IdentityServer4 签名密钥、验证密钥和 .Net Core 数据保护

Question

Identity Server 4 文档（此处为http://docs.identityserver.io/en/latest/topics/crypto.html?highlight=data%20protection ）讨论了签名密钥和验证密钥。 我知道签名密钥是使用配置的

AddSigningCredential(<X509Certificate2>)

并且有两个用于验证密钥的 API

AddValidationKey(<X509Certificate2>)
AddValidationKeys(<Microsoft.IdentityModel.Tokens.AsymmetricSecurityKey[]>) 

该文档讨论了签名密钥翻转和向发现文档添加多个验证密钥。 问题：

• 您什么时候将 AddValidationKey 与 X509Certificate2 一起使用？ 即使您正在使用 AddSigningCredential，您是否也需要这样做？
• “您请求/创建新的密钥材料”是指什么？ 这是新证书吗？ 或者这是 Microsoft 数据保护密钥？
• 什么是非对称安全密钥？ 是否有从 X509Certificate2 创建的方法？
• 我们正在使用 cookie 身份验证 - ValidationKeys 是否与 Net Core 2.0 中存储的 PersistKeysToAzureBlobStorage 的密钥相同？ （ https://docs.microsoft.com/en-us/aspnet/core/security/data-protection/configuration/overview?view=aspnetcore-2.1&tabs=aspnetcore2x ）

Answer 1

IdentityServer 使用非对称加密。 非对称加密意味着您有一个公钥和一个私钥。 公钥是共享的（显然）并且仅用于加密。 私钥是私人的。 它应该受到严格保护，永远不会共享，并且用于解密。 签名密钥是您的公钥，而验证密钥是您的私钥，所以是的，您需要两者。 可以使用 X509Certicate，因为证书同时使用公钥和私钥，但最终 IdentityServer 只是使用证书来获取密钥。

AddValidationKeys （复数）方​​法显式用于密钥翻转。 例如，您的证书可能会在一年后过期（大多数情况下是默认值）。 在该期限结束时，您将用新证书替换它。 但是，客户端可能仍然拥有访问令牌，并且通过来自先前证书的公钥进行加密，IdentityServer 将需要来自先前证书的私钥来解密它。 使用此方法，您可以添加以前的密钥，仅用于验证 IdentityServer 无法使用当前密钥验证的材料。

数据保护是完全独立的。 它也使用公钥和私钥来完成它的工作，因此从技术上讲，您也可以为 IdentityServer 使用相同的密钥。 但是，最好将您的密钥限制在独特的用途上。 这样，如果您确实受到了攻击，也不会完全受到攻击，并且可以在一定程度上限制潜在泄漏的范围。