我知道在AES计数器模式下,我需要使用128位随机数。要做到这一点,最天真的方法是使用随机的128位随机数,但如果计数器作为所有随机位传递,我不确定算法是否能够正确地递增计数器。我认为正确的方法是使用96位的nonce和从0开始的32位计数器,例如:
var key = CryptoJS.enc.Hex.parse('01ab23cd45ef67089a1b2c3d4e5f6a7b'); // 128 bits / 16 bytes
var nonce = '2301cd4ef785690a1b2c3dab'; // 96 bits / 12 bytes
var counter = '00000000'; // 32 bits / 4 bytes
var nonceAndCounter = nonce + counter;
nonceAndCounter = CryptoJS.enc.Hex.parse(nonceAndCounter);
var plaintext = 'The quick brown fox jumps over the lazy dog.';
var encryption = CryptoJS.AES.encrypt(plaintext, key, { iv: nonceAndCounter, mode: CryptoJS.mode.CTR, padding: CryptoJS.pad.NoPadding });
var ciphertext = encryption.ciphertext.toString(CryptoJS.enc.Hex);
这是使用CryptoJS库的正确方法吗?或者正确的方法是什么?
我将在深入研究库代码时回答我自己的问题,看看它到底做了什么。
摘要:
答案是你可以使用两种方法中的任何一种,它都会像预期的那样工作:
1)传入长度为96位的随机随机随机数,库本身将自动添加32位计数器,并随着生成的每个密钥流块而递增。例如
var nonce = CryptoJS.enc.Hex.parse('2301cd4ef785690a1b2c3dab'); // 12 Bytes
var encryption = CryptoJS.AES.encrypt(plaintext, key, { iv: nonce, mode: CryptoJS.mode.CTR, padding: CryptoJS.pad.NoPadding });
2)传入长度为96位的随机随机随机数,如果您愿意,还可以显式指定32位计数器。如果您想从第9个块开始加密/解密,您甚至可以指定00000009
这样的计数器。以下是从计数器0开始的示例:
var nonce = '2301cd4ef785690a1b2c3dab'; // 12 Bytes
var counter = '00000000'; // 4 Bytes, start at counter 0
var nonceAndCounter = CryptoJS.enc.Hex.parse(nonce + counter); // 16 Bytes
var encryption = CryptoJS.AES.encrypt(plaintext, key, { iv: nonceAndCounter, mode: CryptoJS.mode.CTR, padding: CryptoJS.pad.NoPadding });
解释:
使用问题中的代码和00000000
的32位计数器,相关代码在此文件mode-ctr.js:中
/**
* Counter block mode.
*/
CryptoJS.mode.CTR = (function () {
var CTR = CryptoJS.lib.BlockCipherMode.extend();
var Encryptor = CTR.Encryptor = CTR.extend({
processBlock: function (words, offset) {
// Shortcuts
var cipher = this._cipher
var blockSize = cipher.blockSize;
var iv = this._iv;
var counter = this._counter;
// Generate keystream
if (iv) {
counter = this._counter = iv.slice(0);
// Remove IV for subsequent blocks
this._iv = undefined;
}
var keystream = counter.slice(0);
cipher.encryptBlock(keystream, 0);
// Increment counter
counter[blockSize - 1] = (counter[blockSize - 1] + 1) | 0
// Encrypt
for (var i = 0; i < blockSize; i++) {
words[offset + i] ^= keystream[i];
}
}
});
CTR.Decryptor = Encryptor;
return CTR;
}());
当使用断点在浏览器JS调试器中运行此代码时,它会将nonceAndCounter
转换为由32位元素组成的WordArray:
[587320654, -142251766, 455884203, 0]
这用于加密块。要加密下一个块,它运行以下行:
counter[blockSize - 1] = (counter[blockSize - 1] + 1) | 0
其计算为取counter[3]
元素,即整数0,并将其递增为:
[587320654, -142251766, 455884203, 1]
通过后续的块和nonce,我可以看到。。。
[587320654, -142251766, 455884203, 2]
[587320654, -142251766, 455884203, 3]
[587320654, -142251766, 455884203, 4]
等等。所以它看起来是正确的工作方式。
与此形成对比的是,如果您传递128位随机随机随机数,例如
var nonceAndCounter = CryptoJS.enc.Hex.parse('2301cd4ef785690a1b2c3dabdf99a9b3');
这会产生一个nonce:
[587320654, -142251766, 455884203, -543577677, 0]
所以它创建了5个数组元素!?然后,该函数将第四个元素从-543577677
递增到-543577676
,然后是-543577675
,再是-543577674
,依此类推。因此,它在某种程度上仍然有效,但增量不如从0开始那么好,而且可能更容易出错。
当我只传入一个96位随机随机随机数时,库会自动将起始计数器作为0添加到计数器数组的末尾,并为后续块正确地递增。例如
[587320654, -142251766, 455884203, 0]
[587320654, -142251766, 455884203, 1]
[587320654, -142251766, 455884203, 2]