c# - 使用 DPAPI 对数据进行签名和验证

Question

我目前正在尝试了解如何最好地在 .NET 4.0 C# 环境中实现签名/验证。

我的要求是能够作为一个“用户”在我的系统中签署数据，在稍后的某个时候，该数据需要由消费者验证。

为了实现这一点，我正在尝试使用证书，但这是我开始挣扎的地方。我感到困惑的一个方面是有人建议我可以使用 DPAPI 进行证书管理，但是从阅读 DPAPI 文档来看，它似乎只提供了一种保护/取消保护本地主机/用户的任意数据的方法。尽管此数据可能恰好是私钥，但它并不专门处理证书。

第一个问题是，DPAPI 是否以任何方式链接到本地​​证书存储或其他证书管理解决方案？

希望代码不必定位证书，而只是将数据向下传递到有用的 API，在 API 中对数据进行签名(在数据源上)或验证(在消费者上)。

如有任何意见，我们将不胜感激。

Answer 1

DPAPI 用于加密只能在同一 Windows 用户帐户下解密的数据。它使用对称加密算法，因此无法提供您需要的签名功能。

如果您希望提供签名功能，那么使用基于公私 key 对(公钥分布在证书中)的签名算法通常是合适的方法。 .NET BCL 确实为签名和验证部分提供了功能(包括使用来自本地证书存储的 key )，但它不会帮助您处理 key 分发方面的事情。