Windows Server 2012加载X509Certificate2报内部错误 无需Chilkat如何解决

问题根因 #

该错误是Windows Server的密钥存储机制和Windows 10的差异导致的：

• 默认X509Certificate2构造函数加载带私钥的PFX证书时，会尝试将私钥导入当前用户的证书存储区
• Windows Server下如果运行程序的账户没有加载用户配置文件，或者对系统级密钥存储目录C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys没有读写权限，就会触发内部加密错误
• Chilkat库加载PFX时默认将私钥保存在内存中，重新导出的PFX符合系统加密存储要求，所以可以正常加载

解决方案 #

无需依赖任何第三方库，按照以下方案修改即可：

方法1：指定密钥存储标记（推荐） #

修改构造函数传入合适的X509KeyStorageFlags枚举值，不需要修改系统配置，兼容性最好。
如果是临时加载证书、不需要持久化存储私钥，用以下代码（.NET Core 3.0+、.NET 5+支持），私钥仅保存在内存中，不会写入磁盘，无需额外权限：

var path = args[0];
var password = args[1];
var certificate2 = new X509Certificate2(path, password, 
    X509KeyStorageFlags.EphemeralKeySet 
    | X509KeyStorageFlags.Exportable);

如果需要持久化存储私钥，或者使用.NET Framework环境，用以下代码：

var path = args[0];
var password = args[1];
var certificate2 = new X509Certificate2(path, password, 
    X509KeyStorageFlags.MachineKeySet 
    | X509KeyStorageFlags.PersistKeySet 
    | X509KeyStorageFlags.Exportable);

方法2：配置系统目录权限 #

如果使用MachineKeySet标记仍然报错，给运行程序的账户授予系统密钥存储目录的读写权限：

• 打开目录C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys
• 右键属性→安全→编辑→添加运行程序的用户/用户组
• 授予权限：读取、写入、列出文件夹内容，不要授予完全控制权限
• 如果是IIS托管的程序，还要检查对应应用程序池的「加载用户配置文件」选项是否设置为True

注意事项 #

• 生产环境如果不需要导出私钥，不需要添加X509KeyStorageFlags.Exportable标记，降低私钥泄露风险
• 使用EphemeralKeySet加载的证书，私钥会随程序进程销毁自动清理，不会产生冗余密钥文件
• 如果使用Windows Server 2012及更低版本，需确认PFX证书的加密算法为系统支持的3DES，若为AES加密的PFX，可重新导出为3DES加密格式后再加载

内容的提问来源于stack exchange，提问作者Qba