部分机器使用客户端证书创建SSL/TLS安全通道失败问题排查

问题背景 #

我有一段C# .NET 4.6.1代码，用于对接第三方API时随请求发送客户端证书完成验证，多数机器运行正常，但部分机器出现异常。代码包含两个核心方法：

• 程序启动时检查并安装证书的InstallCertificate方法
• 创建请求时获取证书的CreateStoredValueClient方法（基于WSDL生成的StoredValueClient，采用System.ServiceModel.ClientBase模型）

目前有临时规避方案：每次启动调用InstallCertificate关联证书密码，否则Windows重启后会忘记密码。但部分机器仍出现以下核心错误：

System.ServiceModel.Security.SecurityNegotiationException: Could not establish secure channel for SSL/TLS with authority 'thirdpartysite'. ---> System.Net.WebException: The request was aborted: Could not create SSL/TLS secure channel.

   at System.Net.HttpWebRequest.GetResponse()

   at System.ServiceModel.Channels.HttpChannelFactory`1.HttpRequestChannel.HttpChannelRequest.WaitForReply(TimeSpan timeout)

已完成的排查项 #

• 非工作机器已启用TLS，其他API的TLS连接正常
• 无证书时错误提示不同，说明程序能获取到证书
• 修改证书序列号导致找不到证书时错误不同，说明程序能定位到目标证书
• 更换其他证书仍报相同错误，推测证书发送环节存在问题
• 工作与非工作机器上的证书详情完全一致
• 以普通/管理员身份运行程序，结果无差异

Windows事件日志分析结果 #

• 工作机器：获取证书时多次登录成功
• 非工作机器：存在4次登录失败、1次成功记录，错误码为0x80090016（密钥相关）、0x80090010，推测登录失败导致无法获取私钥

未解决的尝试 #

尝试过设置私钥权限的方案，但由于证书安装在CurrentUser存储中，没有“管理私钥”选项，问题仍未解决，寻求技术帮助。

内容的提问来源于stack exchange，提问作者Bugs