Va bene inviare la chiave privata dell'utente, anche se protetta con un canale SSL? [duplicare]

No. Non è mai, mai OK, inviare la chiave del cliente a qualcun altro. Si chiama una chiave "privata" per un motivo.

È certamente una cattiva pratica, e può anche essere un importante problema legale.

Poiché sia l'utente che il tuo servizio tecnicamente hanno avuto accesso alla chiave privata, non è più possibile garantire chi fosse il firmatario effettivo verso terzi.

Sono d'accordo con i sentimenti qui, che è pessima pratica inviare la chiave privata e sarebbe quasi impossibile fare quello che vuoi.

Perché?

Perché generi la chiave privata su una smartcard . È molto difficile contrassegnare le chiavi private come esportabili su dispositivi con smart card. Richiede specifiche conoscenze di basso livello dell'API della smart card, che vengono chiamate tramite unità di dati del protocollo dell'applicazione . Il modo in cui la maggior parte della crittografia viene eseguita sui dispositivi è tramite CAPI su windows o PKCS#11 su tutte le piattaforme. Nella maggior parte delle implementazioni di dispositivi CAPI, l'API consente di esportare le chiavi private. PKCS # 11 è più di basso livello e potrebbe supportarlo, ma dipenderà da dispositivo a dispositivo.

La tua domanda richiede anche un'altra domanda. Perché il server vuole firmare il documento? Sicuramente l'utente vuole firmare il documento. Quindi basta inviare il documento all'utente tramite HTTPS, l'utente può firmare con la smartcard e caricare la firma sul server (il documento è già sul server). In effetti, per aumentare l'efficienza basta inviare l'hash del documento all'utente tramite HTTPS. Questo è in realtà ciò che verrà crittografato con la chiave privata.

@mki è corretto. È infatti la carta che firma. Pertanto, il tuo progetto non è solo insicuro nel concetto e legalmente vuoto, ma assolutamente irrealizzabile nella pratica.