O gerenciador de certificados do Windows restaura a chave privada de alguma forma

Question

Isso pode soar muito estranho, mas deixe-me explicar uma situação:
Eu estava usando minha chave privada PKI instalada em Windows Certificate Storage recebo token, então decidi carregá-los para o token e excluí-los do armazenamento das janelas. Até agora tudo bem.

Mas agora, quando eu uso a chave de token reaparece em Windows Certificate Storage (isso é normal, como você pode ver também certificados de smartcards aqui). Mas eu posso exportar chave privada! E isso está definitivamente errado.

Eu tentei usar o token somente em máquinas diferentes (onde a chave privada nunca foi realmente armazenada no armazenamento) e a chave privada não é exportável.

Você tem alguma ideia de como isso aconteceu? E como realmente excluir a chave privada do armazenamento? Ou por que eles foram armazenados de alguma forma?

    

Answer 1

Eu sou apenas "WOW" - eu não chamaria isso de forma segura - de acordo com o link privado chaves não são deletadas e ficam no sistema SEM qualquer informação sobre isso, usei tentei usar aplicativo em link anexo, mas ele não funciona, porém consegui identificar chaves privadas com editor hexa no caminho C:\Users\[USERNAME]\AppData\Roaming\Microsoft\Crypto\RSA\[UID] e deletá-las permanentemente do sistema. Eu ainda estou meio que chocado, isso não é um bug, mas sim um recurso.

If you have a certificate installed on HD (i.e. using the MS Enhaced CSP), then, following Microsoft, you can remove it using IExplorer, on the Tools menu, you click Internet Options, then you click the* Content* tab, and then click Remove. This is a well known action described in http://www.microsoft.com/technet/prodtechnol/ie/reskit/6/part2/c06ie6rk.mspx?mfr=true

Doing this, you effectively remove the certificate, but THE PRIVATE KEY REMAINS IN THE HD. You can find a lot of scenarios where this can be a problem. Suppose you go to a friend's home, you install a pkcs12 file containing your certificate and private key with "Medium" security level (the default), then you use it, and when you finishes your work, you remove the certificate (but NO the private key). Then your friend takes your certificate (is a public document) and installs it, having your private key working for him.

The program cleancapi deletes the private keys that are not used by any certificate. Source code: http://dwnl.nisu.org/dwnl?fic=cleancapi_0_2_src.zip Precompiled version: http://dwnl.nisu.org/dwnl?fic=cleancapi_0_2_bin.zip