Невозможно экспортировать сгенерированный сертификат с закрытым ключом в байтовый массив в .NET 4.0 / 4.5

Мне нужно экспортировать и импортировать сгенерированные сертификаты с закрытыми ключами в байтовые массивы и из них, и у меня нет никаких проблем, если я не использую .NET framework 4.0 и 4.5. Я создаю самозаверяющие сертификаты с помощью библиотеки BouncyCastle, а затем конвертирую их в формат .NET (X509Certificate2 объект). К сожалению, с обновлением до новейшего фреймворка я не могу экспортировать закрытые ключи. Вот код:

using System;
using System.Diagnostics;
using System.Security.Cryptography;
using System.Security.Cryptography.X509Certificates;
using Org.BouncyCastle.Asn1.X509;
using Org.BouncyCastle.Crypto;
using Org.BouncyCastle.Crypto.Generators;
using Org.BouncyCastle.Crypto.Parameters;
using Org.BouncyCastle.Crypto.Prng;
using Org.BouncyCastle.Math;
using Org.BouncyCastle.Security;
using Org.BouncyCastle.X509;

namespace X509CertificateExport
{
    class Program
    {
        static void Main(string[] args)
        {
            var certificate = Generate();
            var exported = certificate.Export(X509ContentType.Pfx);
            var imported = new X509Certificate2(exported, (string)null, X509KeyStorageFlags.Exportable | X509KeyStorageFlags.PersistKeySet);

            Console.WriteLine("Certificate has private key: " + imported.HasPrivateKey);
            Console.ReadKey();
        }

        public static X509Certificate2 Generate()
        {
            var keyPairGenerator = new RsaKeyPairGenerator();
            var secureRandom = new SecureRandom(new CryptoApiRandomGenerator());
            keyPairGenerator.Init(new KeyGenerationParameters(secureRandom, 1024));
            var keyPair = keyPairGenerator.GenerateKeyPair();
            var publicKey = keyPair.Public;
            var privateKey = (RsaPrivateCrtKeyParameters)keyPair.Private;

            var generator = new X509V3CertificateGenerator();
            generator.SetSerialNumber(BigInteger.ProbablePrime(120, new Random()));
            generator.SetSubjectDN(new X509Name("CN=Test"));
            generator.SetIssuerDN(new X509Name("CN=Test"));
            generator.SetNotAfter(DateTime.Now + new TimeSpan(10, 10, 10, 10));
            generator.SetNotBefore(DateTime.Now.Subtract(new TimeSpan(7, 0, 0, 0)));
            generator.SetSignatureAlgorithm("MD5WithRSA");
            generator.SetPublicKey(publicKey);

            var newCert = generator.Generate(privateKey);
            var dotNetPrivateKey = ToDotNetKey(privateKey);
            var dotNetCert = new X509Certificate2(DotNetUtilities.ToX509Certificate(newCert));
            dotNetCert.PrivateKey = dotNetPrivateKey;

            return dotNetCert;
        }

        public static AsymmetricAlgorithm ToDotNetKey(RsaPrivateCrtKeyParameters privateKey)
        {
            var rsaProvider = new RSACryptoServiceProvider();
            var parameters = new RSAParameters
            {
                Modulus = privateKey.Modulus.ToByteArrayUnsigned(),
                P = privateKey.P.ToByteArrayUnsigned(),
                Q = privateKey.Q.ToByteArrayUnsigned(),
                DP = privateKey.DP.ToByteArrayUnsigned(),
                DQ = privateKey.DQ.ToByteArrayUnsigned(),
                InverseQ = privateKey.QInv.ToByteArrayUnsigned(),
                D = privateKey.Exponent.ToByteArrayUnsigned(),
                Exponent = privateKey.PublicExponent.ToByteArrayUnsigned()
            };

            rsaProvider.ImportParameters(parameters);
            return rsaProvider;
        }
    }
}

Присмотревшись к сгенерированному сертификату, я заметил, что флаг PrivateKey.CspKeyContainerInfo.Exportable верен для .NET framework 3.5, но для более поздних версий он выдает:

'Exportable' threw an exception of type
'System.Security.Cryptography.CryptographicException' / Key does not exist

Единственное различие, которое я вижу, - это PrivateKey.CspKeyContainerInfo.m_parameters.Flags: .NET 3.5 - 'NoFlags'; .NET 4.5 - CreateEphemeralKey. В документации указано, что CreateEphemeralKey создает временный ключ, который освобождается при закрытии связанного объекта RSA. Он был представлен во фреймворке 4.0 и раньше не существовал. Я попытался избавиться от этого флага, явно создав CspParameters:

public static AsymmetricAlgorithm ToDotNetKey(RsaPrivateCrtKeyParameters privateKey)
{
    var cspParams = new CspParameters
    {
        Flags = CspProviderFlags.UseMachineKeyStore
    };

    var rsaProvider = new RSACryptoServiceProvider(cspParams);
    // ...

но безуспешно. CreateEphemeralKey все равно добавляется, поэтому я получаю в результате UseMachineKeyStore | CreateEphemeralKey флага и не вижу, как его удалить. Есть ли способ игнорировать этот флаг и экспортировать сертификат с закрытым ключом в обычном режиме?


certificate c# export bouncycastle
person username    schedule 07.05.2013    source источник
comment
возможный дубликат Вставка сертификата (с закрытым ключом) в корневой каталог, сертификат LocalMachine сбой магазина в .NET 4   -  person albertjan    schedule 04.08.2014

Ответы (1)


arrow_upward
13
arrow_downward

Я не заметил, что CspKeyContainerInfo.CspParameters.KeyContainerName пуст после создания ключа в .NET 4.0 и .NET 4.5, но он был автоматически сгенерирован в .NET 3.5. Я установил уникальное имя для контейнера и теперь могу экспортировать закрытый ключ.

public static AsymmetricAlgorithm ToDotNetKey(RsaPrivateCrtKeyParameters privateKey)
{
    var cspParams = new CspParameters
    {
          KeyContainerName = Guid.NewGuid().ToString(),
          KeyNumber = (int)KeyNumber.Exchange,
          Flags = CspProviderFlags.UseMachineKeyStore
    };

    var rsaProvider = new RSACryptoServiceProvider(cspParams);
    // ...
person username    schedule 07.05.2013
comment
Это исправление также устраняет ошибку: не удалось добавить сертификат SSL, ошибка: 1312 Указанный сеанс входа в систему не существует. Возможно, он уже был прекращен. - person RcMan; 31.01.2017