使用 MS CryptoAPI 保存/恢复证书会使附加的私钥失效

Question

我编写了一个程序，该程序应该使用 Windows Crypto API 保存和恢复用户证书。我的印象是它工作正常，但现在用户抱怨证书恢复后附加到证书的私钥无效。

我使用以下方法保存证书：

HCERTSTORE hCertStore =
    CertOpenStore(CERT_STORE_PROV_PHYSICAL_W,
    0,
    NULL,
    CERT_SYSTEM_STORE_CURRENT_USER |
    CERT_STORE_OPEN_EXISTING_FLAG |
    CERT_STORE_READONLY_FLAG |
    CERT_STORE_UPDATE_KEYID_FLAG,
    (PVOID) storeName.c_str());

然后：

if (!CertSaveStore(hCertStore,
    0,
    CERT_STORE_SAVE_AS_STORE,
    CERT_STORE_SAVE_TO_FILENAME,
    (PVOID) saveFile.c_str(),
    0))

我知道 CERT_STORE_SAVE_AS_STORE 标志应该意味着整个证书应该被序列化，包括私钥。尽管我注意到 MSDN 说：

“CERT_KEY_CONTEXT_PROP_ID 属性 以及相关的 CERT_KEY_PROV_HANDLE_PROP_ID 和 CERT_KEY_SPEC_PROP_ID 值不是 保存到序列化存储中。”

..我承认，我不太明白。

当我恢复证书时，我使用 CertFindCertificateInStore() 来查看证书是否已经存在，并且仅当它不存在时我才这样做：

bOK = CertAddCertificateContextToStore(
    hDestinationStore,
    pCertContext,
    CERT_STORE_ADD_USE_EXISTING,
    NULL);

添加证书回来了...所以我的问题是，为什么私钥可能不会被保留？

Answer 1

您使用了错误的 CryptoAPI。您应该使用 PFXExportCertStoreEx 和 PFXImportCertStore 代替。

更新：功能很常见。当然，您不能从智能卡导出证书或其他不可导出的证书。功能中的BLOG只不过是PFX文件的包含。例如，从 PFX 文件导入证书应执行以下操作：

1. 打开 PFX 文件并读取内存中的完整内容。当然，您可以使用文件映射来代替。
2. 您可以选择使用 PFXIsPFXBlob 函数来验证文件是否确实包含与 PFX 文件相对应的内容。
3. 您可以使用 PFXImportCertStore 打开 BLOB（PFX）作为源证书存储。
4. 您可以使用 CertOpenStore 或其他一些函数来打开要在其中保存 PFX 文件中的证书的目标证书存储。
5. 您可以使用 CertEnumCertificatesInStore 枚举源证书存储 (PFX) 中的证书，并且对于所有证书，使用 CertAddCertificateContextToStore 将证书从源证书存储添加到目标证书存储。具有私钥的证书将随私钥一起导入。
6. 您可以使用 CertCloseStore 关闭两个打开的商店。