在 Bouncy Castle 中使用正确的加密服务提供程序更新 x509Certificate2

Question

我正在使用 Wiktor Zychla (http://www.wiktorzychla.com/2012/12/how-to-create-x509certificate2.html) 的这篇博文中的 CertificateGenerator.GenerateCertificate 创建 x509Certificate2

Bouncy Castle crypto library 用于生成证书文件。我需要使用更强的签名算法，所以我使用的是SHA256withRSA，而不是SHA1withRSA（示例中的一个）。

生成证书并成功导出到.pfx文件。稍后使用证书时出现错误Invalid algorithm specified。

运行 certutil -dump mycert.pfx 时，我看到设置了错误的加密服务提供程序 (CSP)：Microsoft Base Cryptographic Provider v1.0

...

---------------- 结束嵌套级别 1 ----------------

Provider = Microsoft Base Cryptographic Provider v1.0

...

我如何告诉 Bouncy Castle API 使用不同的 CSP？Microsoft Enhanced RSA 和 AES Cryptographic Provider，实际上可以处理 SHA256withRSA。

Bouncy Castle 和C# 上的资源非常少，因此非常感谢任何指向一些文档或相关示例的链接。

CryptoAPI CSP 和算法列表，它们支持：

https://msdn.microsoft.com/en-us/library/windows/desktop/bb931357(v=vs.85).aspx

Answer 1

最简单的方法是在导入生成的 pfx 时指定 CSP。你可以使用这个命令

certutil -importPFX -csp "Microsoft Enhanced RSA and AES Cryptographic Provider" -v c:\yourpfx.pfx AT_KEYEXCHANGE,NoExport,NoProtect

这会

• 导入到 LocalMachine\My
• 将 CSP 设置为 Microsoft 增强 RSA 和 AES 加密提供程序
• 将私钥使用设置为 Exchange
• 将私钥设置为不可导出
• 设置没有额外（密码）保护的私钥

CSP 是 PKCS#12 (PFX) 中的 windows 特定字段，除了 windows 没有人设置它。如果您使用文件 new X509Certificate2(filename) 中的 PFX，则必须更改私钥。将PrivateKey 属性转换为RSACryptoServiceProvider 并修改CspParameters（我现在没有sn-p）。然后将修改后的RSACryptoServiceProvider设置回PrivateKey属性。

------- 编辑

这是从文件读取的 PFX 上更改 CSP 的示例代码

// need to set exportable flag to be able to ... export private key
X509Certificate2 cert = new X509Certificate2(@"d:\test.pfx", "a", X509KeyStorageFlags.Exportable);
var privKey = cert.PrivateKey as RSACryptoServiceProvider;

// will be needed later
var exported = privKey.ToXmlString(true);

// change CSP
var cspParams = new CspParameters()
{
    ProviderType = 24,
    ProviderName = "Microsoft Enhanced RSA and AES Cryptographic Provider"
};

// create new PrivateKey from CspParameters and exported privkey
var newPrivKey = new RSACryptoServiceProvider(cspParams);
newPrivKey.FromXmlString(exported);

// Assign edited private key back
cert.PrivateKey = newPrivKey;

// export as PKCS#12/PFX
var bytes = cert.Export(X509ContentType.Pfx, "a");