Opis CryptoAPI.pdf

3 ROZDZIA 

Biblioteka CryptoAPI 

Poniszy rozdzia „Analiza biblioteki CryptoAPI” ma na celu objanienie 

uytkownikowi, czym tak naprawd jest wspomniana biblioteka, jakie moliwoci 

posiada oraz w jakim stopniu przydatna bdzie przy projektowaniu aplikacji oraz 

podczas póniejszych implementacji. 

3.1 Opis biblioteki CryptoAPI 

Biblioteka CryptoAPI jest interfejsem programowania aplikacji (ang. 

Application Programing Interface – API 47 ) udostpnianym jako cz systemu 

Microsoft Windows. Interfejs CryptoAPI dostarcza zestaw funkcji, które pozwalaj 

aplikacjom wykorzystywa metody kryptograficzne podnoszce bezpieczestwo 

aplikacji, zapewniajc jednoczenie ochron prywatnych danych uytkowników. 48 

Systemy z rodziny Windows byy wyposaone w pakiet CryptoAPI poczwszy od 

wersji 95 oraz NT 4.0 z zainstalowanym produktem (przegldark internetow) Internet 

Explorer w wersji 4.0. 

W systemie Windows NT 4.0 znalazy si pierwsze elementy, pozwalajce na 

korzystanie z zabezpiecze za pomoc klucza publicznego w skad których wchodz: 

interfejs CryptoAPI, wspomagajcy programist w zakresie generowania i 

wymiany kluczy, podpisów elektronicznych oraz szyfrowania danych, za 

pomoc architektury usugodawcy do obsugi instalowalnych usugodawców 

kryptograficznych, 

obsuga certyfikatów X.509 i standardów PKCS przez interfejs CryptoAPI. 49 

47 Zestaw procedur, których uywa aplikacja, aby da i korzysta z usug niszego poziomu 

wykonywanych przez system operacyjny komputera. Procedury te dotycz zwykle zada konserwacji, na 

przykad zarzdzania plikami i wywietlania informacji. 

ródo: http://centrumxp.pl/slownik/index.php?def=dc_api 

48 http://centrumxp.pl/slownik/index.php?def=cryptoapi 

49 Ian McLean, „Bezpieczestwo W Windows 2000.Czarna Ksiga” 

36

Kiedy w systemie Windows NT 4.0 wprowadzono do interfejsu CryptoAPI 

systemow obsug kryptografii (ang. low-level cryptography support) i moduowych 

usugodawców usug kryptograficznych (ang. modular Cryptographic Service 

Providers) moliwe stao si uycie zabezpiecze opartych na kryptografii. Rozwinity 

system Windows 2000 korzysta ju z wprowadzenia do interfejsu CryptoAPI 

zarzdzania certyfikatami (ang. CryptoAPI Certificate Management) w celu obsugi 

zabezpiecze wykorzystujcych klucz publiczny. 

 

 

 

 

Wród nowych cech interfejsu CryptoAPI s m.in.: 

obsuga certyfikatów w standardzie X.509 v.3 oraz list uniewaniania 

certyfikatów (ang. CRLs) w standardzie X.509 v.2 poprzez wspólne funkcje 

kodowania-dekodowania, analiz syntaktyczn (ang. parsing) certyfikatów oraz 

weryfikacj, 

obsuga da certyfikatów PKCS#10 50 i PKCS #7 51 dla danych podpisanych 

(ang. signed data) i danych opakowanych (ang. enveloped data), 

zdolno do dodawania i odzyskiwania certyfikatów oraz list uniewaniania 

certyfikatów ze skadów certyfikatów (ang. certificate stores), lokalizacji 

certyfikatów wedug atrybutów i przydzielania kluczy prywatnych, 

obsuga weryfikowania podpisu cyfrowego (ang. digital signature) i 

szyfrowania danych za pomoc funkcji wyszego poziomu dostpnych dla 

aplikacji uytkowych napisanych w HTML-u, Javie, Visual Basic-u (Scripting 

Edition — VBScript) i C/C++. 52 

Aktualnie, CryptoAPI w wersji 2 mog wykorzystywa aplikacje dostosowane 

do systemów Microsoft Windows NT, Microsoft Windows oraz Microsoft Windows 

Server 2003. 

Twórcy aplikacji mog uywa funkcji CryptoAPI, w celu dodania do 

oprogramowania zabezpiecze opartych na szyfrowaniu i deszyfrowaniu algorytmami 

symetrycznymi i asymetrycznymi, uwierzytelnianiu przy uyciu cyfrowych 

certyfikatów, generowaniu funkcji skrótu - bez szczegóowej znajomoci implementacji 

50 PKCS#10 v1.7: Certification Request Syntax Standard, RSA Laboratories, 26.05.2000 r. 

51 PKCS#7 v1.5 Cryptographic Message Syntax, RSA Laboratories, 01.11.1993 r. 

52 Ian McLean, „Bezpieczestwo W Windows 2000.Czarna Ksiga” 

37

poszczególnych operacji kryptograficznych, poniewa aplikacja wykorzystujca funkcje 

kryptograficzne ma do dyspozycji gotowe mechanizmy. Wszystkie operacje 

wykonywane s za porednictwem dostawców usug kryptograficznych (ang. 

Cryptographic Service Providers - CSP). S to niezalene moduy (istnieje moliwo 

rozbudowania systemu o dodatkowe moduy dostawców), zawierajce gotowe 

implementacje algorytmów kryptograficznych jak równie zarzdzajce kluczami 

uytkownika. Wynika wic, e CryptoAPI jest interfejsem pomidzy aplikacj a 

wybranym dostawc usug kryptograficznych. 

3.1.1 Architektura CryptoAPI 

Rysunek 3.1 Architektura CryptoAPI 

ródo: Platform SDK: Cryptography, „CryptoAPI System Architecture”, 

http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptoapi_system_architecture.asp 

38

W ogólnej architekturze CryptoAPI (rys. 3.1) naley wyróni trzy warstwy: 

1) warstwa aplikacji - w tej najwyszej warstwie dziaa aplikacja, 

wykorzystujca mechanizmy kryptograficzne; 

2) warstwa systemowa - jest stykiem aplikacji z systemem, udostpnia operacje 

kryptograficzne wykorzystywane przez aplikacj; 

3) warstwa dostawców usug kryptograficznych - zawiera moduy dostawców 

usug kryptograficznych, które wykonuj waciwe operacje szyfrowania, 

podpisywania i generowania kluczy. 

Ogromn zalet tej architektury jest moliwo wymiany i wyboru rónych 

dostawców, dziki czemu uzyskuje si niezaleno od konkretnej realizacji i 

nieograniczone moliwoci rozszerzania CryptoAPI o nowe implementacje algorytmów 

czy urzdze kryptograficznych w taki sposób, e sama aplikacja korzystajca z tego 

mechanizmu nie wymaga modyfikacji. Wspópraca np. z kryptograficznymi kartami 

elektronicznymi (ang. smart card 53 ) realizowana jest wanie za pomoc podczenia 

odpowiedniego moduu CSP dostarczanego wraz z konkretn implementacj karty i 

czytnika. 54 

Jak wynika z trójwarstwowej architektury biblioteki CryptoAPI, najwaniejsz i 

najbardziej zoon warstw jest warstwa systemowa skadajca si z nastpujcych 

podstawowych obszarów funkcyjnych: 

1) Podstawowe funkcje kryptograficzne (ang. base bryptographic functions) 

- zwane inaczej funkcjami kontekstowymi, tylko przy pomocy tych funkcji 

moliwe jest odwoanie si do dostawców usug kryptograficznych i wybór 

specyficznego dostawcy, speniajcego wymagan funkcjonalno. 

Zawieraj take funkcje generujce klucze - uywane do tworzenia i 

przechowywania kluczy kryptograficznych jak równie do ich wymiany i 

transmisji. 

53 Urzdzenie o wielkoci karty kredytowej, które dziki kodowi dostpu jest uywane do 

uwierzytelniania opartego na certyfikatach i skróconej rejestracji w zrzeszeniu. Karty inteligentne 

zapewniaj bezpieczne przechowywanie certyfikatów, kluczy publicznych i prywatnych, hase i 

informacji osobistych innego typu. Karta inteligentna jest odczytywana przez podczony do komputera 

czytnik kart inteligentnych. 

ródo: http://centrumxp.pl/slownik/index.php?def=smart_card 

54 http://www.polcert.pl/biuletyn/index_11.html 

39

2) Funkcje kodowania/dekodowania certyfikatów (ang. certificate 

encode/decode functions) – uywane podczas szyfrowania i deszyfrowania 

danych; 

3) Funkcje magazynu certyfikatów (ang. certificate store functions) - 

uywane do zarzdzania zbiorami cyfrowych certyfikatów, umoliwiaj 

sprawdzanie certyfikatów zawartych w dokumentach; 

4) Uproszczone funkcje wiadomoci (ang. simplified message functions) - 

grupa funkcji wysokiego poziomu, sucych do tworzenia i korzystania z 

kluczy, do szyfrowania i deszyfrowania, skadania oraz weryfikacji 

cyfrowych podpisów; 

5) Niskopoziomowe funkcje wiadomoci (ang. low level message functions) – 

funkcje uywane podczas wszystkich zada wykonywanych przez 

uproszczone funkcje wiadomoci, umoliwiaj wiksz kontrol nad 

wykonywanymi operacjami ale wymagaj wikszej iloci wywoa funkcji.. 

Aplikacja komunikuje si z kadym z powyszych obszarów, nie moe jednak 

bezporednio komunikowa si z moduami CSP. Taki rodzaj komunikacji odbywa si 

zawsze przy pomocy obszaru podstawowych funkcji kryptograficznych, poprzez które 

przekazywany jest parametr odpowiedniego moduu CSP do wykorzystania. 

3.2 Dostawcy usug kryptograficznych 

Dostawcy usug kryptograficznych dostarczaj rónorodnych implementacji 

kryptograficznych, niektóre oferuj silne algorytmy inne przystosowane s do pracy z 

komponentami sprztowymi, takimi jak karty elektroniczne. Moduy dostawców usug 

kryptograficznych zawieraj implementacje algorytmów i standardów 

kryptograficznych, aplikacja jednak w aden sposób nie komunikuje si z nimi 

bezporednio - w zamian, aplikacja wywouje funkcje CryptoAPI udostpnione przez 

system operacyjny, który filtruje te wywoania i przekazuje je do odpowiednich 

moduów CSP poprzez interfejs CryptoSPI (ang. System Program Interface - SPI), 

zgodnie ze schematem na rys. 3.2. 

40

Dostp, jaki aplikacje posiadaj do CSP jest starannie zaplanowany i obejmuj 

go nastpujce restrykcje: 

aplikacje nie maj bezporedniego dostpu do kluczowych elementów CSP, 

uywaj jedynie „przezroczystych” deskryptorów, nie istnieje wic ryzyko 

uszkodzenia CSP; 

aplikacje nie okreslaj detali operacji kryptograficznych, interfejs CSP pozwala 

aplikacji wybra algorytm kryptograficzny, ale implementacja kadej operacji 

kryptograficznej jest opisana i dokonywana w CSP; 

aplikacje nie przechowuj dokumentów zwizanych z tosamoci uytkownika, 

np. hasa i wszystkie operacje uwierzytelniajce wykonywane s poprzez CSP. 

Rysunek 3.2 Architektura CSP 

ródo: Platform SDK: Cryptography, “CSP Architectural Overview”, 

http://msdn.microsoft.com/library/en-us/seccrypto/security/csp_architectural_overview.asp 

Moduy CSP przechowuj pary kluczy prywatnych i publicznych uywanych 

pomidzy sesjami w pamici trwaej, w zalenoci od implementacji - programowej lub 

sprztowej - odpowiednio w postaci zaszyfrowanej w rejestrze systemu lub w 

przystosowanym do tego sprzcie. Pary kluczy przechowywane s w obiektach 

nazywanych kontenerami kluczy (ang. key containers), modu CSP zawiera po jednym 

41

kontenerze dla kadego uytkownika, który korzysta z dostawcy usug 

kryptograficznych. Kady kontener kluczy moe przechowywa jedn par kluczy 

wspieran przez danego dostawc. 

Klucze sesyjne (oraz opisane póniej wartoci funkcji skrótu) natomiast 

utrzymywane s w pamici ulotnej, po kadym zakoczeniu sesji musz zosta 

zniszczone. Istnieje jednak sposób na przechowywanie kluczy sesyjnych pomidzy 

sesjami. Aplikacja moe wyeksportowa klucz z bazy kluczy CSP do specjalnej formy 

przechowywania nazwanej KeyBLOB 55 . Jest to zaszyfrowana posta klucza, która moe 

by przechowywana poza moduem CSP, utworzona przy pomocy okrelonej funkcji 

CryptoAPI (rozdz. 3.3.3.3). Istniej trzy podstawowe formy KeyBLOB, pierwsza 

nazwana Public KeyBLOB - suca do przechowywania jednego z pary kluczy 

asymetrycznych, czyli klucza publicznego, druga nazwana Private KeyBLOB - 

suca do przechowywania kompletnej pary kluczy asymetrycznych, oraz trzecia 

nazwanaSimple KeyBLOB, której zadaniem jest przechowywanie klucza sesyjnego. 

Kady z dostawców usug kryptograficznych posiada baz kluczy (rys. 3.3). 

Kada baza kluczy zawiera jeden lub wicej kontenerów z kluczami dla danego 

uytkownika. Kady kontener posiada unikalna nazw (najczciej jest to nazwa danego 

uytkownika w systemie), któr aplikacja przekazuje w czasie dziaania, jako argument 

do specjalnej funkcji w celu uzyskania poczenia z danym kontenerem. 

55 Kady dostawca okrela swoj wasn struktur formy KeyBLOB 

42

Rysunek 3.3 Zawarto bazy danych kluczy 

ródo: Robert Coleridge, „The Cryptography API, or How to Keep a Secret”, 

http://msdn.microsoft.com/library/en-us/dncapi/html/msdn_cryptapi.asp?frame=true 

3.2.1 Typy dostawców usug kryptograficznych 

Istnieje wiele rónych standardów formatów danych oraz protokoów, które 

zazwyczaj zorganizowane s w grupy bd rodziny, kada z nich o ustalonych 

formatach danych oraz sposobach obchodzenia si z nimi. Nawet, gdy dwie rodziny 

uywaj tego samego algorytmu, np. RC2 - czsto uywaj go w rónych trybach, z 

kluczami o rónej dugoci. CryptoAPI zaprojektowane jest w ten sposób, by dostawca 

usug kryptograficznych reprezentowa okrelon rodzin. 

Gdy aplikacja czy si z okrelonym typem CSP, kada z funkcji CryptoAPI 

bdzie uywana wedug sposobu opisanego w okrelonym CSP. Aplikacja wybiera 

dostawc specyfikujc okrelone cechy przedstawione w tab. 3.1: 

Cecha 

Algorytm wymiany klucza 

Algorytm cyfrowego podpisu 

Format KeyBLOB 

Opis 

Kady z dostawców specyfikuje jeden i tylko jeden algorytm 

wymiany kluczy. Kady CSP okrelonego typu musi mie 

zaimplementowany ten algorytm. 

Kady z dostawców specyfikuje jeden i tylko jeden algorytm 

wymiany kluczy. Kady CSP okrelonego typu musi mie 

zaimplementowany ten algorytm. 

Typ dostawcy okrela format struktury KeyBLOB uywanej do 

43

Format cyfrowego podpisu 

Schemat uzyskiwania klucza 

sesyjnego 

Dugo klucza 

Tryby domylne 

eksportowania kluczy z CSP i do importowania ich do CSP 

Typ dostawcy okrela format cyfrowego podpisu. Zapewnia to 

kompatybilno w tworzeniu i weryfikowaniu podpisu przez CSP 

tego samego typu. 

Typ dostawcy okrela metod uywan do uzyskania klucza 

sesyjnego z wartoci funkcji skrótu. 

Typ dostawcy specyfikuje dugo kluczy publicznych i 

prywatnych oraz kluczy sesyjnych 

Typ dostawcy czsto specyfikuje domylny tryb rónych opcji, 

takich jak tryb szyfrowania. 

Tabela 3.1 Opis cech wg których aplikacja wybiera dostawc CSP 

ródo: Opracowanie wasne na podstawie http://msdn.microsoft.com/library/en-us/seccrypto/security/ 

Obecnie istniej nastpujce predefiniowane typy dostawców usug 

kryptograficznych (istnieje take czciowa kompatybilno pomidzy typami 

dostawców naley jednak uywa jednego z typów w ramach na przykad wymiany 

kluczy pomidzy aplikacjami): 

1. PROV_RSA_FULL - wspiera cyfrowe podpisywanie oraz szyfrowanie 

danych, co uwaane jest za gówny cel CSP. Do wszystkich operacji na 

kluczach publicznych uywany jest algorytm klucza publicznego RSA 

2. PROV_RSA_AES wspiera cyfrowe podpisywanie oraz szyfrowanie 

danych, co uwaane jest za gówny cel CSP. Do wszystkich operacji na 

kluczach publicznych uywany jest algorytm klucza publicznego RSA 

3. PROV_RSA_SIG jest podtypem PROV_RSA_FULL. Wspiera jedynie 

funkcje i algorytmy potrzebne do funkcji skrótu oraz cyfrowych podpisów 

4. PROV_RSA_SCHANNEL wspiera protokoy RSA oraz Schannel 

5. PROV_DSS podobnie jak PROV_RSA_SIG wspiera jedynie funkcje skrótu 

oraz cyfrowe podpisy 

6. PROV_DSS_DH jest podtypem PROV_DSS 

7. PROV_DH_SCHANNEL wspiera protokoy Diffie-Hellman oraz Schannel 

8. PROV_FORTEZZA zawiera zestaw protokoów kryptograficznych i 

algorytmów stworzonych przez NIST (ang.NationalInstitute od Standards 

andTechnology) 

9. PROV_MS_EXCHANGE jest zaprojektowany na potrzeby kryptograficzne 

programów pocztowych kompatybilnych z Microsoft Mail 

44

10. PROV_SSL wspiera protokó SSL (ang.SecureSockelLayer) 

Ponisza tab. 3.2 wyjania rónice w funkcjonalnoci rónych typów dostawców 

oraz wykorzystywane przez nie algorytmy wymiany kluczy, podpisywania cyfrowego, 

szyfrowania oraz wytwarzania wartoci funkcji skrótu. 

Typ dostawcy / Cel Wymiana 

kluczy 

Podpisywanie Szyfrowanie Funkcja 

skrótu 

PROV_RSA_FULL RSA RSA RC2, RC4 MD5, SHA 

PROV_RSA_AES RSA RSA RC2, RC4, AES MD5, SHA 

PROV_RSA_SIG Brak RSA Brak MD5, SHA 

PROV_RSA_SCHANNEL RSA RSA 

RC4, DES, Triple 

DES 

MD5, SHA 

PROV_DSS Brak DSS Brak MD5, SHA 

PROV_DSS_DH DH DSS CYLINK_MEK MD5, SHA 

PROV_DH_SCHANNEL DH DSS DES, Triple DES MD5, SHA 

PROV_FORTEZZA KEA DSS SkipJack SHA 

PROV_MS_EXCHANGE RSA RSA CAST MD5 

PROV_SSL RSA RSA Róne Róne 

Tabela 3.2 Rónice w funkcjonalnoci rónych typów dostawców usug kryptograficznych 

ródo: Opracowanie wasne na podstawie http://msdn.microsoft.com/library/enus/seccrypto/security/cryptographic_provider_types.asp 

3.2.2 Dostawcy usug kryptograficznych firmy Microsoft 

Nastpujcy dostawcy usug kryptograficznych s aktualnie udostpniani przez 

firm Microsoft (tab. 3.3): 

Dostawca 

Microsoft Base Cryptographic 

Provider 

Typ: PROV_RSA_FULL 

Nazwa: MS_DEF_PROV 

Microsoft Enhanced Cryptographic 

Provider 


Podstawowy zestaw kryptograficzny, dostarczany wraz z kad 

32-bitow wersj systemu Windows (wersje od NT do 2003 lub 

wyposaone w przegldark internetow IE w wersji najniej 

3.0). Zawiera implementacje algorytmów: RSA z kluczami o 

dugoci 512 bitów, RC2 i RC4 z kluczami o dugoci 40 

bitów. 

Microsoft Base Cryptographic Provider, zawiera te same 

implementacje algorytmów jednake o zwikszonej dugoci 

45


Nazwa: MS_ ENHANCED_PROV 

Microsoft Strong Cryptographic 

Provider 


Nazwa: MS_ENHANCED_PROV 

Microsoft AES Cryptographic 

Provider 

Typ: PROV_AES_FULL 

Nazwa: MS_ENH_RSA_AES_PROV 

Microsoft DSS Cryptographic 

Provider 

Typ: PROV_DSS 

Nazwa: MS_DEF_DSS_PROV 

Microsoft Base DSS i Diffie- 

Hellman Cryptographic Provider 

Typ: PROV_DSS_DH 

Nazwa: MS_DEF_DSS_DH_PROV 

Microsoft Base DSS i Diffie- 

Hellman/Schannel 

Provider 

Cryptographic 

Typ: PROV_DH_SCHANNEL 

Nazwa: 

MS_DEF_DH_SCHANNEL_PROV 

Microsoft 

Cryptographic Provider 

RSA/Schannel 

Typ: PROV_RSA_SCHANNEL 

Nazwa: 

MS_DEF_RSA_SCHANNEL_PROV 

kluczy: dla RSA 1024 bity a w przypadku RC2 i RC4 128 

bitów. Pozwala równie szyfrowa dane przy pomocy 

algorytmu Triple DES z dugociami kluczy 112 i 168 bitów. 

Rozszerzenie dostawcy Microsoft Base Cryptographic Provider 

dostpne w systemie Windows 2000 i póniejszych, zawiera 

wszystkie algorytmy dostawcy Enhanced ale uywa dugoci 

kluczy dostawcy Base 

Microsoft Enhanced Cryptographic Provider z wsparciem dla 

algorytmu szyfrowania AES 

Udostpnia Funkcja skrótu, podpisywanie danych, weryfikacj 

podpisów przy uyciu algorytmu SHA (ang. Secure Hash 

Algorithm) oraz DSS (ang. Digital Signature Standard) 

Zestaw DSS Cryptographic Provider wspierajcy take 

algorytm Diffie-Hellman przy wymianie kluczy, funkcji skrótu, 

podpisywaniu danych oraz weryfikacj podpisów przy uyciu 

SHA oraz SDD 

Wspiera: funkcja skrótu, podpisywanie danych przy pomocy 

DSS, generowanie kluczy D-H (Diffie-Hellman), ich wymian 

oraz eksport. 

Wspiera: funkcja skrótu, podpisywanie danych oraz 

weryfikacj podpisów. 

Tabela 3.3 Dostawcy usug kryptograficznych udostpnieni przez firm Microsoft 

ródo: Opracowanie wasne na podstawie http://msdn.microsoft.com/library/enus/seccrypto/security/microsoft_cryptographic_service_providers.asp 

Microsoft Base Cryptographic Provider jest domylnym dostawc 

usug kryptograficznych dostarczanym razem z CryptoAPI we wszystkich wersjach. 

Jego gównym celem jest umoliwienie szyfrowania danych oraz cyfrowego 

podpisywania. Do wszystkich operacji klucza publicznego uywany jest algorytm 

asymetryczny RSA. W celu wykorzystania dostawcy, naley si z nim poczy za 

pomoc funkcji CryptAcquireContext, która powinna dokadnie okrela 

46

wybranego dostawc za pomoc typu oraz nazwy dostawcy. Microsoft Base 

Cryptographic Provider opisany jest za pomoc nastpujcego typu oraz nazwy: 

typ dostawcy: PROV_RSA_FULL 

nazwa dostawcy: MS_DEF_PROV 

Dostawca Microsoft Enhanced Cryptographic Provider posiada 

potencja kryptograficzny podobny do dostawcy Microsoft Base Cryptographic 

Provider. Dostawca w wersji Enhanced zapewnia lepsze bezpieczestwo poprzez 

zastosowanie duszych kluczy oraz dodatkowe algorytmy kryptograficzne. W celu 

wykorzystania dostawcy, naley si z nim poczy za pomoc funkcji 

CryptAcquireContext, która powinna dokadnie okrela wybranego dostawc za 

pomoc typu oraz nazwy dostawcy. Microsoft Enhanced Cryptographic Provider 

opisany jest za pomoc nastpujcego typu oraz nazwy: 

typ dostawcy: PROV_RSA_FULL 

nazwa dostawcy: MS_ENHANCED_PROV 

Ponisza tab. 3.4 ukazuje rónice pomidzy dostawcami Base oraz Enhanced 

Cryptographic Provider firmy Microsoft, jak równie wykorzystywanym w 

niniejszej pracy dostawc Strong Cryptographic Provider, domylnym dla typu 

PROV_RSA_FULL: 

Algorytm Dugo klucza 

Base Provider 

Dugo klucza 

Strong Provider 

Dugo klucza Enhanced 

Provider (bity) 

(bity) 

(bity) 

RSA (podpisywanie) 512 1.024 1.024 

RSA (wymiana kluczy) 512 1.024 1.024 

RC2 

(szyfrowanie blokowe) 

40 128 128 

RC4 (szyfrowanie 

strumieniowe) 

40 128 128 

DES 56 56 56 

Triple DES (2 klucze) Brak 112 112 

Triple DES (3 klucze) Brak 168 168 

Tabela 3.4 Rónice pomidzy dostawcami Base, Strong i Enhanced Cryptographic Provider 

ródo: Opracowanie wasne na podstawie http://msdn.microsoft.com/library/enus/seccrypto/security/key_length_comparison.asp 

47

W standardowych instalacjach systemu Windows XP Professional, domylni 

dostawcy usug kryptograficznych wymienieni s w rejestrze systemu, w kluczu: 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\ 

] 

a typy dostawców w kluczu: 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider 

Types\] 

Poniej dokonano analizy jednego z kluczy rejestru, w celu przedstawienia 

pierwszej metody zapoznania si z dostpnymi w systemie dostawcami usug 

kryptograficznych: 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\ 

Microsoft Base Cryptographic Provider v1.0] 

"SigInFile"=dword:00000000 

"Type"=dword:00000001 

"Image Path"="C:\WINDOWS\System32\rsaenh.dll" 

Z wartoci klucza rejestru wynika, i dostawca usug kryptograficznych o 

nazwie Microsoft Base Cryptographic Provider v1.0 zaimplementowany 

jest w pliku biblioteki dynamicznej DLL o ciece dostpu 

C:\WINDOWS\System32\rsaenh.dll 

Przygldajc si natomiast kluczowi opisujcemu typ dostawcy: 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography\Defaults\Provider 

Types\Type 001] 

"Name"="Microsoft Strong Cryptographic Provider" 

"TypeName"="RSA Full (Signature and Key Exchange)" 

Z opisu wynika, e typem dostawcy usug kryptograficznych jest Microsoft 

Strong Cryptographic Provider, wykorzystujcy algorytm asymetryczny RSA, 

mogcy suy zarówno do cyfrowego podpisywania jak równie do wymiany kluczy. 

48

3.3 Przygotowanie rodowiska 

programistycznego i podstawy 

programowania z wykorzystaniem biblioteki 

CryptoAPI 

Wykorzystanie interfejsu CryptoAPI, podczas projektowania aplikacji 

wykorzystujcych metody kryptograficzne, zwizane jest z poznaniem dostpnych 

funkcji biblioteki oraz ich moliwoci. Jak kady interfejs API take biblioteka 

kryptograficzna firmy Microsoft posiada zestaw funkcji udostpnionych 

uytkownikom, w tym przypadku funkcji przygotowanych do wyposaenia aplikacji w 

zabezpieczenia oparte na kryptografii. Uytkownik uywajcy rónorodnych gotowych 

funkcji nie jest zobowizany do szczegóowej znajomoci ich implementacji, jednake 

zobowizany jest do zapoznania si z ich podstawowymi cechami i parametrami w celu 

odpowiedniego ich zastosowania. W zalenoci od wymaganego przez uytkownika 

poziomu bezpieczestwa odpowiednio naley dobra metody kryptograficzne, czyli np. 

algorytmy lub rozmiary kluczy. 

3.3.1 Przygotowanie rodowiska programistycznego 

Istniej dwie podstawowe biblioteki dynamiczne DLL, których uywa si 

podczas korzystania z interfejsu CryptoAPI. Pierwsz z nich, pozwalajc na dostp do 

podstawowych funkcji kryptograficznych, takich jak funkcje szyfrujce i deszyfrujce, 

jest biblioteka advapi32.dll. Drug natomiast jest biblioteka crypt32.dll - która 

odpowiada za zarzdzanie certyfikatami, oraz zapewnia dostp do prostych oraz 

niskopoziomowych funkcji wiadomoci. Aplikacje korzystaj z tych bibliotek w 

momencie, gdy odwouj si do moduów CSP, nigdy jednak nie odwouj si do tych 

moduów bezporednio. Modu CSP zawierajcy implementacj standardów i 

algorytmów kryptograficznych take zbudowany jest w formie biblioteki dynamicznej 

DLL. 

49

Praca z CryptoAPI zawsze odbywa si w pewien schematyczny sposób, na 

pocztku zawsze musi zosta ustanowiony kontekst, czyli sesja pomidzy CryptoAPI a 

aplikacj, Aby ustali ten kontekst, naley przekaza nazw kontenera z kluczami oraz 

nazw dostawcy, z którym chcemy si poczy. Uzyskujemy w ten sposób deskryptor, 

którego uywamy w póniejszych wywoaniach funkcji. Aby rozpocz szyfrowanie 

lub deszyfrowanie zawsze potrzebny bdzie klucz sesyjny, który jak sama nazwa 

wskazuje ma okrelon ywotno ograniczon do tylko jednej sesji. Jak ju wczeniej 

wspomniano, aby zachowa klucz sesyjny na wicej ni jedn sesj konieczne jest 

wyeksportowanie go do bezpiecznej struktury KeyBLOB, która jest zbiorem danych 

które reprezentuj zaszyfrowan wersj klucza sesyjnego. Kade rozpoczcie 

korzystania z moduów dostawcy usug kryptograficznych musi zakoczy si 

specjalnym wywoaniem koczcym korzystanie, podobnie - w celach 

zabezpieczajcych przed niepowoanym dostpem do tajnych obiektów - jest w 

przypadku kluczy i innych obiektów. 56 

Rozwiniciem powyszego wstpu jest dalsza cz tego rozdziau, który 

powinien by traktowany jako wstp do nauki programowania za pomoc pakietu 

CryptoAPI. Poszczególne podrozdziay opisuj typowe zagadnienia kryptograficzne 

przedstawiajc je w schematyczny sposób oraz naprowadzajc czytajcego na gotowe 

implementacje okrelonych funkcji, wykorzystywanych do wykonania danych operacji 

oraz pomocnych podczas projektowania aplikacji kryptograficznych. 

3.3.1.1 Uzyskiwanie i zwalnianie deskryptora kontekstu do CSP 

Aplikacje korzystajce, poprzez interfejs CryptoAPI, z algorytmów i 

mechanizmów kryptograficznych zawartych w moduach dostawców usug 

kryptograficznych, musz uzyska poczenie z danym dostawc, aby uywa jego 

usug. Wykorzystuje si w tym celu funkcj CryptAquireContext, której zadaniem 

jest uzyskanie deskryptora kontekstu do CSP. Wiele funkcji CryptoAPI wykorzystuje 

taki deskryptor w wikszoci swoich wywoa, sposób uzyskania oraz definicja funkcji 

CryptAquireContext zostanie zatem przedstawiona poniej: 

BOOL WINAPI CryptAcquireContext( 

HCRYPTPROV* phProv, 

56 “Add security to your data with the CryptoAPI”, Code Magazine CryptoAPI, by Alex 

Feldstein, http://www.code-magazine.com/ 

50

LPCTSTR pszContainer, 

LPCTSTR pszProvider, 

DWORD dwProvType, 

DWORD dwFlags 

); 57 Funkcja, w przypadku prawidowego wywoania, jako wynik zwraca 

wspomniany wczeniej deskryptor, który zawarty jest w zmiennej phProv. Zmienna 

psContainer pozwala na nazwanie kontenera z kluczami, które tworzy dostawca CSP 

- zmienna moe przyjmowa warto NULL, wtedy klucze utworzone zostan w 

domylnym kontenerze, którego uywa mog take inne aplikacje. Nazw dostawcy 

CSP, którego zamierzamy uy (rozdz. 3.2.1, tab. 3.3) opisuje zmienna pszProvider. 

O ile nazwa moe zosta pominita, o tyle typ dostawcy musi zosta zdefiniowany za 

pomoc parametru dwProvType. W przypadku pominicia nazwy dostawcy, zostanie 

wybrany domylny dostawca dla podanego typu. 

Podsumowujc - dziaanie funkcji to próba odnalezienia dostawcy CSP 

opisanego zmiennymi dwProvType i pszProvider. Gdy nawizane zostanie 

poczenie z danym dostawc, funkcja próbuje odnale kontener z kluczami 

uytkownika na podstawie parametru pszContainer. Ciekawym parametrem jest 

dwFlags, którego ustawienia umoliwiaj utworzenie CRYPT_NEWKEYSET bd 

zniszczenieCRYPT_DELETEKEYSET kontenera z kluczami. 

W celu zademonstrowania posu si trzema przykadowymi wywoaniami 

funkcjiCryptAcquireContext: 

1) 

CryptAcquireContext( 

&hCryptProv, // deskryptor do CSP 

UserName, // nazwa kontenera 

NULL, // uywamy domylnego dostawcy 

PROV_RSA_FULL, // typ dostawcy do uycia 

0) // wartoci flag 

2) 


&hCryptProv, 

UserName, 

NULL, 

PROV_RSA_FULL, 

CRYPT_NEWKEYSET) 

// deskryptor do CSP 

// nazwa kontenera 

// uywamy domylnego dostawcy 

// typ dostawcy do uycia 

// utworzenie nowego kontenera z kluczami 

57 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptacquirecontext.asp 

51

3) 


&hCryptProv, 

UserName, 

NULL, 

PROV_RSA_FULL, 

CRYPT_DELETEKEYSET) 

kluczami 

// deskryptor do CSP 

// nazwa kontenera 

// uywamy domylnego dostawcy 

// typ dostawcy do uycia 

// usunicie istniejcego kontenera z 

Pierwsze wywoanie nawizuje poczenie z domylnym dostawc CSP typu 

PROV_RSA_FULL (zgodnie z wczeniejszymi przykadami jest to Microsoft Strong 

Cryptographic Provider), po czym nastpuje próba poczenia si z istniejcym 

(wiadczy o tym parametr dwFLags ustawiony na warto 0) kontenerem na klucze 

uytkownika. W przypadku, gdy dany kontener nie istnia przed wywoaniem funkcji 

CryptAcquireContext, powinien zosta utworzony – zapewnia to parametr 

dwFlags ustawiony na warto CRYPT_NEWKEYSET. W momencie utworzenia nowego 

kontenera z kluczami, automatycznie tworzone s 2 pary kluczy: para podpisujca oraz 

para wymiany. Trzecie wywoanie suy do usunicia istniejcego kontenera z 

kluczami. Istnieje równie flaga o wartoci CRYPT_VERIFYCONTEXT, z której naley 

skorzysta w sytuacji, gdy nie bdziemy stosowali z tym kontekstem kluczy 

asymetrycznych, np. gdy nie bdzie potrzebny dostp do klucza publicznego. 

Uzyskanie deskryptora przez aplikacj, powizane jest z póniejszym 

zwolnieniem danego deskryptora, co uzyskuje si przez wywoanie funkcje 

CryptReleaseContext –jedynym parametrem, który naley ustawi jest wczeniej 

uzyskany deskryptor hProv. 

BOOL WINAPI CryptReleaseContext( 

HCRYPTPROV hProv, 

DWORD dwFlags 

); 58 Wywoanie funkcji CryptReleaseContext nie powoduje zniszczenia 

kontenera uytkownika lub par kluczy prywatnych/publicznych, zostaje tylko 

zakoczona sesja z okrelonym dostawc CSP a wszystkie klucze sesyjne bd obiekty 

hash, które nie zostay zniszczone odpowiednimi funkcjami, staj si bezuyteczne. 

58 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptreleasecontext.asp 

52

Program (wraz z kodem ródowym) odpowiedzialny za zaoenie kontenerów z 

kluczami uytkownika oraz sprawdzajcy poprawno poczenia z dostawc usug 

kryptograficznych znajduje si na zaczonej pycie CD pod nazw 

context_i_gen_key.exe. 

3.3.1.2 Lista dostawców usug kryptograficznych i ich cech 

Standardowo w systemach z rodziny Windows firma Microsoft dostarcza 

dostawców usug kryptograficznych, umoliwiajc jednoczenie uytkownikom 

wykorzystanie ich w swoich aplikacjach. List dostawców usug mona uzyska 

przegldajc rejestr systemowy (rozdz. 3.3.2), mona równie wykona list dostawców 

uywajc do tego interfejsu CryptoAPI - co jest znakomitym sposobem na zapoznanie 

si z okrelonymi funkcjami biblioteki. Dostpno dostawców jest uzaleniona od 

zainstalowanego systemu z rodziny Microsoft oraz wersji przegldarki internetowej 

Internet Explorer. Dodatkowo uzyska mona szczegóowe informacje na temat 

okrelonego dostawcy usug kryptograficznych, np. w celu zapoznania si z cechami 

wykorzystywanych przez niego algorytmów, w tym przypadku bdzie to dostawca o 

nazwie Microsoft Strong Cryptographic Provider. 

Funkcjami, które umoliwiaj pobranie aktualnej listy dostpnych w systemie 

dostawców usug kryptograficznych, s CryptEnumProviderTypes oraz 

CryptEnumProviders. W celu okrelenia szczegóowych informacji i parametrów 

danego dostawcy, naley posuy si funkcjami CryptGetDefaultProvider i 

CryptGetProvParam. 

3.3.1.2.1 CryptEnumProviderTypes 

Funkcja CryptEnumProvidersTypes pozwala na sporzdzenie wykazu 

typów CSP w systemie. Dokadna analiza definicji tej funkcji pozwala zapozna si z 

dostpnymi parametrami: 

BOOL WINAPI CryptEnumProviderTypes( 

DWORD dwIndex, 

DWORD* pdwReserved, 

DWORD dwFlags, 

DWORD* pdwProvType, 

LPTSTR pszTypeName, 

53

DWORD* pcbTypeName 

); 59 Parametr dwIndex to indeks do typu dostawcy, który zamierzamy podda 

sprawdzeniu. W przypadku, gdy chcemy pozna wszystkich dostawców dostpnych w 

danym systemie, naley ustawi ten parametr na warto 0 i zwiksza go w ptli o 

warto 1. W momencie, gdy ptla natrafi na warto odpowiadajc indeksowi 

dostawcy, parametr pdwProvType okreli nam nazw dostawcy. Parametry 

pdwReserved oraz dwFlags s zarezerwowane do uycia w przyszoci i powinny 

by ustawione odpowiednio na wartoNULL oraz zero. 

Przykadowy wynik dziaania programu (enum_prov_types.exe) 

wykorzystujcego funkcj CryptEnumProvidersTypes, na komputerze z 

zainstalowanym systemem Windows XP Professional w wersji polskiej bez Service 

Pack-ów, przedstawiono poniej na rys. 3.4: 

Rysunek 3.4 Wynik dziaania funkcji CryptEnumProvidersTypes 

ródo: Implementacja na podstawie Platform SDK: Cryptography, „Enumerating CSP Providers and 

Provider Types”, http://msdn.microsoft.com/library/enus/seccrypto/security/example_c_program_enumerating_csp_providers_and_provider_types.asp 

Wyniki wskazuj, e w standardowej instalacji systemu Windows XP PRO PL 

wraz z przegldark Internet Explorer w wersji 6.0.2600, istnieje 6 typów dostawców 

usug kryptograficznych, kady z nich dysponujcy innym zakresem funkcjonalnoci 

oraz rónymi moliwociami. 

59 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptenumprovidertypes.asp 

54

3.3.1.2.2 CryptEnumProviders 

Funkcja CryptEnumProviders umoliwia uzyskanie listy nazw dostpnych 

dostawców usug kryptograficznych. Definicja wraz z dostpnymi parametrami 

przypomina funkcjCryptEnumProvidersTypes i jest nastpujca: 

BOOL WINAPI CryptEnumProviders( 

DWORD dwIndex, 



DWORD* pdwProvType, 

LPTSTR pszProvName, 

DWORD* pcbProvName 

); 60 

Rysunek 3.5 Wynik dziaania funkcji CryptEnumProviders 

ródo: Implementacja na podstawie Platform SDK: Cryptography, „Enumerating CSP Providers and 

Provider 

Types”,http://msdn.microsoft.com/library/enus/seccrypto/security/example_c_program_enumerating_csp_providers_and_provider_types.asp 

Na podstawie wyników (rys. 3.5) programu enum_prov.exe mona stwierdzi, 

e system posiada 12 dostawców usug kryptograficznych, z czego 9 z nich jest 

dostarczanych przez firm Microsoft. Kady z dostawców naley do swojej grupy 

typów. Przykadowo Microsoft Base Cryptographic Provider v1.0 naley 

do typu RSA FULL (Signature and Key Exchange). 

3.3.1.2.3 CryptGetDefaultProvider 

Poszczególne typy dostawców posiadaj w swoim obrbie domylnego 

dostawc usug kryptograficznych, czyli takiego, który wybierany jest jako pierwszy 

podczas operacji kryptograficznych w momencie, gdy zdefiniujemy tylko typ dostawcy. 

60 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptenumproviders.asp 

55

Wyniki dziaania poprzedniego przykadu (rozdz. 3.3.2.2, rys. 3.5) pokazuj 

jednoznacznie, e w obrbie jednego typu dostawcy PROV_RSA_FULL (oznaczonego 

indeksem 1) znajduje si kilku (szeciu) dostawców usug kryptograficznych, np. 

Microsoft Base Cryptographic Provider v1.0, Microsoft Enhanced 

Cryptographic Provider v1.0, Microsoft Strong Cryptographic 

Provider. W tym przypadku, aby pozna domylnego (domylnego dla danego 

uytkownika bd dla komputera) dostawc dla typu PROV_RSA_FULL naley posuy 

si funkcjCryptGetDefaultProvider, której definicja przedstawiona jest poniej: 

BOOL WINAPI CryptGetDefaultProvider( 

DWORD dwProvType, 



LPTSTR pszProvName, 

DWORD* pcbProvName 

); 61 Funkcja odnajduje domylnego dostawc usug kryptograficznych dla typu 

zdefiniowanego przez parametr dwProvType, który moe przyj wartoci opisane w 

rozdz. 3.2.1 „Typy dostawców usug kryptograficznych” w tab. 3.2 (w tym przypadku 

PROV_RSA_FULL). Parametr dwFlags informuje funkcj o tym, czy chcemy pozna 

dostawc domylnego dla uytkownika (CRYPT_USER_DEFAULT) czy dla komputera 

(CRYPT_MACHINE_DEFAULT). Nazwa domylnego dostawcy jest zwracana w buforze 

pszProvName. 

3.3.1.2.4 CryptGetProvParam 

Ostatnim etapem pobierania listy dostpnych dostawców CSP jest uzyskanie 

szczegóowych informacji dotyczcych moliwoci danego dostawcy. Domylnym 

dostawc dla typu PROV_RSA_FULL jest dostawca o nazwie Microsoft Strong 

Cryptographic Provider, dla tego CSP przedstawi mona dokadne informacje 

o dugoci kluczy, moliwociach kryptograficznych, nazwach wykorzystywanych 

algorytmów. Przedstawienie tych danych umoliwia funkcja CryptGetProvParam. 

BOOL WINAPI CryptGetProvParam( 


DWORD dwParam, 

61 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptgetdefaultprovider.asp 

56

BYTE* pbData, 

DWORD* pdwDataLen, 

DWORD dwFlags 

); 62 Pierwszy parametr okrela deskryptor do aktualnie wykorzystywanego CSP. W 

zalenoci od ustawie parametru dwParam, który suy do konkretyzowania zapyta o 

informacje na temat dostawcy, odpowied na te zapytania przekae parametr pbData. 

Parametrem dwParam moemy sprecyzowa wiele rodzajów zapyta, przykadem moe 

by uzyskanie nazwy dostawcy CSP przy pomocy zapytania PP_NAME. 

3.3.1.3 Uzyskanie informacji o dostawcach - implementacja 

Poniszy przykad programu enum_ex.exe ukazuje informacje jakie mona 

uzyska na temat jednego z dostawców usug kryptograficznych, który czy w sobie 

rónorodno moliwoci oraz odpowiednie bezpieczestwo, Microsoft Strong 

Cryptographic Provider, który jest domylnym dostawc (rozdz. 3.3.1.2.3) dla 

najbardziej powszechnego typu dostawców PROV_RSA_FULL, czcego w sobie 

moliwoci zarówno szyfrowania jak i cyfrowego podpisywania. Informacje uzyskane 

na temat kluczowych cech poszczególnych algorytmów mog by w póniejszym 

czasie wykorzystane przez uytkownika podczas dalszej nauki. 

Rysunek 3.6 Kluczowe cechy algorytmow dla dostawcy Strong Cryptographic Provider 

ródo: Implementacja wasna na podstawie Platform SDK: Cryptography, 

62 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptgetprovparam.asp 

57

Wyniki dziaania funkcji CryptGetProvParam (rys. 3.6) umoliwiaj 

zapoznanie si z dostpnymi algorytmami danego dostawcy CSP, w powyszym 

przypadku moemy skorzysta z piciu algorytmów szyfrujcych (Encrypt) o 

dugociach kluczy szyfrujcych od 56 do 168 bitów. Uzyskanie wartoci funkcji skrótu 

(Hash) umoliwia nam siedem kolejnych algorytmów, które precyzuj dugoci 

uzyskiwanych wartoci. Dwa ostatnie dostpne algorytmy to algorytm RSA sucy do 

podpisywania (Signature) oraz wymiany kluczy (Exchange). 

Implementacja powyszego programu (oparta na przykadzie Enumerating 

CSP Providers and Provider Types 63 ), przedstawiona zostaa poniej. 

Wykorzystanie biblioteki CryptoAPI w tym przykadzie umoliwia poznanie 

podstawowych parametrów poszczególnych algorytmów kryptograficznych. 

Najwaniejszym miejscem programu jest wywoanie funkcji CryptGetProvParam z 

odpowiedni opcj PP_ENUMALGS_EX - struktur, która wydobywa z okrelonego 

moduu CSP wszystkie dostpne algorytmy kryptograficzne wraz z podstawowymi 

cechami. Struktura PP_ENUMALGS_EX jest przedstawiona poniej: 

typedef struct _PROV_ENUMALGS_EX { 

ALG_ID aiAlgid; //identyfikator wspieranego algorytmu 

DWORD dwDefaultLen; //domylna dugo klucza 

DWORD dwMinLen; //minimalna dugo klucza 

DWORD dwMaxLen; //maksymalna dugo klucza 

DWORD dwProtocols; //liczba wspieranych protokoów 

DWORD dwNameLen; //dugo nazwy 

CHAR szName[20]; //nazwa skrócona 

DWORD dwLongNameLen; //dugo nazwy 

CHAR szLongName[40]; //nazwa pena 

} PROV_ENUMALGS_EX; 

Kod ródowy aplikacji przedstawia si nastpujco: 

//-------------------------------------------------------------------- 

-- 

// Pocztek: Uzyskanie podstawowych informacji o wspieranych 

algorytmach 

if(CryptGetProvParam(hProv, PP_ENUMALGS_EX, pbData, &cbData, dwFlags)) 

{ 

// Wydobycie informacji z pbData 

dwFlags=0; 

ptr = pbData; 

aiAlgid = *(ALG_ID *)ptr; 

63 http://msdn.microsoft.com/library/enus/seccrypto/security/example_c_program_enumerating_csp_providers_and_provider_types.asp 

58

ptr += sizeof(ALG_ID); 

dwDefaultLen = *(DWORD *)ptr; 

ptr += dwIncrement; 

dwMinLen = *(DWORD *)ptr; 


dwMaxLen = *(DWORD *)ptr; 


dwProtocols = *(DWORD *)ptr; 


dwNameLen = *(DWORD *)ptr; 


strncpy(szName,(char *) ptr, dwNameLen); 

// Ustalenie typu algorytmu 

switch(GET_ALG_CLASS(aiAlgid)) { 

case ALG_CLASS_DATA_ENCRYPT: pszAlgType = "Encrypt "; 

break; 

case ALG_CLASS_HASH: pszAlgType = "Hash "; 

break; 

case ALG_CLASS_KEY_EXCHANGE: pszAlgType = "Exchange "; 

break; 

case ALG_CLASS_SIGNATURE: pszAlgType = "Signature"; 

break; 

default: pszAlgType = "Unknown "; 

} 

// Wydruk podstawowych informacji o algorytmach 

printf(" %8.8xh %-4d %-4d %-6d %s %-2d 

%s \n", aiAlgid, dwDefaultLen, dwMinLen, dwMaxLen, pszAlgType, 

dwNameLen, szName); 

} 

else 

fMore=FALSE; 

} 

// Koniec: Uzyskanie podstawowych informacji o wspieranych algorytmach 

//-------------------------------------------------------------------- 

Wydruk 3.1 Uzyskiwanie informacji o cechach algorytmów 

Powysza implementacja jest rozwiniciem przykadu zaprezentowanego w 

rozdz. 3.3.2.4, rozwinicie stanowi wykorzystanie struktury PP_ENUMALGS_EX, która 

wydobywa znacznie wicej cech charakterystycznych dla danych algorytmów ni 

wspomniany wczeniej przykad. Uytkownik, oprócz uzyskania informacji o 

identyfikatorach algorytmów, ich podstawowym zastosowaniu oraz domylnej dugoci 

kluczy, ma szanse na zapoznanie si z zakresem dugoci kluczy - od dugoci 

minimalnej (mao bezpiecznej) do dugoci maksymalnej (bezpiecznej). Przedstawione 

w powyszym przykadzie informacje zapoznaj uytkownika z podstawowymi 

parametrami wykorzystywanych przez niego w przyszoci algorytmów, co pozwala na 

optymalny dobór metody kryptograficznej w zalenoci od potrzeb. 

59

3.3.2 Podstawy programowania z wykorzystaniem biblioteki CryptoAPI 

3.3.2.1 Generowanie kluczy za pomoc funkcji CryptoAPI 

Wykorzystywany przez nas interfejs API oferuje kilka metod pozyskiwania 

klucza, który w pakiecie CryptoAPI jest przechowywany w postaci specjalnego, 

niejawnego obiektu, do którego mamy dostp wycznie za porednictwem deskryptora. 

Kada z metod zwraca nowy obiekt klucza, który utrzymuje same dane klucza w 

ukryciu i wie je z wykorzystywanym symetrycznym algorytmem szyfrujcym oraz 

zbiorem flag kontrolujcych zachowanie tego klucza. 64 Najprostszym sposobem 

wygenerowania klucza jest utworzenie klucza cakowicie losowego (ang. random key). 

Przykadowe aplikacje generujce klucze symetryczne dla okrelonych algorytmów 

kryptograficznych zamieszczone s w rozdz. 4. Funkcj, która w CryptoAPI odpowiada 

za tworzenie losowych kluczy sesyjnych bd losowych par kluczy 

publicznych/prywatnych jest funkcja CryptGenKey. 

3.3.2.1.1 CryptGenKey 

BOOL WINAPI CryptGenKey( 


ALG_ID Algid, 


HCRYPTKEY* phKey 

); 65 Deskryptor do okrelonego dostawcy usug kryptograficznych uzyskany podczas 

wywoania funkcji CryptAcquireContext zawarty jest w parametrze hProv. W 

zalenoci od ustawie parametru Algid (ustawienia take zalene s od CSP, z 

którego korzystamy), parametr phKey okreli deskryptor do klucza sesyjnego 

(symetrycznego) lub asymetrycznej pary kluczy. W przypadku generowania kluczy 

symetrycznych, tryb szyfrowania blokowego ustawiony jest domylnie na CBC (rozdz. 

2.2.2), z wektorem inicjalizujcym ustawionym na warto zero. Aby zmieni domylne 

parametry klucza naley posuy si funkcjCryptSetKeyParam. 

64 John Viega, Matt Messier, „C i C++. Bezpieczne programowanie. Receptury”, str. 272, 

Wydawnictwo Helion, Gliwice 2005 

65 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptgenkey.asp 

60

Moliwoci ustawie parametru Algid, zale od aktualnie wykorzystywanego 

dostawcy usug kryptograficznych - kady z dostawców oferuje wasne algorytmy 

kryptograficzne, kady posiada wic zupenie odrbne identyfikatory algorytmów. 

Poniej (tab. 3.5) przedstawi identyfikatory algorytmów przydatnych przy tworzeniu 

kluczy, które oferuje dostawca Microsoft Enhanced Cryptographic Provider: 

Parametr Algid 

CALG_RSA_SIGN 

CALG_RSA_KEYX 

CALG_RC2 

CALG_RC4 

CALG_DES 

CALG_3DES_112 

CALG_3DES 


RSA algorytm podpisujcy 

RSA algorytm wymiany kluczy 

RC2 algorytm szyfrowania 

blokowego 

RC4 algorytm szyfrowania 

strumieniowego 

DES algorytm szyfrowania 

Potrójny DES (ang. Triple DES) z 

dwoma kluczami 

Potrójny DES (Triple DES) 

Tabela 3.5 Algorytmy uzyskiwania klucza 

ródo: Opracowanie wasne na podstawie MSDN Library 

Dodatkowe wartoci parametru Algid (dla innych dostawców): 

Parametr Algid 

CALG_DH_SF 

CALG_DH_EPHEM 

AT_KEYEXCHANGE 

AT_SIGNATURE 

Tabela 3.6 Dodatkowe wartoci parametru Algid 


Klucze D-H 

Klucze D-H 

Klucze wymiany 

Cyfrowe podpisy 


Parametr dwFlags umoliwia ustalenie pewnych cech generowanego klucza, 

np. dugo klucza, któr kontrolujemy zmieniajc górne 16 bitów tego parametru. W 

przypadku, gdy odpowiada nam domylna dugo klucza, pozostawiamy górne 16 

bitów bez zmiany. Dolne 16 bitów parametru dwFlags odpowiada za ustawienie 

61

zdefiniowanych parametrów. Do najwaniejszych ustawie parametru dwFlags nale 

(ustawienia mog by czone w grupy ustawie za pomoc operatora „|”): 

CRYPT_ARCHIVABLE – umoliwia póniejsze (przed wywoaniem funkcji 

CryptDestroyKey) wyeksportowanie klucza; 

CRYPT_CREATE_SALT - umoliwia dodanie ziarna do tworzonego klucza, 

warto ziarna jest generowana losowo; 

CRYPT_NO_SALT - parametr zapewniajcy o braku ziarna w tworzonym 

kluczu; 

CRYPT_EXPORTABLE – umoliwia wyeksportowanie klucza (przy pomocy 

CryptExportKey) z moduu CSP do specjalnej struktury KeyBlob, zazwyczaj 

ustawienie jest stosowane w przypadku tworzenia kluczy sesyjnych (gdy 

parametr ten nie zostanie ustawiony, klucz sesyjny bdzie dostpny tylko i 

wycznie w obrbie jednej sesji). 

Funkcj, dziki której wyszukamy deskryptor do jednej z par kluczy 

publicznych/prywatnych znajdujcych si w kontenerze uytkownika jest 

CryptGetUserKey, której dokadn specyfikacj mona znale w dokumentacji 

CryptoAPI 66 . 

3.3.2.1.2 CryptDeriveKey 

Generowanie klucza opartego o losowe dane moe w pewnych sytuacjach nie 

satysfakcjonowa uytkownika, dlatego CryptoAPI umoliwia tworzenie kluczy przy 

wykorzystaniu informacji podawanych przez uytkownika, np. utworzenie klucza na 

podstawie hasa. Funkcj, która umoliwia tworzenie klucza sesyjnego opartego na 

danych wprowadzonych przez uytkownika jest CryptDeriveKey. Parametry tej 

funkcji s identyczne jak w przypadku CryptGenKey, z jedn rónic - dodatkowym 

parametrem hBaseData. 

BOOL WINAPI CryptDeriveKey( 


ALG_ID Algid, 

HCRYPTHASH hBaseData, 


66 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptgetuserkey.asp 

62


); 67 Parametr hBaseData zawiera deskryptor do obiektu Hash (rozdz. 3.3.6) do 

którego zostay dodane dane uytkownika, np. haso. Wane jest, e bezporednio po 

uyciu obiektu Hash do wyprowadzenia klucza, nie mona bdzie do niego doczy 

adnych dodatkowych danych i trzeba ten obiekt jak najszybciej zniszczy. Naley 

pamita, e funkcja CryptDeriveKey tworzy tylko i wycznie klucze sesyjne 

(symetryczne). 

Kada z wymienionych powyej dwóch metod (oraz metoda w rozdz. 3.3.6) 

zwraca nowy obiekt klucza, który utrzymuje same dane w ukryciu i wie je z 

wykorzystywanym symetrycznym algorytmem szyfrujcym oraz zbiorem flag 

kontrolujcych zachowanie tego klucza. 68 

3.3.2.1.3 CryptExportKey i CryptImportKey 

W pewnych sytuacjach zachodzi potrzeba zachowania klucza sesyjnego na okres 

duszy ni czas trwania jednej sesji lub wyeksportowania pary kluczy asymetrycznych, 

w bezpiecznej postaci. Pomocna okazuje si wtedy funkcja CryptExportKey, która 

pozwala na uzyskanie materiau klucza na podstawie deskryptora do klucza. Za pomoc 

powyszej funkcji, mona uzyska dane klucza bezporednio z jego obiektu - ale tylko 

wtedy gdy ten obiekt na to zezwala. Uzyskana warto nosi nazw KeyBlob, moe by 

przekazywana poprzez niezabezpieczone kanay informacyjne, a jedyn metoda na 

odzyskanie informacji sprzed eksportu jest uycie funkcji CryptImportKey. Naley 

pamita, e eksport klucza moliwy jest tylko wtedy, gdy podczas tworzenia go 

funkcj CryptGenKey bd CryptDeriveKey jednym z parametrów by 

CRYPT_EXPORTABLE. Definicja funkcji umoliwiajcej eksport klucza przedstawia si 

nastpujco: 

BOOL WINAPI CryptExportKey( 

HCRYPTKEY hKey, 

HCRYPTKEY hExpKey, 

DWORD dwBlobType, 


67 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptderivekey.asp 



63

BYTE* pbData, 

DWORD* pdwDataLen 

); 69 Pierwszy parametr hKey to deskryptor do klucza, który zamierzamy 

wyeksportowa. Kolejny parametr to take deskryptor do klucza, tym razem do klucza, 

który uyty zostanie do zaszyfrowania informacji, któr mamy zamiar wyeksportowa. 

Parametr ten, moe przyj wartoNULL tylko wtedy, gdy zamierzamy wyeksportowa 

klucz publiczny - poniewa powinien on by jawny. W kadym innym przypadku 

parametr hExpKey powinien zawiera deskryptor do klucza szyfrujcego eksportowan 

informacj. 

Parametr dwBlobType specyfikuje form i typ eksportu w postaci struktury 

KeyBLOB. Istnieje 6 moliwych ustawie tego parametru, a najwaniejsze z nich to: 

PRIVATEKEYBLOB - uywany do transportu kluczy publicznych i prywatnych; 

PUBLICKEYBLOB - uywany do transportu kluczy publicznych; 

SIMPLEBLOB - uywany do transportu kluczy sesyjnych. 

Odzyskanie materiau wczeniej wyeksportowanego, przy pomocy funkcji 

CryptExportKey do formy KeyBLOB, moliwe jest tylko przy uyciu „bliniaczej” 

funkcji CryptImportKey, która przeksztaca form KeyBLOB do postaci klucza 

kryptograficznego i umieszcza go w kontenerze moduu CSP. Jednoczenie funkcja 

CryptImportKey staje si kolejnym sposobem na utworzenie klucza. Najczciej 

importowany s wanie dane uzyskane bezporednio z funkcji CryptExportKey, 

zatem od razu dysponujemy zaszyfrowanym kluczem w postaci struktury np. 

SIMPLEBLOB (w przypadku kluczy symetrycznych) - co znacznie upraszcza proces 

importu. Definicja funkcji sucej do importu jest przedstawiona poniej: 

BOOL WINAPI CryptImportKey( 


BYTE* pbData, 

DWORD dwDataLen, 

HCRYPTKEY hPubKey, 



); 70 69 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptexportkey.asp 

70 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptimportkey.asp 

64

Materia, który zamierzamy zaimportowa naley umieci w buforze, na który 

wskazuje parametr pbData. Parametr hPubKey to deskryptor do klucza, którym 

zamierzamy odszyfrowa importowany materia. 

3.3.2.1.4 CryptDestroyKey 

Deskryptor do wygenerowanego klucza powinien zosta zwolniony w 

momencie, gdy przestajemy korzysta z danego klucza. Funkcja zwalniajca deskryptor 

jako jedyny parametr przyjmuje deskryptor do wczeniej utworzonego klucza. 

BOOL WINAPI CryptDestroyKey( 

HCRYPTKEY hKey 

); 71 Po wywoaniu funkcji CryptDestroyKey deskryptor jest zwalniany i nie moe 

by uyty ponownie – naley pamita, e w przypadku kluczy sesyjnych wywoanie 

CryptDestroyKey powoduje utrat deskryptora do klucza sesyjnego, co skutkuje 

brakiem dostpu do klucza sesyjnego (wikszo dostawców nadpisuje miejsce w 

pamici gdzie przechowywany by sam klucz), jednak w przypadku kluczy 

asymetrycznych zwolniony deskryptor do pary kluczy publicznych/prywatnych nie 

powoduje usunicia kluczy z moduu CSP, kasowany jest jedynie sam deskryptor. 

3.3.2.2 Dostpne tryby szyfrowania i wektor inicjalizacji 

W praktyce tryb szyfrowania wykorzystywany jako domylny zaley zarówno 

od stosowanego moduu CSP, jak i od uywanego algorytmu szyfrujcego. W 

wikszoci przypadków jest to jednak tryb CBC. Moduy Base CSP, Enhanced CSP 

oraz Strong CSP firmy Microsoft zapewniaj obsug trybów CBC, CFB, ECB oraz 

OFB. 72 71 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptdestroykey.asp 



65

3.3.2.2.1 CryptSetKeyParam 

Podczas tworzenia kluczy kryptograficznych, funkcje korzystaj z domylnych 

wartoci pewnych predefiniowanych ustawie, czego przykadem moe by funkcja 

CryptGenKey tworzca klucz sesyjny z wykorzystaniem trybu szyfrowania blokowego 

CBC. W pewnych przypadkach naley te domylne wartoci zmieni, na bardziej 

odpowiadajce uytkownikowi. Funkcj, która umoliwia zmian parametrów klucza (a 

co za tym idzie parametrów wykorzystywanego póniej algorytmu szyfrujcego) jest 

funkcjaCryptSetKeyParam, której definicja przedstawiona jest poniej: 

BOOL WINAPI CryptSetKeyParam( 



BYTE* pbData, 

DWORD dwFlags 

); 73 

Parametry zmieniane s na okres jednej sesji. Po rozpoczciu nowej sesji z 

dostawc, przyjmowane s znów domylne wartoci parametrów. Najwaniejsze 

ustawienia funkcji przekazywane s w parametrze dwParam (sucym do ustawiania 

parametrów klucza) i mog przyjmowa nastpujce wartoci, które w znacznym 

stopniu wpywaj na dobór algorytmu szyfrujcego: 

KP_IV – specyfikuje wektor inicjalizujcy w dla trybów szyfrowania blokowego 

(domylnie ustawiony na warto zero) 

KP_MODE – specyfikuje tryby szyfrowania blokowego (domylny tryb to CBC), 

które okrelone s za pomoc parametru pbData, moliwe ustawienia to: 

o CRYPT_MODE_CBC (rozdz. 2.2.2 i rozdz. 4.5.2) 

o CRYPT_MODE_CFB (rozdz. 2.2.2) 

o CRYPT_MODE_ECB (rozdz. 2.2.2 i rozdz. 4.5.1) 

o CRYPT_MODE_OFB (rozdz. 2.2.2) 

3.3.2.2.2 CryptGetKeyParam 

Informacje o utworzonym kluczu mog zosta wydobyte z klucza przy pomocy 

funkcjiCryptGetKeyParam. 

73 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptsetkeyparam.asp 

66

BOOL WINAPI CryptGetKeyParam( 



BYTE* pbData, 


DWORD dwFlags 

); 74 W zalenoci od tego jak ustawiony jest parametr dwParam, którym okrelamy 

rodzaj informacji, które chcemy uzyska, odpowiedni wynik zawarty bdzie w 

parametrze pbData. Przedstawi kilka moliwych ustawie 75 parametru dwParam: 

KP_BLOCKLEN - umoliwia uzyskanie wielkoci bloku, gdy do uzyskanie klucza 

uyty zosta algorytm symetryczny blokowy; 

KP_IV - umoliwia uzyskanie wektora inicjalizujcego, w przypadku gdy do 

uzyskania klucza uyty zosta algorytm blokowy; 

KP_MODE - umoliwia poznanie trybu szyfrowania blokowego; 

KP_KEYLEN - umoliwia poznanie dugoci klucza; 

KP_SALT - umoliwia poznanie dugoci ziarna; 

KP_ALGID - przedstawienie identyfikatora algorytmu (rozdz. 3.3.3.1, tab.3.5) 

którym zosta utworzony klucz; 

KP_EFFECTIVE_KEYLEN - umoliwia poznanie efektywnej dugoci 

symetrycznego 

3.3.2.3 Szyfrowanie i deszyfrowanie danych 

Proces szyfrowania i deszyfrowania wraz z wykorzystywanymi do tego celu 

funkcjami zosta ju ukazany w momencie przedstawienia trybów szyfrowania 

blokowego, naley jednak zapozna si bliej z funkcjami uytymi w powyszych 

programach. Z poziomu biblioteki CryptoAPI szyfrowanie nie jest operacj 

skomplikowan, sam proces zamiany wiadomoci jawnej na kryptogram ogranicza si 

do odpowiedniego wywoania zaimplementowanych funkcji. Schematyczny proces 

szyfrowania a nastpnie deszyfrowania zostanie przedstawiony w niniejszym 

podrozdziale. 

74 Wszystkie moliwe ustawienia znajduj si na stronie http://msdn.microsoft.com/library/enus/seccrypto/security/cryptgetkeyparam.asp 

75 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptgetkeyparam.asp 

67

3.3.2.3.1 CryptEncrypt 

Szyfrowanie danych przy pomocy CryptoAPI sprowadza si do wywoania 

funkcji, która w bibliotece jest odpowiedzialna za ten proces. W przypadku CryptoAPI 

funkcj t jest CryptEncrypt, jednak przed samym szyfrowaniem wiadomoci naley 

skorzysta z nastpujcego schematu: 

a) wygenerowanie klucza sesyjnego przy wykorzystaniu funkcji CryptGenKey 

(rozdz. 3.3.3), podczas tego wywoania utworzony zostaje losowy klucz sesyjny 

w oparciu o algorytm kryptografii symetrycznej, którego identyfikator 

przekazany jest jako jeden z argumentów funkcji; 

b) uycie funkcji CryptEncrypt w celu zaszyfrowania danych uytkownika przy 

wykorzystaniu klucza utworzonego w poprzednim kroku i uprzednio wybranego 

algorytmu; 

c) jeli jest to konieczne, naley wyeksportowa klucz sesyjny do postaci 

SIMPLEBLOB uywajc do tego celu funkcji CryptExportKey. 

Definicja funkcji CryptEncrypt jest nastpujca: 

BOOL WINAPI CryptEncrypt( 


HCRYPTHASH hHash, 

BOOL Final, 


BYTE* pbData, 


DWORD dwBufLen 

); 76 Parametr hKey przekazuje deskryptor do utworzonego klucza sesyjnego, dziki 

temu parametrowi przekazana zostaje równie informacja o algorytmie szyfrujcym. 

pbData okrela bufor, zawiera zestaw danych gotowych do zaszyfrowania. 

Zaszyfrowane dane nadpisuj dane tekstu jawnego w buforze. 

76 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptencrypt.asp 

68

3.3.2.3.2 CryptDecrypt 

Deszyfrowanie danych, uprzednio zaszyfrowanych przy uyciu funkcji 

CryptEncrypt, nastpuje dziki wywoaniu funkcji CryptDecrypt, której definicja 

o dostpne argumenty s bardzo podobne do funkcji CryptEncrypt. 

BOOL WINAPI CryptDecrypt( 



BOOL Final, 


BYTE* pbData, 

DWORD* pdwDataLen 

); 77 

3.3.2.4 Warto funkcji skrótu 

Uzyskanie deskryptora kontekstu do dostawcy usug kryptograficznych 

umoliwia przeprowadzanie kolejnych operacji opartych na kryptografii wykorzystujc 

gotowe funkcje CryptoAPI. Jedn z takich operacji jest uzyskiwanie wartoci funkcji 

skrótu, któr postaram si omówi w tym rozdziale. 

Funkcjami odpowiedzialnymi za tworzenie wartoci funkcji skrótu s 

CryptCreateHash oraz CryptHashData. 

3.3.2.4.1 CryptCreateHash 

Warto funkcji skrótu uzyskiwana jest w CryptoAPI przy pomocy specjalnego 

obiektu nazwanego Hash. Na pocztku naley utworzy pusty obiekt Hash, który 

nastpnie naley dalej przetwarza dodajc do niego dane (przy pomocy funkcji 

CryptHashData), dla których chcemy warto funkcji skrótu uzyska - mog to by 

dane przekazywanej wiadomoci bd kluczy sesyjnych. Takie przygotowania wartoci 

funkcji skrótu umoliwia dalsze operacje na obiekcie Hash (opisane w dalszej czci 

tego podrozdziau). Definicja funkcji umoliwiajcej utworzenie pustego obiektu Hash 

i uzyskanie do niego deskryptora jest nastpujca: 

BOOL WINAPI CryptCreateHash( 


ALG_ID Algid, 


77 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptdecrypt.asp 

69


HCRYPTHASH* phHash 

); 78 Utworzenie pustego obiektu Hash wymaga oczywicie poczenia z dostawc 

usug kryptograficznych (rozdz. 3.3.1.1) i uzyskanie deskryptora kontekstu. 

Przekazujemy ten deskryptor do funkcji CryptCreateHash przy pomocy parametru 

hProv. Parametr Algid 79 (najwaniejsze wartoci tego parametru znajduj si w tab. 

3.6) definiuje algorytm funkcji skrótu, którego chcemy uy w zalenoci, z jakiego 

dostawcy korzystamy. Parametr phHash bdzie zawiera deskryptor do wartoci 

obiektu Hash w przypadku pomylnego wywoania funkcji. Przykadem ukazujcym 

tworzenie wartoci skrótu przy pomocy trzech algorytmów jest program skrot.exe, 

który szczegóowo omówiony jest w rozdz. 6.4. 

Warto parametru Algid 

CALG_HMAC 

CALG_MAC 

CALG_MD2 

CALG_MD5 

CALG_SHA 

CALG_SHA1 

CALG_SSL3_SHAMD5 

Znaczenie 

Algorytm HMAC, (Keyed- 

Hash Message Authentication 

Code) 

Algorytm MAC 

(ang.Message Authentication 

Code) 

Algorytm f. skrótu MD2 

Algorytm f. skrótu MD5 

Algorytm f. skrótu SHA (ang. 

Secure Hash Algorithm) 

Algorytm f. skrótu SHA-1 

(ang. Secure Hash Algorithm) 

Uwierzytelnianie klienta 

SSL3 

Tabela 3.7 Algorytmy uzyskiwania wartoci funkcji skrótu 


78 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptcreatehash.asp 

79 http://msdn.microsoft.com/library/default.asp?url=/library/en-us/seccrypto/security/alg_id.asp 

70

3.3.2.4.2 CryptHashData 

Wywoanie poprzedniej funkcji CryptCreateHash zwraca deskryptor do 

pustego obiektu Hash, do którego naley teraz doda dane. W tym celu uywa si 

funkcjiCryptHashData, której definicj prezentuj poniej: 

BOOL WINAPI CryptHashData( 


BYTE* pbData, 

DWORD dwDataLen, 

DWORD dwFlags 

); 80 Parametr hHash to odpowiedni deskryptor do pustego obiektu Hash 

utworzonego wczeniej. Przy pomocy pbData przekazujemy do funkcji dane - 

dodawane do pustego obiektu Hash - dla których chcemy uzyska warto funkcji 

skrótu. Dugo dodawanych danych opisuje parametr dwDataLen. 

Utworzenie poprawnej wartoci funkcji skrótu pozwala na wykonanie 

nastpnych operacji, z których najwaniejszymi s: 

uzyskanie parametrów wartoci obiektu Hash przy pomocy funkcji 

CryptGetHashParam 

podpisanie wartoci funkcji skrótu przy uyciu funkcji CryptSignHash 

weryfikacja podpisu wartoci funkcji skrótu przy wykorzystaniu funkcji 

CryptVerifySignature 

3.3.2.4.3 CryptHashSessionKey 

Pusty obiekt Hash utworzony funkcj CryptCreateHash moemy take 

wykorzysta do obliczenia wartoci skrótu dla klucza sesyjnego, wygenerowanego przy 

pomocy funkcji CryptGenKey. Jeden obiekt Hash moe posuy do wytworzenia 

wikszej iloci wartoci funkcji skrótu wielu kluczy sesyjnych. Funkcja jako parametry 

przyjmuje deskryptor do obiektu Hash zawartego w parametrze hHash oraz klucz 

sesyjny zawarty w parametrze hKey. 

80 http://msdn.microsoft.com/library/en-us/seccrypto/security/crypthashdata.asp 

71

BOOL WINAPI CryptHashSessionKey( 



DWORD dwFlags 

); 81 

3.3.2.4.4 CryptGetHashParam 

Dwa poprzednie przykady pokazay jak uzyska (przy pomocy pustego obiektu 

Hash) warto funkcji skrótu w CryptoAPI. Czym jest warto funkcji skrótu 

dowiedzielimy si z rozdz. 2.4, ale do tej pory tak naprawd nie widzielimy jak ta 

uzyskana warto skrótu wyglda. Pomocna okazuje si funkcja 

CryptGetHashParam. 

BOOL WINAPI CryptGetHashParam( 



BYTE* pbData, 


DWORD dwFlags 

); 82 Parametr hHash zawiera deskryptor do utworzonego wczeniej obiektu Hash 

zawierajcego odpowiednio dodane dane. Najwaniejszym parametrem funkcji 

CryptGetHashParam jest dwParam, jego ustawienia pozwalaj uzyska odpowiednie 

informacje dotyczce obiektu Hash, które zachowane zostan w zmiennej 

pbData. Parametr ten moe zosta ustawiony na trzy sposoby: 

HP_ALGID - uzyskamy informacje dotyczce algorytmu (identyfikator 

algorytmu) uytego do utworzenia obiektu Hash; 

 

 

HP_HASHSIZE - uzyskamy informacje dotyczce dugoci wytworzonej 

wartoci funkcji skrótu; 

HP_HASHVALUE - uzyskamy informacj o samej wartoci funkcji skrótu. 

3.3.2.4.5 CryptDestroyHash 

Podobnie, jak to miao miejsce w przypadku funkcji CryptAcquireContext i 

odpowiadajcej jej CryptReleaseContext, take dla funkcji CryptCreateHash 

81 http://msdn.microsoft.com/library/en-us/seccrypto/security/crypthashsessionkey.asp 

82 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptgethashparam.asp 

72

wywoywanej przy tworzeniu obiektów Hash i wartoci funkcji skrótu istnieje funkcja, 

która pozwala na zwolnienie deskryptorów i zniszczenie niepotrzebnych obiektów 

Hash. Gdy koczymy prac i korzystanie z obiektów Hash, naley uy funkcji 

CryptDestroyHash, której jedynym parametrem jest deskryptor do odpowiedniego 

obiektuHash, który zamierzamy zniszczy. 

BOOL WINAPI CryptDestroyHash( 

HCRYPTHASH hHash 

); 83 Ciekawostk jest to, e niektórzy dostawcy usug kryptograficznych podczas 

wywoania funkcji CryptDestroyHash i niszczeniu obiektu Hash, nadpisuj miejsce 

w pamici gdzie dany obiekt Hash by przechowywany. Ma to na celu zapewnienie, e 

obiektHash zosta cakowicie zniszczony i nie jest moliwe jego odzyskanie. 

3.3.2.5 Podpis cyfrowy i weryfikacja podpisu 

Opisane powyej czynnoci prowadzce do utworzenia wartoci funkcji skrótu, 

nie odkrywaj dostatecznie zagadnienia zwizanego z funkcjami skrótu. Jak 

przedstawione zostao w rozdz. 2.4 uycie wartoci funkcji skrótu porednio umoliwia 

take skadanie cyfrowych podpisów i ich weryfikacji. 

3.3.2.5.1 CryptSignHash i CryptVerifySignature 

Funkcj, która pozwala wykona podpisanie skrótu wiadomoci jest 

CryptSignHash, o nastpujcej definicji: 

BOOL WINAPI CryptSignHash( 


DWORD dwKeySpec, 

LPCTSTR sDescription, 


BYTE* pbSignature, 

DWORD* pdwSigLen 

); 84 Posiadajc par kluczy asymetrycznych, moemy uy klucza prywatnego do 

cyfrowego podpisania wiadomoci. Skrótowo wyjaniajc (dokadny opis w rozdz. 2.4) 

83 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptdestroyhash.asp 

84 http://msdn.microsoft.com/library/en-us/seccrypto/security/cryptSignHash.asp 

73

Opis CryptoAPI.pdf

Create successful ePaper yourself

Delete template?

Save as template?