Versuch zum Festlegen von Berechtigungen auf einem KeyContainer in C# ist keine Wirkung

Question

ich in einem Versuch, den folgenden Code bin mit dem Network programmatisch erlaubt Konto Zugriff auf einen Schlüssel haben:

var RSA = new RSACryptoServiceProvider(
    new CspParameters() { 
    KeyContainerName = "MyEncryptionKey", 
    Flags = CspProviderFlags.UseExistingKey | CspProviderFlags.UseMachineKeyStore 
}); 

RSA.CspKeyContainerInfo.CryptoKeySecurity.AddAccessRule(
    new System.Security.AccessControl.CryptoKeyAccessRule(
    new SecurityIdentifier(WellKnownSidType.NetworkServiceSid, null), 
    CryptoKeyRights.GenericAll, 
    AccessControlType.Allow 
) 
); 

Dieser Code läuft ohne Fehler, hat aber keine Auswirkungen auf die Berechtigungen des Schlüsselcontainers.

jedoch das Kommandozeilen-Tool mit aspnet_regiis das Gleiche zu tun, funktioniert perfekt:

aspnet_regiis -pa "MyEncryptionKey" "NetworkService" 

Ich bin mit voller Admin-Rechten ausgeführt wird - wenn ich mit diesen Rechten nicht laufen, dann ist eine Ausnahme geworfen. Ich laufe auch als der Benutzer, der anfänglich den Schlüssel erstellt hat.

Der Schlüsselcontainer hat immer folgende Zugriffsregeln:

S-1-5-18   -> LocalSystem 
S-1-5-32-544  -> Administrators 
S-1-5-5-0-135377 -> MyUser 

Mit aspnet_regiis, die SID, S-1-5-20 zu dieser Liste hinzugefügt wird. Ich kann es nicht vom Code beeinflussen.

Ich habe versucht, die Sicherheits-ID aus der Sid im String-Format, sowie mit SetAccessRule anstelle von AddAccessRule.

Irgendwelche Ideen, wie diese ACL-Liste tatsächlich von Code betroffen ist?

Answer 1

Sie scheinen nicht zu telefonieren. Die Änderungen, die Sie an CryptoKeySecurity vornehmen, werden nicht sofort gespeichert. Sie müssen eine der Methoden Persist(...) verwenden, um die Änderungen tatsächlich zu speichern.

NativeObjectSecurity.Persist Method (String, AccessControlSections)

Es scheint, dass diese API einen eher gewundenen Ansatz folgen der Modifikation. Sie müssen zuerst einen CspParameters erstellen, die erforderlichen Änderungen anwenden und anschließend den Provider anhand dieser Parameter erstellen. Construction ruft ein Update für den Container auf.

var params = new CspParameters 
{ 
    KeyContainerName = "MyEncryptionKey", 
    Flags = CspProviderFlags.UseExistingKey | CspProviderFlags.UseMachineKeyStore  
}; 

params.CryptoKeySecurity.AddAccessRule(
    new System.Security.AccessControl.CryptoKeyAccessRule(
    new SecurityIdentifier(WellKnownSidType.NetworkServiceSid, null), 
    CryptoKeyRights.GenericAll, 
    AccessControlType.Allow 
) 
); 

var RSA = new RSACryptoServiceProvider(params);