Windows CryptoAPI armazenar?

Question

Acabei de descobrir que as janelas podem armazenar certificados e chaves que um aplicativo usa em uma 'loja de criptografia'.

Gostaria de saber a segurança da loja? Se eu selecionar, por exemplo, alta segurança e exigir uma senha para acessar o armazenamento quando um aplicativo solicitar um crt ou uma chave, ele será criptografado corretamente? Alguma ideia de qual é a criptografia usada?

Outra pergunta é, se eu não precisar de uma senha, então não consigo ver como ela fornece qualquer segurança, pois o crt e as chaves ainda devem estar em texto simples na loja e acessíveis a qualquer pessoa que tenha acesso à minha conta. computador. Neste caso de uso, parece tão seguro quanto colocar o crt e as chaves em uma pasta na área de trabalho chamada 'crypt store' ou algo assim. Ou seja, é apenas uma maneira de organizar as coisas, mas não adiciona nada de útil.

Obrigado pela informação.

    

Answer 1

O armazenamento de certificados padrão é tão seguro quanto qualquer outro arquivo criptografado pelo sistema no seu computador. Por exemplo. Se alguém souber seu nome de usuário / senha do Windows e conseguir fazer login, ele poderá acessar o certificado sem problemas. No entanto, se alguém tiver acesso ao seu disco rígido sem conhecer suas credenciais do Windows, ele não poderá obter acesso ao armazenamento de certificados. Então, isso é melhor do que apenas um arquivo de texto plano no seu computador. Mas se você tornar esse arquivo criptografado, usando as ferramentas padrão do Windows, a segurança deles será muito semelhante: se você esquecer sua senha ou reinstalar o Windows, o conteúdo será perdido para sempre e não poderá ser recuperado.

Obviamente, como o certificado no armazenamento padrão deve estar acessível aos programas assim que você efetuar login, não será possível garantir uma segurança mais strong sem usar o hardware externo.

    

Answer 2

As chaves são (para o usuário particular MY keystore) armazenadas dependendo do provedor de serviços de criptografia (API antiga ou nova) em ( origem ):

Legacy:
%APPDATA%\Microsoft\Crypto\RSA\User SID\
%APPDATA%\Microsoft\Crypto\DSS\User SID\
CNG:
%APPDATA%\Microsoft\Crypto\Keys

Para a API CNG, as chaves são retidas no serviço KeyIso (e a API pedirá ao Serviço para usá-las).