自定义CNG KSP场景下调用CryptAcquireCertificatePrivateKey报错0x80090016

结论 #

私钥存储在CNG Key Storage Provider（KSP）中的证书完全支持CryptAcquireCertificatePrivateKey方法调用。你遇到的0x80090016（对应标准错误码NTE_BAD_KEYSET）且全程未触发自定义KSP逻辑的问题，是Windows加密框架在路由到你的KSP实现之前就校验失败导致的，和该API的兼容性无关。

核心排查方向 #

• 校验证书的CERT_KEY_PROV_INFO_PROP_ID属性配置：该属性的pwszProvName字段必须和你注册KSP时填写的提供程序名称完全一致（大小写敏感），dwProvType必须固定设置为0（这是CNG KSP和传统CSP的核心区分标识，填非0值会被系统识别为传统CSP，直接跳过CNG KSP的查找逻辑），pwszContainerName必须和你在KSP中存储对应私钥时使用的容器名称完全匹配。以上任意一项配置错误，系统都会直接返回NTE_BAD_KEYSET，不会尝试加载对应的KSP。
• 检查第三方应用的运行上下文权限：如果你的KSP存储的是用户级密钥，而第三方应用运行在服务账户、本地系统账户等非当前登录用户的上下文下，默认无法访问当前用户的密钥集；如果是机器级密钥，需要确保应用运行身份具备C:\ProgramData\Microsoft\Crypto\Keys目录下对应密钥文件的读写权限，权限不足时系统也会提前返回错误，不会走到KSP加载逻辑。
• 核对KSP的注册完整性：确认你的KSP已正确注册到HKLM\SYSTEM\CurrentControlSet\Control\Cryptography\Providers路径下，对应的CLSID、DLL实现路径配置无误。如果第三方应用是32位程序，你需要同时注册32位版本的KSP到32位注册表路径，否则32位进程无法找到你的KSP实现，直接返回错误。
• 验证密钥参数匹配度：如果使用的是椭圆曲线等非RSA算法密钥，需要确保证书公钥的算法OID、密钥长度、曲线参数和KSP中存储的私钥参数完全一致，参数不匹配时系统会提前判定密钥无效，不会调用KSP的相关接口。

内容的提问来源于stack exchange，提问作者Rafael Membrives