CNG SSL提供程序函数调用机制与使用场景技术问询

关于API调用权限、句柄获取与场景限制 #

• 这类CNG SSL提供程序函数并非Windows系统在SSL连接建立过程中的专属内部调用接口，普通应用程序完全可以合法调用。你观测到lsass.exe调用部分相关函数属于正常现象：系统原生的Schannel安全包运行在lsass进程上下文内，是Windows默认TLS/SSL协议栈的核心实现，本身就是这类API的高频调用方。
• 你找不到通过NCryptOpenStorageProvider获取SSL提供程序句柄的方法是正常的：这个函数的作用是打开CNG密钥存储提供程序（KSP），和SSL协议提供程序属于CNG体系下完全独立的两类组件，本身就不支持通过该接口获取SSL提供程序句柄。正确的句柄获取方式是调用SslOpenProvider函数，传入目标提供程序名称即可，系统默认内置的Schannel SSL提供程序对应名称常量定义在schannel.h头文件中，调用成功后会返回标准的NCRYPT_PROV_HANDLE类型句柄，可直接传给SslExportKey、SslImportKey、SslGenerateMasterKey等后续API使用。
• 这类API没有强制要求必须在SSL连接上下文内调用，完全可以脱离原生Schannel的连接流程独立使用，官方CNG开发示例中就存在独立调用这类接口实现自定义TLS握手逻辑的案例，没有场景绑定限制。

关于API调用与证书校验的时序关系 #

• 这类SSL API不存在必须等待Windows完成SSL证书有效性校验后才能调用的强制规则，二者没有绑定的先后时序要求。
• 在系统原生Schannel的默认TLS握手流程中，不同SSL API的调用节点覆盖了握手全流程：比如SslCreateEphemeralKey用于生成密钥交换阶段的临时密钥，该动作的执行时间点早于证书有效性校验；而SslGenerateMasterKey用于生成会话主密钥，执行时机在密钥交换完成阶段，和证书校验流程存在交叉，并非所有接口都在证书校验完成后才触发。如果是开发者自行调用这类API实现自定义TLS逻辑，可根据自身需求调整调用顺序，系统层面不会做强制的时序校验。

内容的提问来源于stack exchange，提问作者Kakalokia