将哈希与填充和分组密码模式结合使用

Question

我正在编写一个密码学程序，并希望使用几种密码块和流模式以及散列机制。我在使用 OFB 等流模式加密、解密和验证消息方面没有任何问题，但是当他们使用填充时，我在使用 blockcipher moder 解密和验证消息时遇到问题。

例如，我将 ECB(我知道它不是很好(与 PKCS7Play 和 SHA-256 一起使用。解密消息后，它末尾有一些字符。除此之外，我得到的消息是哈希摘要不等于原始摘要。

当我不使用填充时，此问题不会发生。

这是我的代码：

@Override
public byte[] encrypt(byte[] input) throws Exception {
Cipher cipher = Cipher.getInstance("AES/ECB/" + getPadding(), "BC");
cipher.init(Cipher.ENCRYPT_MODE, getKey());
byte[] output = getBytesForCipher(cipher, input);
int ctLength = cipher.update(input, 0, input.length, output, 0);
updateHash(input);
cipher.doFinal(getDigest(), 0, getDigest().length, output, ctLength);
return output;
}
protected byte[] getBytesForCipher(Cipher cipher, byte[] input) {
return new byte[cipher.getOutputSize(input.length + hash.getDigestLength())];
}
protected void updateHash(byte[] input) {
hash.update(input);
}

public byte[] decrypt(byte[] input) throws Exception {
Cipher cipher = Cipher.getInstance("AES/ECB/" + getPadding(), "BC");
cipher.init(Cipher.DECRYPT_MODE, getKey());
byte[] output = new byte[cipher.getOutputSize(input.length)];
int ctLength = cipher.update(input, 0, input.length, output, 0);
cipher.doFinal(output, ctLength);
return removeHash(output);
}
protected byte[] removeHash(byte[] output) {
int messageLength = output.length - hash.getDigestLength();
hash.update(output, 0, output.length - hash.getDigestLength());;
byte[] realOutput = new byte[messageLength];
System.arraycopy(output, 0, realOutput, 0, messageLength);
messageValid = isValid(output);
return realOutput;
}
private boolean isValid(byte[] output) {
int messageLength = output.length - hash.getDigestLength();
byte[] messageHash = new byte[hash.getDigestLength()];
System.arraycopy(output, messageLength, messageHash, 0, messageHash.length);
return MessageDigest.isEqual(hash.digest(), messageHash);
}

我正在使用充气堡提供商。

Answer 1

如果您查看getOutputSizeCipher方法，您将从文档中得到以下内容：

下一个update或doFinal调用的实际输出长度可能小于此方法返回的长度。

而这正是咬你的东西。由于密码实例在解密之前无法确定填充量，因此它将假定输出/明文大小与明文大小相同。实际上，由于 PKCS#7 填充始终执行，因此在 JCE 实现中可能会过多地假定一个字节。

所以你不能只是忽略doFinal的响应;你需要调整数组的大小(例如使用Arrays类(或从缓冲区中的正确位置获取明文和哈希。

显然，流密码不会有这个问题，因为明文大小和密文大小是相同的。

---

通常使用密钥哈希(即MAC或HMAC(或经过身份验证的密码来确保密文不被更改。在明文上使用哈希可能无法完全保护您的明文。