X509CertificateLoaderExtensions.MergeWithPemKey nadal wymaga profilu użytkownika

[bail16]

Wg. changeloga metoda X509CertificateLoaderExtensions.MergeWithPemKey nie wymaga profilu użytkownika, natomiast po wyłączeniu LoadUserProfile na IIS dostaję wyjątek

System.Security.Cryptography.CryptographicException: The EncryptedPrivateKeyInfo structure was decoded but was not successfully interpreted, the password may be incorrect.
 ---> System.Security.Cryptography.CryptographicException: Nie można odnaleźć określonego pliku.
   at System.Security.Cryptography.CngKey.Import(ReadOnlySpan`1 keyBlob, String curveName, CngKeyBlobFormat format, CngProvider provider)
   at System.Security.Cryptography.CngPkcs8.ImportPkcs8(ReadOnlySpan`1 keyBlob)
   at System.Security.Cryptography.CngPkcs8.ImportEncryptedPkcs8PrivateKey(ReadOnlySpan`1 password, ReadOnlySpan`1 source, Int32& bytesRead)
   --- End of inner exception stack trace ---
   at System.Security.Cryptography.CngPkcs8.ImportEncryptedPkcs8PrivateKey(ReadOnlySpan`1 password, ReadOnlySpan`1 source, Int32& bytesRead)
   at System.Security.Cryptography.ECDsaCng.ImportEncryptedPkcs8PrivateKey(ReadOnlySpan`1 password, ReadOnlySpan`1 source, Int32& bytesRead)
   at System.Security.Cryptography.PemKeyHelpers.ImportEncryptedPem[TPass](ReadOnlySpan`1 input, ReadOnlySpan`1 password, ImportEncryptedKeyAction`1 importAction)
   at KSeF.Client.Extensions.X509CertificateLoaderExtensions.MergeWithPemKey(X509Certificate2 publicCert, String privateKeyPem, String password)

[CIRF-DEV2]

Dziękujemy za zgłoszenie. Czy podany publicCert przez Ciebie w MergeWithPemKey() miał oid RSA czy ECdsa?

Sprawdzając ten przypadek zauważyłem, że niektóre zachowania metody ecdsa.ImportFromEncryptedPem(...) (która jest użyta w MergeWithPemKey ) mogą powodować przedstawiony przez Ciebie błąd. Oczywiście zajmiemy się tym, aby to poprawić. Powinno to znaleźć się w najbliższym wydaniu biblioteki.

Póki co, jeśli to możliwe, spróbuj użyć RSA (jeśli oczywiście dotychczas używałeś ECdsa).

Daj znać, czy użyłeś ECdsa, czy RSA i czy ewentualna zmiana na RSA pomogła.

[bail16]

Klucz prywatny został poprany z aplikacji webowej KSEF ze środowiska TEST. Jest to klucz prywatny ECDsa.
Chyba nie jestem w stanie sterować jaki klucz prywatny zostanie wygenerowany w aplikacji KSEF, a jeśli jestem w stanie to proszę o informacje jak wygenerować RSA

[CIRF-DEV2]

Domyślam się, że mówisz o Aplikacji Podatnika KSeF 2.0 - wersja testowa. Faktem jest, że zarówno wersja testowa jak i wersja produkcyjna Aplikacji Podatnika generują certyfikaty z użyciem ECdsa.

Wtrącę tutaj uzupełnienie:
API KSeF, wymaga przejście przez proces uwierzytelniania, do którego wymagany jest certyfikat. Ważne jest, aby wiedzieć, że:

1. Środowisko DEMO API KSeF wymaga ważnego certyfikatu dostępowego, który można uzyskać m.in. za pomocą produkcyjnej Aplikacji Podatnika KSeF 2.0.
2. Środowisko TEST API KSeF ma własne mechanizmy uwierzytelniania i nie wymaga certyfikatu wygenerowanego w produkcyjnej Aplikacji Podatnika, przyjmuje również certyfikaty self-signed.

Pamiętaj, że te wygenerowane przez wersję testową mogą nie działać na DEMO API.

@bail16
Jeśli testujesz swoją integracją ze środowiskiem TEST, to możesz użyć certyfikatów self-signed. Najprościej będzie, jeśli użyjesz odpowiedniego buildera z biblioteki KSeF.Client.

var myRsaCert = SelfSignedCertificateForSignatureBuilder
                .Create()
                .WithGivenName("Jan")
                .WithSurname("Kowalski")
                .WithSerialNumber("TINPL-" + myNip)
                .WithCommonName("Jan Kowalski")
                .AndEncryptionType(EncryptionMethodEnum.Rsa)
                .Build();

Tak przygotowany certyfikat będzie używał RSA i zadziała na ISS z wyłączonym profilem użytkownika z metodą MergeWithPemKey().
To da Ci możliwość przetestowania innych funkcjonalności API w Twojej integracji.

Poprawka umożliwiające poprawne działanie MergeWithPemKey() w przypadku użycia ECdsa na ISS z wyłączonym profilem użytkownika pojawi się w poniedziałek lub wtorek.

[CIRF-DEV2]

@bail16 Jeśli masz możliwość, aby włączyć profil użytkownika na swoim IIS to powinno rozwiązać cały problem i Twój kod zadziała poprawnie bez przeróbek.

Tutaj wątek jak to włączyć:
https://stackoverflow.com/questions/9951729/x509certificate-constructor-exception/10048789#10048789

[bail16]

Jasne, testowo jestem sobie w stanie włączać profil użytkownika i nie ma najmniejszego problemu z testowaniem. Problem pojawia się u klientów, którym dostarczam rozwiązanie i każdy z nich musi włączać profil użytkownika na IIS aby wgrać certyfikat pobrany z Środowiska DEMO API KSeF.

W takim razie czekam na wersję przedświąteczną i będę testował. Dzięki za reakcję

[CIRF-DEV2]

@bail16 czy nowa wersja metody MergeWithPemKey() zachowuje się zgodnie z oczekiwaniami w Twojej implementacji?

[bail16]

@CIRF-DEV2 Niestety, błąd nadal występuje

System.Security.Cryptography.CryptographicException: Nie można odnaleźć określonego pliku.
   at System.Security.Cryptography.CngKey.Import(ReadOnlySpan`1 keyBlob, String curveName, CngKeyBlobFormat format, CngProvider provider)
   at System.Security.Cryptography.CngPkcs8.ImportPkcs8(ReadOnlySpan`1 keyBlob)
   at System.Security.Cryptography.CngPkcs8.ImportPkcs8PrivateKey(ReadOnlySpan`1 source, Int32& bytesRead)
   at System.Security.Cryptography.ECDsaCng.ImportPkcs8PrivateKey(ReadOnlySpan`1 source, Int32& bytesRead)
   at KSeF.Client.Extensions.X509CertificateLoaderExtensions.MergeWithPemKeyNoProfileForEcdsa(X509Certificate2 publicCert, String privateKeyPem, String password)
   at KSeF.Client.Extensions.X509CertificateLoaderExtensions.MergeWithPemKey(X509Certificate2 publicCert, String privateKeyPem, String password)

[CIRF-DEV2]

@bail16 Dzięki za stack trace. Bardzo trudno to zreprodukować, będziemy próbować dalej ominąć jakoś kłopotliwe wywołanie CNG.