BỘ NHÀ CUNG CẤP MẬT MÃ PQC TIN CẬY
Hồ sơ nhà cung cấp Windows được quản trị theo phiên bản cho khóa phần cứng và khóa ký từ xa. Luồng NCrypt/CNG hiện đại được tách rõ khỏi khả năng tương thích CryptoAPI/CSP cũ để ứng dụng chọn đúng hợp đồng tích hợp.
PHẠM VI CỤ THỂ, KHÔNG PHẢI TUYÊN BỐ WINDOWS CHUNG
CNG/KSP là bề mặt tích hợp hiện đại được ưu tiên. Ứng dụng cũ gọi CryptoAPI/CAPI không thể mặc nhiên hoạt động qua KSP; cần cầu nối CSP/CAPI được phê duyệt, kiểm thử riêng hoặc hiện đại hóa ứng dụng.
NCrypt storage-provider contract, persisted keys, Windows certificate-store binding, release-specific algorithms and hardware/remote key backends.
Separate compatibility profile for applications using CryptAcquireContext, legacy key containers and CryptoAPI signing. It is not implied by CNG/KSP support.
Release profiles can bind Windows key handles to Trusted Key, an approved HSM/QSCD connector or Trusted SIC remote signing without exposing private-key material to the application.
HỢP ĐỒNG NCRYPT
| Thao tác | Trạng thái pilot | Bằng chứng bắt buộc |
|---|---|---|
| NCryptOpenStorageProvider | Đã lập hồ sơ | Registered provider name and package version |
| NCryptCreatePersistedKey / FinalizeKey | Đã lập hồ sơ | Key type, scope, policy and backend |
| NCryptOpenKey / EnumKeys / DeleteKey | Đã lập hồ sơ | Container lifecycle and zeroization result |
| NCryptSignHash / VerifySignature | Đã lập hồ sơ | Algorithm, encoding and verifier result |
| NCryptImportKey / ExportKey | Hạn chế | Public-only or approved migration profile |
| NCryptGetProperty / SetProperty | Theo danh sách cho phép | Supported property register |
The public matrix is a documentation baseline. The signed release manifest remains the source of truth for a deployable build.
LUỒNG THAM CHIẾU
Xác định ứng dụng dùng NCrypt/CNG hay CryptoAPI/CAPI hệ cũ trước khi chọn đường provider.
Ghi nhận bản Windows, kiến trúc, checksum gói và backend bảo vệ khóa.
Triển khai gói đã ký, xác minh đăng ký provider và nguồn event log.
Áp dụng tên container, ACL, chính sách export và xác thực.
Tạo CSR, gắn chứng thư và chạy bộ kiểm thử ký/xác minh được phê duyệt.
Ghi nhận tương thích, chẩn đoán, nâng cấp và kết quả quay lui.
BỘ TÀI LIỆU TÍCH HỢP
Mô tả cài đặt gói đã ký, đăng ký provider, kiểm tra kiến trúc, nguồn Windows Event Log và đường nâng cấp/quay lui cho từng bản hệ điều hành được phê duyệt.
Open guide →Mô tả tạo yêu cầu bằng certreq và CertEnroll, cài vào certificate store, gắn key container, gia hạn, gắn lại và thu hồi đối với khóa được bảo vệ.
Open enrollment guide →Công bố tổ hợp đã kiểm thử của bản Windows, gói provider, backend bảo vệ, hồ sơ thuật toán và ứng dụng sử dụng thay vì tuyên bố tương thích Windows chung.
View matrix →Ánh xạ mã trạng thái NCrypt, sự kiện provider và liên kết backend bảo vệ thành nhóm chẩn đoán ổn định với hướng dẫn retry fail-closed và support bundle.
Open diagnostics →Cung cấp mã C++, C#, PowerShell và mẫu yêu cầu chứng thư để minh họa trình tự; tên provider và profile được lấy từ release manifest đã ký.
Xem mã mẫu →Tách ứng dụng CryptAcquireContext/CryptSignHash hệ cũ khỏi ứng dụng NCrypt và cung cấp đường quyết định hiện đại hóa hoặc cầu nối có phạm vi riêng.
Review CSP/CAPI scope →RANH GIỚI CÔNG BỐ
Các giới hạn này ngăn hồ sơ pilot bị hiểu thành tuyên bố hỗ trợ chung không có bằng chứng.
PILOT CÓ KIỂM SOÁT
The acceptance record must identify the exact OS build, provider version, key backend, algorithm profile, consumer application and rollback result.
English
Tiếng Việt