证书：找不到用于解密的证书和私钥签名时出错

Question

我在为开发人员提供许多服务器和个人电脑的公司工作。服务器是win2003，开发PC是Windows XP。

在名为 preiis01 的服务器 Win2003 中，在预生产环境中，公司其他人员使用任何其他用户（domainCompany\adminsystems）安装客户端证书，用于登录服务器 preiis01。

任何管理员都使用用户“domainCompany\adminsystems”登录服务器 preiis01（使用终端服务器、Windows XP 的远程桌面）。

管理员用户是domainCompany\adminsystems”，它安装证书。

管理员用户如下安装：

会话登录如“domainCompany\adminsystems” 证书是PFX文件。安装 PFX 并使用向导。密钥私有不检查导出。 输入密码并安装。

有一个应用程序Web，其AppPool Identity是：NETWORK SERVICE帐户。

Web服务器是IIS 6.0。

在 preiis01 中，

管理员用户执行 mmc ->咬入 ->本地计算机的证书。在节点->个人->证书，他看到了客户端证书：

Issued To ENTIDAD COMPANY INSURE SA - CIF A93 - NOMBRE SURNAME1 NAME1

Issued By FNMT Clase 2 CA

在证书的属性中，指纹：“93 bc a4 ad 58 c9 3c af 8b eb 0b 2f 86 c7 9d 81 70 a6 c4 13"

该管理员用户执行以下命令：

winhttpcertcfg.exe LOCAL_MACHINE\My -s "ENTIDAD COMPANY INSURE SA - CIF A93 - NOMBRE SURNAME1 NAME1" -g -a "NETWORK SERVICE"

结果是：

匹配证书：

CN=ENTIDAD 公司保险 SA - CIF A93 - 姓名 1 姓名 1

OU=703015476

OU=FNMT 2 类 CA

O=FNMT

C=ES

授予私钥访问权限 帐户：NT AUTHORITY\NETWORK SERVICE

现在，管理员用户执行以下命令：

winhttpcertcfg.exe -l -c LOCAL_MACHINE\My -s "ENTIDAD COMPANY INSURE SA - CIF A93 - NOMBRE SURNAME1 NAME1"

结果是：

匹配证书：

CN=ENTIDAD 公司保险 SA - CIF A93 - 姓名 1 姓名 1

OU=700012476

OU=FNMT 2 类 CA

O=FNMT

C=ES

其他帐户和组 私钥的访问包括： 域公司\adminsystems NT 权威\制度 内置\管理员 NT 权威机构\网络服务

现在，在服务器 Win2003、IIS 6.0 中的应用程序 Web 的 aspx 页面中，我有以下代码：

注意：对于“ENTIDAD COMPANY INSURE SA - CIF A93 - NOMBRE，X509Certificate2.HasPrivateKeyAccess() 的值是 NO（假）”姓1名1”证书。

ASP.NET 应用程序使用身份执行:: NT AUTHORITY\NETWORK SERVICE

lbInfo.Text += "<br/><br/>ASP.NET application executes using the identity :: <b>" + WindowsIdentity.GetCurrent().Name + "</b><br>";


            var store = new X509Store(StoreLocation.LocalMachine);
            store.Open(OpenFlags.ReadOnly | OpenFlags.OpenExistingOnly);
            Certificates = store.Certificates;
            repeater1.DataSource = Certificates;
            repeater1.DataBind();

            var nombreCertificado = "ENTIDAD COMPANY INSURE SA - CIF A93 - NOMBRE SURNAME1 NAME1";

            store = new X509Store(StoreName.My, StoreLocation.LocalMachine);
            store.Open(OpenFlags.ReadOnly);

            X509Certificate2Collection col = store.Certificates.Find(X509FindType.FindBySubjectName, nombreCertificado, false);

            if (col.Count > 0)
            {
                X509Certificate2 certificate = col[0];
                store.Close();
                Message.Text = "Certificado " + nombreCertificado + " encontrado en " + StoreLocation.LocalMachine;

                FirmarConCertificado(nombreCertificado, certificate);

            }
            else
            {
                store.Close();
                Message.Text = "El certificado " + nombreCertificado + " no esta instalado en la máquina";
            }


public void FirmarConCertificado(string nombreCertificado, X509Certificate2 certificate)
{
    try
    {
 var mensaje = "Datos de prueba";
                System.Text.Encoding enc = System.Text.Encoding.Default;
                byte[] data = enc.GetBytes(mensaje);

                var contentInfo = new System.Security.Cryptography.Pkcs.ContentInfo(data);
                var signedCms = new System.Security.Cryptography.Pkcs.SignedCms(contentInfo, true);

                var cmsSigner = new System.Security.Cryptography.Pkcs.CmsSigner(certificate);

                //  Sign the CMS/PKCS #7 message
                signedCms.ComputeSignature(cmsSigner);

                //  Encode the CMS/PKCS #7 message
               var ret = Convert.ToBase64String(signedCms.Encode());

 Message.Text += "Firmado con Certificado " + nombreCertificado + " encontrado en " + StoreLocation.LocalMachine;
 }
 catch (Exception ex)
 {
 Message.Text = "Error al firmar con certificado: " + ex.ToString();
 Message.Text += "<br /><br />InnerException: " + ex.InnerException;
 }

}

该代码对我来说失败，并且出现此错误：找不到用于解密的证书和私钥。

错误行是：signedCms.ComputeSignature(cmsSigner);

固定证书错误： System.Security.Cryptography.CryptographicException： 找不到证书并且 用于解密的私钥。

在 System.Security.Cryptography.Pkcs.PkcsUtils.CreateSignerEncodeInfo(CmsSigner 签名者，布尔值无声）在 System.Security.Cryptography.Pkcs.SignedCms.Sign(CmsSigner 签名者，布尔值无声）在 System.Security.Cryptography.Pkcs.SignedCms.ComputeSignature(CmsSigner 签名者，布尔值无声）在 System.Security.Cryptography.Pkcs.SignedCms.ComputeSignature(CmsSigner 签名者）于 ASP.dgsfp_test_testcert_aspx.FirmarConCertificado（字符串 名称证书，X509Certificate2 证书）在 c:\Company\App\Test\TestCert.aspx:line 242

然后，管理员用户（我记得是安装证书的人）执行以下命令：

FindPrivateKey 我的本地机器 -t "93 BC A4 AD 58 C9 3C AF 8B EB 0B 2F 86 C7 9d 81 70 a6 c4 13" –c

查找私钥 我的 LocalMachine -n​​ "ENTIDAD COMPANY INSURE SA - CIF A93 - NOMBRE SURNAME1 NAME1" –a

FindPrivateKey 我的本地机器 -n “CN=ENTIDAD 公司保险 SA - CIF A93 - 姓名 1 姓名 1” –a

所有 3 个命令的结果相同：

FindPrivateKey帮助用户找到 私钥文件的位置 X.50 9 证书。

用法：FindPrivateKey [{ {-n } | {-t} } [-f | -d | -a]]

主题名称 证书

的指纹 证书（使用 certmgr.exe 获取 它）

-f 仅输出文件名

-d 仅输出目录

-输出绝对文件 名称 例如 FindPrivateKey My 当前用户 -n "CN=John Doe"

例如 FindPrivateKey 我的本地机器 -t “03 33 98 63 d0 47 e7 48 71 33 62 64 76 5 c 4c 9d 42 1d 6b 52" -c

FindPrivateKey 没有得到任何东西，但 winhttpcertcfg.exe -l 工作正常（匹配证书）

我们已使用 winhttpcertcfg.exe 工具和代码向网络服务用户授予权限ASP.NET（在网络服务帐户下执行）找到证书，但使用证书签名时失败。

如果有人可以向我们提供一些信息或建议

更新：

域“domainCompany\Pre_Certificado”中的用户在存储本地计算机中安装证书。

domainCompany\Pre_Certificado 是管理员，位于 IIS_WPG 组中，具有本地策略：“作为服务登录”

我在 IIS 6.0 中为以下内容配置 AppPool 标识：domainCompany\Pre_Certificado

ASP.NET 应用程序使用身份执行::domainCompany\Pre_Certificado

我回收 AppPool 并执行应用程序中，我得到 System.Security.Cryptography.CryptographicException：无法找到用于解密的证书和私钥

如果我再次测试，使用domainCompany\Pre_Certificado 用户登录服务器 IIS 中的会话，我在 ASP.NET 应用程序中调用页面，一切都是好的。

（注意：使用终端服务器登录服务器 IIS）

但是如果在服务器 IIS 中注销会话（用户：domainCompany\Pre_Certificado），我会得到相同的错误：

System.Security.Cryptography.CryptographicException：无法找到用于解密的证书和私钥

有什么建议吗？

Answer 1

按照与 IIS 7.5（单击此处）

1. 创建/购买证书。确保它有私钥。
2. 将证书导入“本地计算机”帐户。最好使用MMC证书。 确保选中“允许导出私钥”

3. 以管理员身份运行以下命令。替换以下内容：

   • 将 [Subject] 替换为证书的主题，如果包含空格，请使用引号。我认为只要没有其他以同一主题开头的证书，您也可以只输入第一个单词。
   • 将 [Store] 替换为您导入到的证书存储区，我认为在 IIS 6 上默认为“ROOT”或“MY”，即“LOCAL_MACHINE\ROOT”或“LOCAL_MACHINE\MY”
   • 将 [computername] 替换为计算机的名称。您也许可以对 [computernam] 使用“.\”表示法，即“.\NETWORK SERVICE”，但我还没有尝试过。

winhttpcertcfg.exe -g -a "[computername]\NETWORK SERVICE" -c LOCAL_MACHINE\[Store] -s "[Subject]"

注意： 如果您正在某个身份下运行 ASP.NET 应用程序池除了“NETWORK SERVICE”之外，您还需要将上述命令中的“NETWORK SERVICE”更改为您正在运行 IIS 应用程序池的标识。

Answer 2

请查看此文档，它将帮助您解决问题。我建议使用以下命令选项：

winhttpcertcfg -g -c LOCAL_MACHINE\My -s MyCertificate -a TESTUSER 

Answer 3

可能还需要向匿名用户授予访问权限。如果您允许匿名访问，则请求将以匿名用户而不是网络服务的身份运行。