RSA OAEP, Golang Encrypt, Java Decrypt -BadPaddingException:

Question

>我正在尝试解密使用 RSA-OAEP 在 Golang 中加密的字符串。 但得到坏填充异常：解密错误。很难弄清楚我错过了什么..

这是 Golang 加密方法

func encryptString() {
rootPEM := io_related.ReadFile("../../resources/pubkey.pem")
//fmt.Printf("Cert String %q n", rootPEM)
block, _ := pem.Decode([]byte(rootPEM))
var cert *x509.Certificate
cert, _ = x509.ParseCertificate(block.Bytes)
rsaPublicKey := cert.PublicKey.(*rsa.PublicKey)
secretMessage := []byte("password")
label := []byte("")
// crypto/rand.Reader is a good source of entropy for randomizing the
// encryption function.
rng := rand.Reader
ciphertext, err := rsa.EncryptOAEP(sha256.New(), rng, rsaPublicKey, secretMessage, label)
if err != nil {
fmt.Fprintf(os.Stderr, "Error from encryption: %sn", err)
return
}
// Since encryption is a randomized function, ciphertext will be
// different each time.
base64EncodedString := base64.StdEncoding.EncodeToString(ciphertext)
fmt.Println(base64EncodedString)
}

和我的Java解密方法作为

public void decryptString(String base64String) throws NoSuchAlgorithmException, CertificateException, IOException, KeyStoreException, UnrecoverableKeyException, NoSuchPaddingException, InvalidKeyException, IllegalBlockSizeException, BadPaddingException{
FileInputStream is = new FileInputStream("priv.p12");
KeyStore keystore = KeyStore.getInstance("PKCS12");
keystore.load(is, "".toCharArray());
System.out.println("Successfully loaded");

String keyAlias = "1";

PrivateKey key = (PrivateKey)keystore.getKey(keyAlias, "".toCharArray());
System.out.println("key "+Base64.encodeBase64String(key.getEncoded()));
Cipher rsaDecryptCipher;
rsaDecryptCipher = Cipher.getInstance("RSA/ECB/OAEPWITHSHA-256ANDMGF1PADDING");
rsaDecryptCipher.init(Cipher.DECRYPT_MODE, key);
final byte[] plainText = rsaDecryptCipher.doFinal(Base64.decodeBase64(base64String));
System.out.println("Plain   : " + new String(plainText));
}

我

1. 确保我使用相同的密钥对而不是不同的私钥
2. 确保哈希算法在加密和解密"SHA256"中使用相同的

我可能遗漏了一些东西，如果有人需要更多详细信息，请告诉我。感谢您的帮助!.谢谢

Answer 1

OAEP使用两种哈希算法：一种在标签上(fka参数)，另一种在掩码生成函数(MGF1)中;这些算法可以不同。请参阅 rfc8017 中的 7.1.1 和 B.2.1。

我不知道 Go 代码是设置了一个(以及哪个)还是两个，但是 Java 如何处理该getInstance取决于您使用的提供程序，这反过来至少部分取决于您使用的 Java 实现。在 Sun/Oracle 和 OpenJDK 实现中默认配置的 SunJCE 提供程序仅更改标签哈希，将 MGF1 保持在 SHA1;BouncyCastle 提供程序更改了两者。我不知道IBM和Android在这里做什么。

一旦你确定(或猜测)Go 在做什么，你就可以通过在你的.init中添加一个适当的OAEPParameterSpec和相关MGF1ParameterSpec来匹配它。

主要是欺骗OAEP与MD5和MGF1在node-rsa
和分解RSA/ECB/OAEPWithSHA-256AndMGF1Padding
(复制于 https://security.stackexchange.com/questions/97548/breaking-down-rsa-ecb-oaepwithsha-256andmgf1padding)