將非對稱密鑰容器存儲在負載平衡的雲環境中

Question

我的任務是使用C＃ RSACryptoServiceProvider.SignData（）方法對一些數據進行簽名。 為了生成公鑰和私鑰，我使用了RSACryptoServiceProvider並傳遞了一個keycontainername以便安全地存儲密鑰。

當我運行MSDN示例以在具有固定keycontainername的機器上生成一組公用/專用密鑰時，每次相同時都會生成預期的公用/專用密鑰。

這在單個服務器環境中可以正常工作，但是，我們在彈性環境中運行，其中服務器負載均衡。 如果我在任何一台機器上使用私鑰對數據加密並通過RSACryptoServiceProvider將該數據存儲在其中，則數據將僅存在於機器級別。 每台機器將使用不同的密鑰對數據進行簽名，並且公共密鑰的用戶將無法驗證簽名。

有什么方法可以將密鑰安全地存儲在分布式環境中？

謝謝

Answer 1

我想到了兩個。

第一個是使用包含私鑰的X509證書。 您可以使用X509Certificate2類獲取具有私鑰的RSACryptoServiceProvider實例。 證書和私鑰本身將保存在Windows證書存儲區中。 然后，您可以通過證書存儲限制對某些帳戶的私鑰訪問。 然后，您只需將證書安裝在需要它的每台計算機/ AMI上。

您的另一個選擇是使用硬件安全模塊。 AWS提供了一項稱為CloudHSM的服務，該服務使您可以在VPC內使用網絡HSM（我不知道它與Elastic Bean Stalk配合使用的效果如何）。 HSM供應商SafeNet IIRC允許安裝指向HSM的CSP。 然后，您CspParameters RSACryptoServiceProvider提供一個CspParameters實例，該實例接受容器和CSP名稱。

HSM解決方案是最安全的，盡管更為復雜和昂貴。