将非对称密钥容器存储在负载平衡的云环境中

Question

我的任务是使用C＃ RSACryptoServiceProvider.SignData（）方法对一些数据进行签名。 为了生成公钥和私钥，我使用了RSACryptoServiceProvider并传递了一个keycontainername以便安全地存储密钥。

当我运行MSDN示例以在具有固定keycontainername的机器上生成一组公用/专用密钥时，每次相同时都会生成预期的公用/专用密钥。

这在单个服务器环境中可以正常工作，但是，我们在弹性环境中运行，其中服务器负载均衡。 如果我在任何一台机器上使用私钥对数据加密并通过RSACryptoServiceProvider将该数据存储在其中，则数据将仅存在于机器级别。 每台机器将使用不同的密钥对数据进行签名，并且公共密钥的用户将无法验证签名。

有什么方法可以将密钥安全地存储在分布式环境中？

谢谢

Answer 1

我想到了两个。

第一个是使用包含私钥的X509证书。 您可以使用X509Certificate2类获取具有私钥的RSACryptoServiceProvider实例。 证书和私钥本身将保存在Windows证书存储区中。 然后，您可以通过证书存储限制对某些帐户的私钥访问。 然后，您只需将证书安装在需要它的每台计算机/ AMI上。

您的另一个选择是使用硬件安全模块。 AWS提供了一项称为CloudHSM的服务，该服务使您可以在VPC内使用网络HSM（我不知道它与Elastic Bean Stalk配合使用的效果如何）。 HSM供应商SafeNet IIRC允许安装指向HSM的CSP。 然后，您CspParameters RSACryptoServiceProvider提供一个CspParameters实例，该实例接受容器和CSP名称。

HSM解决方案是最安全的，尽管更为复杂和昂贵。