Кроссплатформенная криптография в .NET

Криптографические операции в .NET выполняются библиотеками операционной системы (ОС). Эта зависимость имеет преимущества:

• Приложения .NET получают преимущества надежности ОС. Обеспечение безопасности библиотек шифрования от уязвимостей является высоким приоритетом для поставщиков ОС. Для этого они предоставляют обновления, которые должны применять системные администраторы.
• Приложения .NET имеют доступ к проверенным алгоритмам FIPS, если библиотеки ОС проверяются с проверкой FIPS.

Зависимость от библиотек ОС также означает, что приложения .NET могут использовать только криптографические функции, поддерживаемые ОС. Хотя все платформы поддерживают некоторые основные функции, некоторые функции, поддерживаемые .NET, не могут использоваться на некоторых платформах. В этой статье определены функции, поддерживаемые на каждой платформе.

В этой статье предполагается, что у вас есть опыт работы с криптографией в .NET. Дополнительные сведения см. в статье .NET Cryptography Model and .NET Cryptographic Services.

Алгоритмы хэширования и проверки подлинности сообщений

Все классы хэш-алгоритма и хэш-проверки подлинности сообщений (HMAC), включая *Managed классы, откладывают в библиотеки ОС за исключением .NET в браузере WASM. В браузере WASM, SHA-1, SHA-2-256, SHA-2-384, SHA-2-512 и эквиваленты HMAC реализуются с помощью управляемого кода.

¹Доступно начиная с .NET 9.

²Расширяемая выходная функция потоковой передачи (XOF) доступна начиная с .NET 9. В Linux для этого требуется OpenSSL 3.3.

Симметричное шифрование

Базовые шифры и цепочка выполняются системными библиотеками.

Шифрование, прошедшее проверку подлинности

Поддержка шифрования с проверкой подлинности (AE) предоставляется для AES-CCM, AES-GCM и ChaCha20Poly1305 через System.Security.Cryptography.AesCcmSystem.Security.Cryptography.AesGcmклассы и System.Security.Cryptography.ChaCha20Poly1305 классы соответственно.

Так как для поддержки алгоритма требуются более новые API платформы для проверки подлинности, поддержка может не присутствовать на всех платформах. IsSupported Статичное свойство для классов алгоритма можно использовать для обнаружения во время выполнения, если текущая платформа поддерживает алгоритм или нет.

AES-CCM в macOS

До .NET 10 AES-CCM работал, если была представлена поддерживаемая версия OpenSSL, а загрузчик динамической библиотеки мог его найти. Поддержка OpenSSL в macOS была удалена в .NET 10.

AES-GCM и ChaCha20Poly1305 в iOS, tvOS и MacCatalyst

Поддержка AES-GCM и ChaCha20Poly1305 доступна начиная с .NET 9 в iOS и tvOS 13.0 и более поздних версиях, а также для всех версий MacCatalyst.

Ключи AES-CCM, nonces и теги

• Размеры ключей

  AES-CCM работает с 128, 192 и 256-разрядными ключами.

• Размеры nonce

  Класс AesCcm поддерживает 56, 64, 72, 80, 88, 96 и 104-разрядные (7, 8, 9, 10, 11, 12 и 13-байтов).

• Размеры тегов

  Класс AesCcm поддерживает создание или обработку тегов 32, 48, 64, 80, 96, 112 и 128-разрядных (4, 8, 10, 12, 14 и 16 байтов).

Ключи AES-GCM, nonces и теги

• Размеры ключей

  AES-GCM работает с 128, 192 и 256-разрядными ключами.

• Размеры nonce

  Класс AesGcm поддерживает только 96-разрядные (12-байтовые) nonces.

• Размер тегов в Windows и Linux, AesGcm класс поддерживает создание или обработку тегов 96, 104, 112, 120 и 128-разрядных (12, 13, 14, 15 и 16-байтов). На платформах Apple размер тега ограничен 128-разрядным (16-байтом) из-за ограничений платформы CryptoKit.

Ключи ChaCha20Poly1305, nonces и теги.

ChaCha20Poly1305 имеет фиксированный размер для тега ключа, nonce и проверки подлинности. ChaCha20Poly1305 всегда использует 256-разрядный ключ, 96-разрядный (12-байтовый) и 128-разрядный (16-байтовый) тег.

Асимметричная криптография

В этом разделе содержатся следующие подразделы:

• RSA
• ECDSA
• ECDH
• DSA

RSA

Создание ключей RSA (Rivest-Shamir-Adleman) выполняется библиотеками ОС и зависит от их размеров и характеристик производительности.

Операции с ключами RSA выполняются библиотеками ОС, а типы ключей, которые могут быть загружены, подлежат требованиям к ОС.

.NET не предоставляет "необработанные" (непадные) операции RSA.

Поддержка заполнения и дайджеста зависит от платформы:

¹ Windows CryptoAPI (CAPI) поддерживает подпись PKCS1 с алгоритмом SHA-2. Но отдельный объект RSA может быть загружен в поставщик служб шифрования (CSP), который не поддерживает его.

RSA в Windows

• Windows CryptoAPI (CAPI) используется при каждом new RSACryptoServiceProvider() использовании.
• Api шифрования Windows Next Generation (CNG) используется при new RSACng() каждом использовании.
• Объект, возвращаемый RSA.Create внутренней мощностью Windows CNG. Это использование Windows CNG является подробной реализацией и подлежит изменению.
• Метод GetRSAPublicKey расширения для X509Certificate2 возврата экземпляра RSACng . Это использование RSACng является подробным описанием реализации и подлежит изменению.
• Метод GetRSAPrivateKey расширения для X509Certificate2 текущего RSACng случая предпочитает экземпляр, но если RSACng не удается открыть ключ, RSACryptoServiceProvider будет предпринята попытка. Предпочтительный поставщик является подробной информацией о реализации и подлежит изменению.

Собственный взаимодействие RSA

.NET предоставляет типы, позволяющие программам взаимодействовать с библиотеками ОС, которые использует код шифрования .NET. Используемые типы не преобразуются между платформами и должны использоваться только при необходимости.

¹ В windows RSACryptoServiceProvider можно использовать для совместимости с существующими программами. В этом случае любой метод, требующий взаимодействия ОС, например открытие именованного ключа, вызывает исключение PlatformNotSupportedException.

² В macOS до .NET 10 RSAOpenSsl работал, если был установлен OpenSSL и можно было найти соответствующий файл библиотеки libcrypto dylib с помощью динамической загрузки библиотек. Эта поддержка была удалена в .NET 10.

ECDSA

Создание ключа ECDSA (алгоритм цифровой подписи с многоточием) выполняется библиотеками ОС и зависит от их размеров и характеристик производительности.

Ключевые кривые ECDSA определяются библиотеками ОС и подвергаются их ограничениям.

¹ Дистрибутивы Linux не поддерживают одинаковые именованные кривые.

² Поддержка именованных кривых добавлена в Windows CNG в Windows 10. Дополнительные сведения см. в разделе CNG с именованными эллиптических кривыми. Именованные кривые недоступны в более ранних версиях Windows, за исключением трех кривых в Windows 7.

³ Экспорт с явными параметрами кривой требует поддержки библиотеки ОС, которая недоступна на платформах Apple или более ранних версиях Windows.

^{Поддержка 4} Android для некоторых кривых зависит от версии Android. Распространители Android могут также добавлять или удалять кривые из сборки Android.

Собственный взаимодействие ECDSA

.NET предоставляет типы, позволяющие программам взаимодействовать с библиотеками ОС, которые использует код шифрования .NET. Используемые типы не преобразуются между платформами и должны использоваться только непосредственно при необходимости.

* На macOS до .NET 10 ECDsaOpenSsl работал, если OpenSSL был установлен и соответствующий libcrypto dylib можно было найти с помощью динамической загрузки библиотеки. Эта поддержка была удалена в .NET 10.

ECDH

Создание ключей ECDH (Elliptic Curve Diffie-Hellman) выполняется библиотеками ОС и зависит от их ограничений размера и характеристик производительности.

Класс ECDiffieHellman поддерживает "необработанное" значение вычисления ECDH, а также с помощью следующих функций производного ключа:

• HASH(Z)
• HASH(prepend || Z || добавление)
• HMAC(key, Z)
• HMAC(key, prepend || Z || добавление)
• HMAC(Z, Z)
• HMAC(Z, предустановленная || Z || добавление)
• Tls11Prf(label, seed)

Ключевые кривые ECDH определяются библиотеками ОС и подвергаются их ограничениям.

¹ Дистрибутивы Linux не поддерживают одинаковые именованные кривые.

² Поддержка именованных кривых добавлена в Windows CNG в Windows 10. Дополнительные сведения см. в разделе CNG с именованными эллиптических кривыми. Именованные кривые недоступны в более ранних версиях Windows, за исключением трех кривых в Windows 7.

³ Экспорт с явными параметрами кривой требует поддержки библиотеки ОС, которая недоступна на платформах Apple или более ранних версиях Windows.

^{Поддержка 4} Android для некоторых кривых зависит от версии Android. Распространители Android могут также добавлять или удалять кривые из сборки Android.

Собственный взаимодействие ECDH

.NET предоставляет типы, позволяющие программам взаимодействовать с библиотеками ОС, которые использует .NET. Используемые типы не преобразуются между платформами и должны использоваться только непосредственно при необходимости.

* До выхода .NET 10 в macOS ECDiffieHellmanOpenSsl работал, если OpenSSL был установлен и соответствующий libcrypto dylib можно было найти через динамическую загрузку библиотек. Эта поддержка была удалена в .NET 10.

DSA

Создание ключей DSA (алгоритм цифровой подписи) выполняется системными библиотеками и зависит от ограничений размера и характеристик производительности.

* macOS загружает ключи DSA больше 1024 бит, но поведение этих ключей не определено. Они не ведут себя в соответствии с FIPS 186-3.

DSA в Windows

• Windows CryptoAPI (CAPI) используется при каждом new DSACryptoServiceProvider() использовании.
• Api шифрования Windows Next Generation (CNG) используется при new DSACng() каждом использовании.
• Объект, возвращаемый DSA.Create внутренней мощностью Windows CNG. Это использование Windows CNG является подробной реализацией и подлежит изменению.
• Метод GetDSAPublicKey расширения для X509Certificate2 возврата экземпляра DSACng . Это использование DSACng является подробным описанием реализации и подлежит изменению.
• GetDSAPrivateKey Метод расширения для X509Certificate2 предпочитаемого экземпляраDSACng, но если DSACng не удается открыть ключ, DSACryptoServiceProvider будет предпринята попытка. Предпочтительный поставщик является подробной информацией о реализации и подлежит изменению.

Собственный взаимодействие DSA

.NET предоставляет типы, позволяющие программам взаимодействовать с библиотеками ОС, которые использует код шифрования .NET. Используемые типы не преобразуются между платформами и должны использоваться только непосредственно при необходимости.

¹ В windows DSACryptoServiceProvider можно использовать для совместимости с существующими программами. В этом случае любой метод, требующий системного взаимодействия, например открытие именованного ключа, вызывает исключение PlatformNotSupportedException.

² В macOS до .NET 10 DSAOpenSsl работал, если был установлен OpenSSL и соответствующий libcrypto dylib можно было найти с помощью динамической загрузки библиотеки. Эта поддержка была удалена в .NET 10.

После квантовой криптографии

Постквантовые алгоритмы доступны начиная с .NET 10. Они также доступны для .NET Framework с помощью пакета NuGet Microsoft.Bcl.Cryptography. В следующей таблице поддержки указывается поддержка платформы встроенных компонентов шифрования операционной системы, например созданных из Generate или ImportFromPem. Реализации, производные от базового класса, могут иметь разные характеристики поддержки.

Для встроенных алгоритмов доступно статическое свойство, с помощью которого можно определить, поддерживает ли платформа любой из наборов параметров.

Собственные типы взаимодействия для алгоритмов post-quantum не поддерживают создание ключей или импорт. Они существуют специально для сценариев взаимодействия с собственными типами платформ, такими как EVP_PKEY OpenSSL или CngKey Windows.

ML-KEM

Нативная интероперабельность ML-KEM

• MLKemOpenSsl: OpenSSL 3.5.0+
• MLKemCng: Участники программы Windows 11 Insider (Последняя сборка)

ML-DSA

ML-DSA имеет чистый и предхешированный вариант (HashML-DSA). В следующей таблице указаны как оригинальные, так и прехэшированные варианты.

¹ Поддержка внешнего Mu предназначена для подписывания и проверки только Mu. Вычисление Mu не поддерживается.

Нативная межоперабельность ML-DSA

• MLDsaOpenSsl: OpenSSL 3.5.0+
• MLDsaCng: Участники программы Windows 11 Insider (новейшая версия)

SLH-DSA

SLH-DSA имеет основной и предхешируемый варианты (HashSLH-DSA). В следующей таблице отражены как необработанные, так и прехешированные варианты.

Встроенная совместимость SLH-DSA

• SlhDsaOpenSsl: OpenSSL 3.5.0+
• SlhDsaCng: не поддерживается

Составные ML-DSA

Композитное взаимодействие ML-DSA

• CompositeMLDsaCng: не поддерживается

Сертификаты X.509

Большая часть поддержки сертификатов X.509 в .NET поставляется из библиотек ОС. Чтобы загрузить сертификат в X509Certificate2 .NET или X509Certificate экземпляр, сертификат должен быть загружен базовой библиотекой ОС.

Чтение PKCS12/PFX

Запись PKCS12/PFX

macOS не может загружать закрытые ключи сертификата без объекта цепочки ключей, который требует записи на диск. Цепочки ключей создаются автоматически для загрузки PFX и удаляются, когда они больше не используются. Так как параметр X509KeyStorageFlags.EphemeralKeySet означает, что закрытый ключ не должен быть записан на диск, утверждая, что флаг в macOS приводит к тому, что он приводит к PlatformNotSupportedException.

Запись коллекции сертификатов PKCS7

Windows и Linux выдают большие двоичные объекты PKCS7 с кодировкой DER. macOS выдает большие двоичные объекты pKCS7 с неограниченной длиной в кодировке CER.

X509Store

В X509Store Windows класс представляет API Магазина сертификатов Windows. Эти API работают так же в .NET Core и .NET 5, что и в платформа .NET Framework.

В X509Store Windows класс представляет собой проекцию решений доверия системы (только для чтения), решений доверия пользователей (чтение и запись) и хранилища ключей пользователя (чтение и запись).

В следующих таблицах показано, какие сценарии поддерживаются на каждой платформе. Для неподдерживаемых сценариев (❌ в таблицах) CryptographicException создается исключение.

Мой магазин

В Linux хранилища создаются при первой записи и по умолчанию не существуют пользовательские хранилища, поэтому открытие CurrentUser\My сбоем ExistingOnly может завершиться ошибкой.

В macOS CurrentUser\My хранилище — это цепочка ключей по умолчанию пользователя, которая по умолчанию.login.keychain Магазин LocalMachine\My .System.keychain

Корневое хранилище

В Linux LocalMachine\Root хранилище является интерпретацией пакета ЦС в пути по умолчанию для OpenSSL.

В macOS CurrentUser\Root хранилище представляет собой интерпретацию SecTrustSettings результатов для домена доверия пользователей. Хранилище LocalMachine\Root представляет собой интерпретацию SecTrustSettings результатов для доменов доверия администратора и системы.

Промежуточное хранилище

В Linux CurrentUser\Intermediate хранилище используется в качестве кэша при скачивании промежуточных ЦС своими записями доступа к данным центра в успешной сборке X509Chain. Хранилище LocalMachine\Intermediate — это интерпретация пакета ЦС в пути по умолчанию для OpenSSL.

В macOS CurrentUser\Intermediate магазин рассматривается как пользовательское хранилище. Сертификаты, добавленные в это хранилище, не влияют на сборку цепочки X.509.

Запрещенное хранилище

В Linux Disallowed магазин не используется в создании цепочки и пытается добавить в него CryptographicExceptionсодержимое. При CryptographicException открытии Disallowed хранилища создается исключение, если оно уже приобрело содержимое.

В macOS хранилища CurrentUser\Disallowed и LocalMachine\Disallowed являются интерпретациями соответствующих результатов SecTrustSettings для сертификатов, для которых задано Always Denyзначение доверия.

Несуществующее хранилище

В macOS создание пользовательского хранилища с помощью API X509Store поддерживается только для CurrentUser расположения. Он создаст новую цепочку ключей без пароля в каталоге цепочки ключей пользователя (~/Library/Keychains). Чтобы создать цепочку ключей с паролем, можно использовать P/Invoke SecKeychainCreate . Аналогичным образом SecKeychainOpen можно использовать для открытия цепочки ключей в разных расположениях. IntPtr Полученный результат можно передать для new X509Store(IntPtr) получения хранилища, поддерживающего чтение и запись, при условии разрешений текущего пользователя.

X509Chain

macOS не поддерживает использование автономных списков отзыва сертификатов, поэтому X509RevocationMode.Offline рассматривается как X509RevocationMode.Online.

macOS не поддерживает время ожидания, инициированное пользователем, в CRL (список отзыва сертификатов) / OCSP (протокол состояния онлайн-сертификатов) / AIA (доступ к данным центра), поэтому X509ChainPolicy.UrlRetrievalTimeout игнорируется.

Сертификаты шифрования после квантовых вычислений и PKCS12/PFX

Поддержка постквантовых сертификатов также требует поддержки от примитивного алгоритма.

Дополнительные ресурсы

• Модель шифрования .NET
• Криптографические службы .NET
• Timing vulnerabilities with CBC-mode symmetric decryption using padding (Уязвимости в учете времени при симметричной расшифровке в режиме CBC с использованием заполнения).
• защита основных данных ASP.NET