LetsEncrypt-Win-Simple项目中CNG密钥存储问题的分析与解决

问题背景

在Windows证书管理领域，微软提供了两种不同的加密API实现方式：传统的CryptoAPI和下一代CNG（Cryptography API: Next Generation）。CNG作为更现代的解决方案，提供了更好的安全性和灵活性。LetsEncrypt-Win-Simple作为Windows平台上流行的ACME客户端工具，自2.2.6.1版本起就支持通过配置选项选择使用CNG存储私钥。

问题现象

用户在从2.2.6.1版本升级到2.2.9.1版本后发现，尽管在settings.json配置文件中明确设置了"UseNextGenerationCryptoApi": true，但新生成的证书私钥仍然被存储在传统的CryptoAPI密钥存储位置（C:\ProgramData\Application Data\Microsoft\Crypto\RSA\MachineKeys\），而不是预期的CNG存储位置（C:\ProgramData\Application Data\Microsoft\Crypto\Keys\）。

技术分析

1. 密钥存储机制差异：

   • CryptoAPI使用RSA密钥存储，路径中包含"RSA"标识
   • CNG采用更通用的密钥存储机制，路径中不包含特定算法标识

2. 版本行为变化：

   • 2.2.6.1版本：正确遵循UseNextGenerationCryptoApi配置
   • 2.2.9.1版本：忽略该配置项，默认使用传统存储方式

3. 影响范围：

   • 影响Windows Server 2019和2022等多个版本
   • 与证书存储位置设置无关（DefaultStore设置不影响此问题）

解决方案

项目维护团队已确认这是一个确实存在的缺陷，并在simple-acme项目的2.3.1.9版本中修复了此问题。建议遇到此问题的用户：

1. 升级到包含修复的版本
2. 对于已生成的证书，可考虑重新申请以确保使用正确的密钥存储方式

最佳实践建议

1. 密钥存储选择：

   • 对于新系统，建议优先使用CNG存储
   • 旧系统如需兼容性，可暂时使用传统存储

2. 配置验证：

   • 部署后应检查密钥实际存储位置
   • 可通过证书管理器工具验证密钥属性

3. 安全考虑：

   • CNG提供更强的安全特性
   • 确保存储目录有适当的访问控制

总结

密钥存储机制的选择对证书管理和系统安全有重要影响。LetsEncrypt-Win-Simple工具的这一缺陷修复，确保了用户配置能够正确影响密钥存储行为，为Windows服务器提供了更可靠的证书管理能力。建议所有用户及时更新到修复版本，以获得最佳的安全性和功能性体验。