导入ECCPUBLICBLOB时NCryptImportKey返回NTE_INVALID_PARAMETER的原因

我尝试通过NCryptImportKey导入椭圆曲线公钥，但调用始终返回NTE_INVALID_PARAMETER，代码如下：

#include <cstdio>
#include <cstdlib>

#include <windows.h>
#include <ncrypt.h>

int main()
{
    NCRYPT_PROV_HANDLE hProvider = NULL;
    if (NCryptOpenStorageProvider(&hProvider, MS_SMART_CARD_KEY_STORAGE_PROVIDER, 0) != ERROR_SUCCESS)
    {
        printf("Unable to open storage provider!\n");
        return EXIT_FAILURE;
    }
    NCRYPT_KEY_HANDLE hKey = NULL;
    BYTE rawData[73] = {
        0x45, 0x43, 0x53, 0x31, 0x00, 0x01, 0x00, 0x00, 0x04, 0xB2, 0xF2, 0x24,
        0xA4, 0xFA, 0x8E, 0x91, 0x08, 0x0F, 0x2A, 0x77, 0x3E, 0xE3, 0xE4, 0x69,
        0xAA, 0x31, 0x80, 0x12, 0xE8, 0xCE, 0x13, 0xF5, 0x19, 0x13, 0xC9, 0xF4,
        0x53, 0x67, 0x2F, 0xBC, 0x03, 0xF8, 0xE2, 0x3A, 0xB4, 0x93, 0xFE, 0x87,
        0xAA, 0xA0, 0x5B, 0xF3, 0x87, 0xC2, 0x5E, 0xB5, 0x96, 0xBA, 0xB2, 0xA6,
        0x5F, 0x5A, 0x4B, 0x5E, 0xB6, 0xD5, 0x34, 0xB1, 0x9D, 0x1D, 0x5E, 0x7A,
        0xED};

    SECURITY_STATUS status = NCryptImportKey(hProvider, NULL, L"ECCPUBLICBLOB", NULL, &hKey, rawData, sizeof(rawData), 0);
    switch (status)
    {
    case ERROR_SUCCESS:
        printf("Success.\n");
        return EXIT_SUCCESS;
    case NTE_INVALID_PARAMETER:
        printf("One or more parameters are not valid.\n");
    default:
        return EXIT_FAILURE;
    }
}

对应的公钥十六进制转储：

Offset(h) 00 01 02 03 04 05 06 07 08 09 0A 0B 0C 0D 0E 0F

00000000  45 43 53 31 00 01 00 00 04 B2 F2 24 A4 FA 8E 91  ECS1.....²ò$¤úŽ‘
00000010  08 0F 2A 77 3E E3 E4 69 AA 31 80 12 E8 CE 13 F5  ..*w>ãäiª1€.èÎ.õ
00000020  19 13 C9 F4 53 67 2F BC 03 F8 E2 3A B4 93 FE 87  ..ÉôSg/¼.øâ:´“þ‡
00000030  AA A0 5B F3 87 C2 5E B5 96 BA B2 A6 5F 5A 4B 5E  ª [ó‡Â^µ–º²¦_ZK^
00000040  B6 D5 34 B1 9D 1D 5E 7A ED                       ¶Õ4±..^zí

根据MSDN说明，NTE_INVALID_PARAMETER表示存在无效参数，但具体是哪些参数有问题？

问题分析与解决 #

1. 存储提供者不兼容
   你使用的MS_SMART_CARD_KEY_STORAGE_PROVIDER是专门针对智能卡密钥操作的提供者，它不支持直接导入通用的ECCPUBLICBLOB格式公钥。这个提供者的设计目标是和物理智能卡交互，而非处理独立的公钥Blob。

   解决方法：将存储提供者替换为通用CNG密钥提供者MS_KEY_STORAGE_PROVIDER，它支持标准ECC密钥的导入操作。

2. 修正后的代码片段
   只需修改NCryptOpenStorageProvider的第二个参数：

   if (NCryptOpenStorageProvider(&hProvider, MS_KEY_STORAGE_PROVIDER, 0) != ERROR_SUCCESS)
   

3. 额外验证点
   你的ECCPUBLICBLOB开头标识ECS1是正确的，但可以进一步确认Blob的曲线参数是否与提供者支持的曲线匹配（比如secp256r1/P-256等常见曲线，MS_KEY_STORAGE_PROVIDER都支持）。

内容的提问来源于stack exchange，提问作者Miguel Martins