经过许多头痛和人们建议停止后，我终于设法让我的服务器/客户端应用程序使用此API并创建所需的密钥，即会话和交换。
当我将公钥发送到客户端时，它会成功导入密钥，并且还会使用该密钥加密消息，但是当我将其传递回服务器时;它使用会话密钥解密消息，但消息作为垃圾返回（需要嗯..私钥！）。现在这可能是因为我通过rpc传递加密的消息，但有些东西告诉我这是其他的东西。理想情况下，我需要的是清楚明确地解释我应该用所有这些键做什么，因为我目前获得的信息非常混乱。
我是否将交换公钥传递给客户端，以便它可以加密消息并返回解密。
或：
我是否应该使用服务器公钥加密客户端会话密钥然后返回？ （这对我来说听起来不对，但我全都耳朵!!!）
请遗漏评论以转移到另一个API，或从MSDN复制馅饼（我已经阅读了所有内容）。我正在使用Crypto API，只需要清楚地解释服务器应该传递给客户端的密钥，然后客户端应该做什么并传回去，这样我终于可以继续...
答案 0 :(得分：2)
如果你真的决心坚持使用那个API，那么听起来你是在正确的轨道上：）
加密算法中有两种不同的加密算法。 1）使用对称密钥的那些和2）使用非对称密钥的那些。对称密钥算法（例如AES，DES ......）速度非常快，只要有一种安全的方法可以确保客户端和服务器具有相同的密钥（即会话密钥），并且没有其他人可以访问那把钥匙。另一方面，非对称密钥算法（例如RSA ...），它们也是已知的私有/公共密钥算法，在计算上更加昂贵。它们只有一个密钥，只能用于加密数据，第二个密钥只能用于解密数据。正如您所发现的，这些算法非常适合初始握手和会话密钥交换。服务器创建公钥/私钥对，并向客户端发送公钥。任何人都可以拦截它，但是当客户端对会话密钥进行编码并将其发回时，如果窃听者想要查找会话密钥，则pbulic密钥是无用的。只有服务器才能解码消息，因为它是唯一持有私钥的实体。所以你最初的问题是，当消息回来时，你没有使用该对中的私钥，而是使用同步会话密钥，因此变得垃圾。
基本上你刚刚实现了SSL所做的基本握手（如果使用OpenSSL库，你很容易用很少的代码行完成）。
执行握手后，您现在可以在客户端和服务器之间建立安全通道。您可能遇到的唯一问题是，如果有人捎带您的服务器的IP地址并开始假装，就像他们是真正的服务器一样？您的客户会认为他正在与真实服务器通信，它会进行密钥交换并开始发送安全信息，但如果攻击者的PC恰好位于另一端，那么这些信息可能都会被恶意攻击。
这是SSL使用证书的地方。证书是使用公钥/私钥的另一个例子。受信任的机构使用私钥来签署证书哈希码，任何人都可以通过使用它的附加公钥来证明证书身份数据来验证证书是否有效。这样，即使攻击者接管了服务器的IP地址，它也无法欺骗您的服务器证书。