Как установить разрешение на чтение файла закрытого ключа сертификата X.509 из .NET.

Ответ 1

Чтобы сделать это программно, вам нужно сделать три вещи:

• Получить путь к папке с закрытым ключом.

• Получить имя файла закрытого ключа в этой папке.

• Добавьте разрешение на этот файл.

Смотрите этот пост для некоторого примера кода, который выполняет все три (в частности, посмотрите на метод AddAccessToCertificate).

Ответ 2

Этот ответ задерживается, но я хотел опубликовать его для любого другого, кто приходит сюда:

Я нашел статью блога MSDN, которая дала решение с использованием CryptoKeySecurity здесь, и вот пример решения на С#:

var rsa = certificate.PrivateKey as RSACryptoServiceProvider;
if (rsa != null)
{
    // Modifying the CryptoKeySecurity of a new CspParameters and then instantiating
    // a new RSACryptoServiceProvider seems to be the trick to persist the access rule.
    // cf. http://blogs.msdn.com/b/cagatay/archive/2009/02/08/removing-acls-from-csp-key-containers.aspx
    var cspParams = new CspParameters(rsa.CspKeyContainerInfo.ProviderType, rsa.CspKeyContainerInfo.ProviderName, rsa.CspKeyContainerInfo.KeyContainerName)
    {
        Flags = CspProviderFlags.UseExistingKey | CspProviderFlags.UseMachineKeyStore,
        CryptoKeySecurity = rsa.CspKeyContainerInfo.CryptoKeySecurity
    };

    cspParams.CryptoKeySecurity.AddAccessRule(new CryptoKeyAccessRule(sid, CryptoKeyRights.GenericRead, AccessControlType.Allow));

    using (var rsa2 = new RSACryptoServiceProvider(cspParams))
    {
        // Only created to persist the rule change in the CryptoKeySecurity
    }
}

Я использую SecurityIdentifier для идентификации учетной записи, но NTAccount будет работать так же хорошо.

Ответ 3

Вы можете использовать инструмент WinHttpCertCfg.exe, который поставляется как часть Инструменты набора ресурсов Windows Server 2003.

Пример:

winhttpcertcfg -g -c LOCAL_MACHINE\My -s test -a NetworkService

Кроме того, вы можете использовать Find Private Key tool, который поставляется с SDK WCF, чтобы найти местоположение на диске файла секретного ключа сертификата. Затем вы можете просто использовать ACL для установки правильных прав в файле.

Пример:

FindPrivateKey My LocalMachine -n "CN=test"

Ответ 4

Если это поможет кому-то еще, я написал ответ Джима Флуда в Powershell

function Set-PrivateKeyPermissions {
param(
[Parameter(Mandatory=$true)][string]$thumbprint,
[Parameter(Mandatory=$false)][string]$account = "NT AUTHORITY\NETWORK SERVICE"
)
#Open Certificate store and locate certificate based on provided thumbprint
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("My","LocalMachine")
$store.Open("ReadWrite")
$cert = $store.Certificates | where {$_.Thumbprint -eq $thumbprint}

#Create new CSP object based on existing certificate provider and key name
$csp = New-Object System.Security.Cryptography.CspParameters($cert.PrivateKey.CspKeyContainerInfo.ProviderType, $cert.PrivateKey.CspKeyContainerInfo.ProviderName, $cert.PrivateKey.CspKeyContainerInfo.KeyContainerName)

# Set flags and key security based on existing cert
$csp.Flags = "UseExistingKey","UseMachineKeyStore"
$csp.CryptoKeySecurity = $cert.PrivateKey.CspKeyContainerInfo.CryptoKeySecurity
$csp.KeyNumber = $cert.PrivateKey.CspKeyContainerInfo.KeyNumber

# Create new access rule - could use parameters for permissions, but I only needed GenericRead
$access = New-Object System.Security.AccessControl.CryptoKeyAccessRule($account,"GenericRead","Allow")
# Add access rule to CSP object
$csp.CryptoKeySecurity.AddAccessRule($access)

#Create new CryptoServiceProvider object which updates Key with CSP information created/modified above
$rsa2 = New-Object System.Security.Cryptography.RSACryptoServiceProvider($csp)

#Close certificate store
$store.Close()

}

Обратите внимание, что параметр учетной записи может быть в форме "DOMAIN\USER" (а не только в именах) - я тестировал это в своей среде и автоматически преобразовал его в соответствующий SID

Ответ 5

Это решение, которое я нашел для Windows Server 2008, если кому-то интересно: http://technet.microsoft.com/en-us/library/ee662329.aspx

В принципе, я должен был предоставить разрешения для службы, которая должна получить доступ к сертификату с помощью инструмента MMC. Работает как шарм.