windows - 如果加密数据存储在同一个磁盘上，将 RSA 密钥存储在密钥容器中是否安全

Question

我需要保护服务器上的敏感数据。为了加密它们，我使用了 RSACryptographicProvider 生成的 RSA 密钥对。Microsoft 建议将 RSA 密钥存储在密钥容器中，如下所述：https ://docs.microsoft.com/en-us/dotnet/standard/security/how-to-store-asymmetric-keys-in-a-key - 容器。他们还强烈建议对用户容器使用机器级容器。

但是，这些密钥存储在文件系统中一个众所周知的位置：...ProgramData\Microsoft\Crypto... 受文件系统 ACL 保护。当有人获得对磁盘本身的访问权时，如何保护这些密钥免于泄漏。在这种情况下，潜在的攻击者可以访问整个磁盘，并能够从文件系统复制密钥并使用它们来解密敏感数据。

是否有任何额外的保护，例如那些密钥被磁盘上不可用的东西加密？TPM 密钥？MS 放了什么来保护密钥？

标签： windowssecurityencryptionrsa