 pwszContainerName 的 CryptAcquireContext 初始化提供程序操作
• 使用 CSP 函数计算签名：CryptCreateHash、CryptHashData 和 CryptSignHash

CSP 功能一切正常。

现在我尝试使用 CNG API 进行签名操作：

• 使用 NCryptOpenStorageProvider 和 pwszProvName 初始化提供程序操作
• 使用 CNG 函数 BCryptOpenAlgorithmProvider 的打开算法提供程序失败并显示 STATUS_NOT_FOUND

当私钥存储在 Microsoft Software Key Storage Provider 中时会发生此错误。 阅读 Microsoft 文档，我了解提供程序的类型是 KSP 提供程序，并且仅对密钥管理起作用。这就是为什么当我尝试原始函数时它失败的原因，我需要使用“原始提供者”。

我找到了按照这些设置使用 CNG 提供程序的方法：

• Windows Server 2008：创建具有提供程序要求的证书模板（在“加密”选项卡上）。唯一可用的提供商是“Microsoft Software Key Storage Provider
• Windows 7：用户要求生成密钥，密钥存储在 Microsoft KSP 中。

所以这是我的问题：

• 我无法使用“Microsoft Software Key Storage Provider”执行原始功能正常吗？

• 如果我无法使用 Microsoft KSP（它是 KSP 提供程序）执行原始功能（签名、加密、解密、散列），我如何使我的私钥在 Microsoft Primitive Provider 中存储和管理？

我的麻烦在于，使用 CSP API，默认的 Microsoft CSP 提供程序执行签名（以及解密、加密等）功能。但是使用 CNG API，默认提供程序只执行密钥存储管理。

Answer 1

对于非对称密钥，CNG 密钥存储提供程序支持的功能与原始提供程序相当，当然 KSP（密钥存储提供程序）允许您持久化和加载密钥这一事实除外。

事实上，用于执行加密操作的 KSP API 调用看起来与原始的很相似，除了 KSP 的以N 开头，而原始的以B 开头。

例如：

• NCryptSignHash for KSP signing
• NCryptSecretAgreement for KSP secret agreement
• NCryptEncrypt for KSP asymmetric encryption

KSP 中缺少的 是对称功能（包括散列），这可能是引起混淆的地方。与 CAPI (CSP/Crypto API) 相比，CNG 签名函数更底层一些 - 你首先单独散列数据，然后将该散列字节块传递给NCryptSignHash（没有像 CAPI 中那样的散列对象句柄）。

重申一下，因为这会使来自 CAPI 的人感到困惑，您可以使用任何原始提供者 MS_PRIMITIVE_PROVIDER 或第三方提供者进行哈希处理，然后将结果传递给任何密钥存储提供者的 @ 987654328@，因为它只是字节数据，谁做散列并不重要。传递给NCryptSignHash 的NCRYPT_KEY_HANDLE 决定了使用什么KSP 进行签名；没有 CNG 等效于 HCRYPTHASH 传递给 NCryptSignHash。

因此，如果您想使用 KSP 签名，您应该首先使用原始提供者（使用 BCryptCreateHash/BCryptHashData/BCryptFinishHash）对要签名的消息进行哈希处理，并将结果传递给 NCryptSignHash .