经过许多头痛和建议停止的人，我终于设法让我的服务器/客户端应用程序使用此 API 并创建所需的密钥，即会话和交换。
当我将公钥发送给客户端时，它会成功导入密钥，并且还会使用该密钥加密消息，但是当我将其传递回服务器时；它使用会话密钥解密消息，但消息作为垃圾返回（嗯..需要私钥！）。现在这可能是由于我通过 rpc 将加密消息传回的方式，但有些东西告诉我它是另一回事。理想情况下，我需要一个清晰明了的解释，说明我应该使用所有这些键做什么，因为我目前获得的信息非常混乱。
我是否将交换公钥传递给客户端，以便它可以加密消息并返回解密。
或者：
我真的应该用服务器公钥加密客户端会话密钥然后返回吗？（这对我来说听起来不对，但我全神贯注！！！）
请留下评论以转移到另一个 API，或从 MSDN 复制馅饼（我已经阅读了所有内容）。我正在使用 Crypto API，只需要清楚地解释服务器应该将哪些密钥传递给客户端，然后客户端应该做什么并传回，以便我最终可以继续......
如果您真的决心坚持使用该 API，那么听起来您是在正确的轨道上 :)
密码学中有两个不同的加密算法系列。1) 使用对称密钥的密钥和 2) 使用非对称密钥的密钥。对称密钥算法（例如 AES、DES...）非常快，只要有一种安全的方法来确保客户端和服务器都具有相同的密钥（即会话密钥）并且没有其他人可以访问那把钥匙。另一方面，也称为私钥/公钥算法的非对称密钥算法（例如 RSA ...）在计算上要昂贵得多。它们有一个只能用于加密数据的密钥和一个只能用于解密数据的第二个密钥。正如您所发现的，这些算法非常适合初始握手和会话密钥交换。服务器创建公钥/私钥对并将公钥发送给客户端。任何人都可以拦截它，但是当客户端对会话密钥进行编码并将其发送回时，如果窃听者想要找出会话密钥，则公共密钥是无用的。只有服务器可以解码消息，因为它是唯一持有私钥的实体。因此，您最初的问题是，当消息返回时，您没有使用该对中的私钥，而是使用了同步会话密钥，因此得到了垃圾。
本质上，您刚刚实现了 SSL 所做的基本握手（如果使用 OpenSSL 库，您可以轻松地用很少的代码行完成）。
执行握手后，您现在在客户端和服务器之间拥有了一个安全通道。您可能遇到的唯一问题是，如果有人捎带您的服务器的 IP 地址并开始假装他们是真正的服务器怎么办？您的客户端会认为他正在与真实服务器通话，它会进行密钥交换并开始发送安全信息，但如果攻击者的 PC 恰好在另一端，这些信息可能最终都落入恶意手中。
这就是 SSL 使用证书的地方。证书是使用公钥/私钥的另一个例子。受信任的机构使用私钥对证书哈希码进行签名，任何人都可以通过使用证书身份数据附加公钥来验证证书是否有效。这样即使攻击者接管了您服务器的 IP 地址，也无法伪造您服务器的证书。