加密API研究

（一）Crypto API

1. 简介

（1）微软加密服务体系
微软加密服务体系CryptoAPI的结构如下图所示，微软加密服务体系包含三层结构和两个接口，分别为应用程序层、操作系统层（OS）、加密服务提供者层(Cryptographic Service Provider,CSP)，CryptoAPI接口和加密服务提供者接口(Cryptographic Service Provider Interface,CSPF)

（2）CryptoAPI体系结构
CryptoAPI体系架构共由五大主要部分组成：基本加密函数、证书编/解码函数、证书库管理函数、简单消息函数、底层消息函数。体系结构如下图所系：

基本加密函数：用于选择CSP、建立CSP连接、产生密钥、交换及传输密钥等操作。
证书编/解码函数：用于数据加密、解密、哈希等操作。这类函数支持数据的加密/解密操作；计算哈希、创建和校验数字签名操作；实现证书、证书撤销列表、证书请求和证书扩展等编码和解码操作。
证书库管理函数：用于数字证书及证书库管理等操作。这组函数用于管理证书、证书撤销列表和证书信任列表的使用、存储、获取等。
简单消息函数：用于消息处理，比如消息编码/解码、消息加/解密、数字签名及签名验证等操作。它是把多个底层消息函数包装在一起以完成某个特定任务，方便用户的使用。
底层消息函数：底层消息函数对传输的PKCS#7数据进行编码，对接受到的PKCS#7数据进行解码，并且对接收到的消息进行解码和验证。它可以实现简单消息函数可以实现的所有功能，且提供更大的灵活性，但一般会需要更多的函数调用。

(3) CryptoAPI基本功能
利用CryptoAPI，开发者可以给基于Windows的应用程序添加安全服务，包括：ASN.1编码/解码、数据加密/解密、身份认证、数字证书管理，同时支持PKI、对称密码技术等。

密钥管理
在CryptoAPI中，支持两种类型的密钥：会话密钥、公/私密钥对。会话密钥也成为对称密钥，用于对称加密算法。为了保证密钥的安全性，在CryptoAPI中，这些密钥都保存在CSP内部，用户可以通过CryptExpoetKey以加密密钥快形式导出。公/私钥对用于非对称加密算法。非对称加密算法主要用于加解密会话密钥和数字签名。在CryptoAPI中，一般来说，大多数CSP产生的密钥容器包含两对密钥对，一对用于加密会话密钥，称为交换密钥对，一对用于产生数字签名，称为签名密钥对。在CryptoAPI中，所有的密钥都存储在CSP中，CSP负责密钥的创建，销毁，导入导出等操作。
数据编码/解码
CryptoAPI采用的编码方式为ASN.1，编码规则为DER，表示发送方发送数据时先把数据抽象为ASN.1对象，然后使用DER编码规则把ASN.1对象转化为可传输的0、1串；接受方接受到数据后，利用DER解码规则把0、1串转化为ASN.1对象，然后把ASN.1对象转化为具体应用支持的数据对象。
数据加/解密
在CryptoAPI中约定加密较大的数据块时，采用对称加密算法。通过其封装好的加解密函数来实现数据解加密操作。
哈希与数字签名
哈希与数字签名一般用于数据的完整性验证和身份鉴别。CryptoAPI中，通过其封装好的哈希与数字签名函数来实现相关操作。微软公司提供的CSP产生的数字签名遵循RSA标准（PKCS#6）。
数字证书管理
数字证书主要用于安全通信中的身份鉴别。CryptoAPI中，对数字证书的使用管理函数分为证书与证书库函数、证书验证函数两大部分。

2. 体系结构

作为一部分 Microsoft Windows 提供的应用程序编程接口 (API)，CryptoAPI 提供了一组函数。这些函数允许应用程序在对用户的敏感私钥数据提供保护时，以灵活的方式对数据进行加密或数字签名。实际的加密操作是由称为加密服务提供程序 (CSP) 的独立模块执行。

CryptoAPI是一组函数，为了完成数学计算，必须具有密码服务提供者模块(CSP)。Microsoft通过捆绑RSA Base Provider在操作系统级提供一个CSP，使用RSA公司的公钥加密算法，更多的CSP可以根据需要增加到应用中。事实上，CSP有可能与特殊硬件设备(如智能卡)一起来进行数据加密。CryptoAPI接口允许简单的函数调用来加密数据，交换公钥，散列一个消息来建立摘要以及生成数字签名。它还提供高级的管理操作，如从一组可能的CSP中使用一个CSP。此外，CryptoAPI还为许多高级安全性服务提供了基础，包括用于电子商务的SET，用于加密客户机/服务器消息的PCT，用于在各个平台之间来回传递机密数据和密钥的PFX，代码签名等等。CryptoAPI的体系结构如下图：