Windows CryptoAPI магазин?

Question

Я только что обнаружил, что windows может хранить сертификаты и ключи, которые приложение использует в «криптографическом хранилище».

Я хотел бы знать, насколько безопасен магазин? Например, если я выбираю высокий уровень безопасности и запрашиваю пароль для доступа к хранилищу, когда приложение запрашивает crt или ключ, правильно ли оно шифруется? Есть идеи, что такое шифрование?

Другой вопрос: если мне не требуется пароль, то я не могу понять, как он обеспечивает какую-либо безопасность, так как crt и ключи должны быть в виде простого текста в хранилище и доступны любому, кто имеет доступ к моему компьютеру. В этом случае это выглядит примерно так же безопасно, как помещение crt и ключей в папку на рабочем столе под названием «хранилище крипт» или что-то в этом роде. Т.е. это просто способ организовать вещи, но не добавляет ничего полезного.

Спасибо за информацию.

Answer 1

Хранилище сертификатов по умолчанию так же безопасно, как и любой другой зашифрованный системой файл на вашем компьютере. Например, если кто-то знает ваше имя пользователя / пароль Windows и может войти в систему, он может без проблем получить доступ к сертификату. Однако, если кто-то просто получит доступ к вашему жесткому диску, не зная ваших учетных данных Windows, он не сможет получить доступ к хранилищу сертификатов. Таким образом, это лучше, чем простой текстовый файл на вашем компьютере. Но если вы сделаете этот файл зашифрованным, используя стандартные инструменты Windows, то их безопасность будет очень похожа: если вы забудете свой пароль или переустановите Windows, их содержимое будет потеряно навсегда и не может быть восстановлено.

Очевидно, что поскольку сертификат в хранилище по умолчанию должен быть доступен для программ после входа в систему, усиленная защита невозможна без использования внешнего оборудования.

Answer 2

Ключи (для личного хранилища ключей MY) хранятся в зависимости от поставщика служб шифрования (старый или новый API) в (исходном):

Legacy:
%APPDATA%\Microsoft\Crypto\RSA\User SID\
%APPDATA%\Microsoft\Crypto\DSS\User SID\
CNG:
%APPDATA%\Microsoft\Crypto\Keys

Для API CNG ключи хранятся дешифрованными в службе KeyIso (и API попросит службу использовать их).