我需要保护服务器上的静态敏感数据。为了加密它们，我使用由 RSACryptographicProvider 生成的 RSA 密钥对。 Microsoft 建议将 RSA 密钥存储在如下所述的密钥容器中：https://docs.microsoft.com/en-us/dotnet/standard/security/how-to-store-asymmetric-keys-in-a-key-container。他们还强烈建议对用户容器使用机器级容器。
但是，这些密钥存储在文件系统上的一个众所周知的位置：...ProgramData\Microsoft\Crypto... 受文件系统 ACL 保护。当有人获得对磁盘本身的访问权限时，如何防止这些密钥泄漏。在这种情况下，潜在的攻击者可以访问整个磁盘，并能够从文件系统复制密钥并使用它们来解密敏感数据。
是否有任何额外的保护，例如那些被磁盘上不可用的东西加密的密钥？ TPM 密钥？ MS 采取了什么措施来保护密钥？