изменение паролей с контейнерами именованных ключей в win 7 - PullRequest
Новая
       11

изменение паролей с контейнерами именованных ключей в win 7

1 голос
/ 10 февраля 2010

В некоторых системах под управлением Windows 7, где мы сгенерировали ключ в контейнер имени ключа, если мы меняем пароль пользователя, когда мы вызываем CryptAcquireCertificatePrivateKey () мы получаем ошибку CRYPT_E_NO_KEY_PROPERTY (0x8009200B).

Это происходит не во всех коробках. Мы изначально думали, что это что-то, что связано с доменным компьютером, а не с сетью, и там он не может обновить содержимое домена, но мы получили его для воспроизведения на некоторых автономных машинах.

Мой код для чтения ключа 

if((StoreHandle = CertOpenStore(CERT_STORE_PROV_SYSTEM, 0, 0, CERT_SYSTEM_STORE_CURRENT_USER, QWARQ_CERT_STORE_NAME)) != NULL)
     {
        /* Look for certificate with matching user guid.            */
        if((CertContext = CertFindCertificateInStore(StoreHandle,PKCS_7_ASN_ENCODING | X509_ASN_ENCODING, 0, CERT_FIND_SUBJECT_STR,DataBuffer, NULL)) != NULL)
        {
           if(CryptAcquireCertificatePrivateKey(CertContext, 0,NULL, &CryptProvHandle, &KeySpec, &FreeHandle))
           {
           }
           else
           {
                   DWORD dwError=GetLastError();   //CRYPT_E_NO_KEY_PROPERTY
           }
        }
     }

вот код, который генерирует ключ / контейнер ключа 

if(CryptAcquireContext(&hCryptProv,KEY_CONTAINER_NAME, NULL,PROV_RSA_FULL, 0) == FALSE) //CRYPT_NEWKEYSET
{
    DWORD result = GetLastError();
    if (NTE_BAD_KEY_STATE  == result)
    {
        DebugLogging::DbgPrintF(TEXT("[CertInitialization] NTE_BAD_KEY_STATE - user has changed his password \n"), result);
        return false;
    }
    else if (NTE_BAD_KEYSET != result)
    {
        DebugLogging::DbgPrintF(TEXT("[CertInitialization] could not acquire CSP[0x%x]\n"), result);
        return false;
    }

    if(CryptAcquireContext(&hCryptProv, KEY_CONTAINER_NAME, NULL,PROV_RSA_FULL, CRYPT_NEWKEYSET) == FALSE) //CRYPT_NEWKEYSET
    {
        DWORD result = GetLastError();
        DebugLogging::DbgPrintF(TEXT("[CertInitialization] could not acquire CSP from new keyset[0x%x]\n"), result);
        return false;
    }
}
if(CryptGenKey(hCryptProv, AT_KEYEXCHANGE, RSA2048BIT_KEY |CRYPT_EXPORTABLE, &hKey)== FALSE)
{
    DebugLogging::DbgPrintF(TEXT("CertGeneration() could not generate key[%d]\n"),GetLastError());
    return false;
}

1 Ответ

1 голос
/ 17 февраля 2010

Узнав больше о DPAPI

Смена пароля

В этом методе существует непрерывность доступа к мастер-ключам пользователя во время смены пароля. DPAPI вызывается компонентом Winlogon во время операций по смене пароля в домене Active Directory: 

* DPAPI receives notification from Winlogon during a password change operation.
* DPAPI decrypts all master keys that were encrypted with the user's old passwords.
* DPAPI re-encrypts all master keys with the user's new password.

Сброс пароля (Set)

В этом методе администратор принудительно сбрасывает пароль пользователя. Сброс пароля сложнее, чем смена пароля. Поскольку администратор не вошел в систему как пользователь и не имеет доступа к старому паролю пользователя, этот старый пароль нельзя использовать для расшифровки старого мастер-ключа и повторного шифрования его с новым паролем.

...