使用帶有私鑰的證書未標記爲可導出

我想知道哪些私鑰未標記爲epxortable的證書的用途是什麼。我發現，在從Internet Explorer向證書服務器發送證書請求時，它提供了將密鑰標記爲不可導出的選項。使用帶有私鑰的證書未標記爲可導出

2013-02-13 doptimusprime

這不是一個常見的使用場景，當創建證書請求時創建不可導出的私鑰除非此密鑰直接轉到硬件（USB令牌等）。但是，例如，當在公司環境中創建機器綁定證書時就是可能的。在這種情況下，最好將證書標記爲不可導出 - 如果機器不存在，您可以爲新機器頒發新證書並阻止（撤消）前一個證書。

當您使用私鑰導入現有證書時使用通常不可導出的密鑰 - 爲安全原因設置了不可導出標記。

來源

2013-02-13 12:34:56

如果密鑰可導出，您是否可以列出一些威脅？另外，Internet Explorer如何使用這種私鑰？ – doptimusprime 2013-02-14 03:35:20

CryptoAPI允許您使用這些密鑰執行簽名和解密 - 當然，操作系統可以訪問密鑰。威脅是鑰匙可能被盜。 – 2013-02-14 06:57:19

感謝您的澄清。這是我在看到諸如CryptSignMessage之類的函數後猜測的，它允許您在不提供證書的加密提供程序的情況下輸出密鑰的情況下籤署消息。在Internet Explorer中，使用WinSock和Crypt32實現SSL/TLS（這是我猜測的）。在相互SSL握手中，它只需要使用CryptoAPI簽名它可以執行的數據，這就是爲什麼即使將密鑰標記爲不可導出也會使用證書的原因。請糾正我，如果我錯了，請確認。 – doptimusprime 2013-02-14 12:49:33

使用帶有私鑰的證書未標記爲可導出

回答

相關問題