1

我正在编写一个密码程序，并希望将几种密码块和流模式与散列机制一起使用。我在使用 OFB 等流模式加密、解密和验证消息时没有任何问题，但是当他们使用填充时，我在使用块密码模式解密和验证消息时遇到问题。

例如，我将 ECB（我知道它不是很好）与 PKCS7Padding 和 SHA-256 一起使用。在我解密消息后，它最后有一些字符。除此之外，我收到消息，哈希摘要不等于原始摘要。

当我不使用填充时，不会发生此问题。

这是我的代码：

@Override
public byte[] encrypt(byte[] input) throws Exception {
    Cipher cipher = Cipher.getInstance("AES/ECB/" + getPadding(), "BC");
    cipher.init(Cipher.ENCRYPT_MODE, getKey());
    byte[] output = getBytesForCipher(cipher, input);
    int ctLength = cipher.update(input, 0, input.length, output, 0);
    updateHash(input);
    cipher.doFinal(getDigest(), 0, getDigest().length, output, ctLength);
    return output;
}

protected byte[] getBytesForCipher(Cipher cipher, byte[] input) {
    return new byte[cipher.getOutputSize(input.length + hash.getDigestLength())];
}

protected void updateHash(byte[] input) {
    hash.update(input);
}


public byte[] decrypt(byte[] input) throws Exception {
    Cipher cipher = Cipher.getInstance("AES/ECB/" + getPadding(), "BC");
    cipher.init(Cipher.DECRYPT_MODE, getKey());
    byte[] output = new byte[cipher.getOutputSize(input.length)];
    int ctLength = cipher.update(input, 0, input.length, output, 0);
    cipher.doFinal(output, ctLength);
    return removeHash(output);
}

protected byte[] removeHash(byte[] output) {
    int messageLength = output.length - hash.getDigestLength();
    hash.update(output, 0, output.length - hash.getDigestLength());;
    byte[] realOutput = new byte[messageLength];
    System.arraycopy(output, 0, realOutput, 0, messageLength);
    messageValid = isValid(output);
    return realOutput;
}

private boolean isValid(byte[] output) {
    int messageLength = output.length - hash.getDigestLength();
    byte[] messageHash = new byte[hash.getDigestLength()];
    System.arraycopy(output, messageLength, messageHash, 0, messageHash.length);
    return MessageDigest.isEqual(hash.digest(), messageHash);
}

我正在使用 bouncycastle 提供程序。

4

1 回答 1

2

如果您查看getOutputSize方法，Cipher您将从文档中获得以下信息：

updatenext or call的实际输出长度doFinal可能小于该方法返回的长度。

这正是咬你的东西。由于密码实例在解密之前无法确定填充量，因此它将假设输出/明文大小与明文大小相同。实际上，由于始终执行 PKCS#7 填充，因此在 JCE 实现中它可能假设一个字节过多。

所以你不能忽略doFinal; 您需要调整数组的大小（Arrays例如使用类）或从缓冲区中的正确位置获取纯文本和散列。

显然，流密码不会有这个问题，因为明文大小和密文大小是相同的。

通常使用密钥散列（即 MAC 或 HMAC）或经过验证的密码来确保密文不被更改。在明文上使用散列可能无法完全保护您的明文。

于 2017-07-24T17:03:44.753 回答