在托管环境中使用 RSACryptoServiceProvider 或 RSA

Question

我想使用公共/私有加密，我的 Web 应用程序将使用私钥签署 xml 文档或一段数据，并将使用公钥在应用程序中进行验证，

是否可以在 .net 2.0 中使用 RSACryptoServiceProvider如果不是托管环境，还有其他可能的解决方法吗？

Answer 1

是的，很有可能。

如果将用于数据签名的证书导出到 .pfx 文件中，则可以通过这种方式获取 digsig。

using System;
using System.Xml;
using System.Reflection;
using System.Security.Cryptography;
using System.Security.Cryptography.Xml;
using System.Security.Cryptography.X509Certificates;
// ...

static void SignWithPfxPrivateKey()
{
    X509Certificate2 certificate = new X509Certificate2(certFile, pfxPassword);
    RSACryptoServiceProvider rsaCsp = (RSACryptoServiceProvider) certificate.PrivateKey;   

    XmlDocument xmlDoc = new XmlDocument();

    xmlDoc.PreserveWhitespace = true;
    if (loadFromString)
      xmlDoc.LoadXml(rawXml);   // load from a string
    else 
      xmlDoc.Load("test.xml");  // load from a document 

    // Sign the XML document. 
    SignXml(xmlDoc, rsaCsp);

    // Save the document.
    xmlDoc.Save("RsaSigningWithCert.xml");

    xmlDoc.Save(new XTWFND(Console.Out));
}

public static void SignXml(XmlDocument Doc, RSA Key)
{
    // Check arguments.
    if (Doc == null)
        throw new ArgumentException("Doc");
    if (Key == null)
        throw new ArgumentException("Key");

    // Create a SignedXml object.
    SignedXml signedXml = new SignedXml(Doc);

    // Add the key to the SignedXml document.
    signedXml.SigningKey = Key;

    // Create a reference to be signed.
    Reference reference = new Reference();
    reference.Uri = "";

    // Add an enveloped transformation to the reference.
    XmlDsigEnvelopedSignatureTransform env = new XmlDsigEnvelopedSignatureTransform();
    reference.AddTransform(env);

    // Add the reference to the SignedXml object.
    signedXml.AddReference(reference);

    // Compute the signature.
    signedXml.ComputeSignature();

    // Get the XML representation of the signature and save
    // it to an XmlElement object.
    XmlElement xmlDigitalSignature = signedXml.GetXml();

    // Append the element to the XML document.
    Doc.DocumentElement.AppendChild(Doc.ImportNode(xmlDigitalSignature, true));
}

要使用此功能，您必须将 .pfx 文件上传到托管服务器。 您还需要该 pfx 文件的密码，您应该 安全地存储在应用程序配置设置中。 您可以对 .cer 文件执行类似的操作。

您还可以从常规 XML 加载 RSA 密钥。 如果您有一个通过从本地机器存储加载密钥来实例化的 RSACryptoServiceProvider，如下所示：

  // Get the key pair from the key store.
  CspParameters parms = new CspParameters(1);
  parms.Flags = CspProviderFlags.UseMachineKeyStore;
  parms.KeyContainerName = "SnapConfig";
  parms.KeyNumber = 2;
  RsaCsp = new RSACryptoServiceProvider(parms);

...然后您可以使用以下命令导出该密钥。

RsaCsp.ToXmlString(true);  

结果是一个字符串，包含您可以使用的 XML 文档可以保存到文件，然后上传到托管服务器。 作为密钥对存储的 .pfx 文件的替代方案。 小心。 该 xml 文档没有密码保护，并且不安全。 （阅读有关 ToXmlString() 的文档) 您可以加密此 XML 文档，就像加密任何其他设置一样。 （搜索）

在这种情况下你可以这样做来获取你的csp：

  RSACryptoServiceProvider csp = new RSACryptoServiceProvider();
  csp.FromXmlString(keyPairXml);

Answer 2

请参阅此处：http://www.codeproject.com/KB/security/EZRSA.aspx

Answer 3

是的，可以在托管环境中使用它，但要注意多线程 与其使用相关的问题

这些是最小化 ASP.NET 中线程问题的一些建议：

1. 创建 RSACryptoServiceProvider 对象时设置 CspParameters.KeyContainer 名称。 永远不要使用默认的，永远不要！
   这很容易导致商店腐败。 我们已经讨论过这个问题了。

2. 如果可能，显式调用 RSACrytpoServiceProvider 对象上的 Dispose。 这样，我们就不再依赖垃圾收集器来
   “最终”发布 CSP。

3. 创建 RSACryptoServiceProvider 时在 CspParameters.Flags 中设置 UseMachineKeyStore。 该标志告诉 RSACryptoServiceProvider
   使用“机器位置”来存储 RSA 公钥/私钥对
   “当前用户”位置。 这相当于调用
   带有 CRYPT_MACHINE_KEYSET 的 CryptAcquireContext API。 确保所有
   使用 RSA 实例的线程在同一帐户下运行。

4. 请勿将 RSACryptoServiceProvider.PersistKeyInCSP 设置为 False。 这将导致 RSA 实例启动时密钥容器被删除
   释放或垃圾收集。 如果多个线程试图
   访问相同的命名密钥容器，该命名密钥的状态
   容器可能处于临时清理状态，并且不能
   已获得。

5. 另一种选择是我们将 RSACryptoServiceProvider 作为 Web 应用程序的一部分实例化一次
   初始化，然后使用同一实例进行加密或
   在像锁（即互斥锁）这样的关键部分下解密。 这个会
   还避免从同一个容器多次重新获取密钥容器
   流程。