Шифрование с использованием BouncyCastle (Java) и Gcrypt (C) дает другой результат

Question

Я написал эту простую Java-программу, которая шифрует строку и выводит шестнадцатеричное значение текста iv, salt, производного ключа и зашифрованного текста.

public class tmp{
    static Cipher encryptionCipher;
    static String RANDOM_ALGORITHM = "SHA1PRNG";
    static String PBE_ALGORITHM = "PBEWithSHA256And256BitAES-CBC-BC";
    static String CIPHER_ALGORITHM = "AES/CBC/PKCS7Padding";
    static String SECRET_KEY_ALGORITHM = "AES";
    static int PBE_ITERATION_COUNT = 2048;
    static String PROVIDER = "BC";

    public static byte[] generateIv() {
        try{
        SecureRandom random;
        random = SecureRandom.getInstance(RANDOM_ALGORITHM);
        byte[] iv = new byte[16];
        random.nextBytes(iv);
        return iv;
        } catch(Exception e){
        return null;            // Always must return something
        }
    }

    public static byte[] generateSalt() {
         try {SecureRandom random;
         random = SecureRandom.getInstance(RANDOM_ALGORITHM);
         byte[] salt = new byte[32];
         random.nextBytes(salt);
         return salt;
         } catch(Exception e){
        return null;            // Always must return something
    }
     }

     public static SecretKey getSecretKey(String password, byte[] salt){
         try {
            PBEKeySpec pbeKeySpec = new PBEKeySpec(password.toCharArray(), salt, PBE_ITERATION_COUNT, 256);
            SecretKeyFactory factory = SecretKeyFactory.getInstance(PBE_ALGORITHM, PROVIDER);
            SecretKey tmp = factory.generateSecret(pbeKeySpec);
            return new SecretKeySpec(tmp.getEncoded(), SECRET_KEY_ALGORITHM);
        } catch(Exception e){
        System.out.println(e);            // Always must return something
        return null;
        }        
     }

     public static String encrypt(String plaintext, Key key, byte[] iv) {
        try {
            AlgorithmParameterSpec ivParamSpec = new IvParameterSpec(iv);
            encryptionCipher = Cipher.getInstance(CIPHER_ALGORITHM, PROVIDER);
            encryptionCipher.init(Cipher.ENCRYPT_MODE, key, ivParamSpec);
            byte[] ciphertext = encryptionCipher.doFinal(plaintext.getBytes("UTF-8"));
            String cipherHexString = DatatypeConverter.printHexBinary(ciphertext);
            return cipherHexString;
        }
        catch (Exception e) {
             System.out.println(e);
            return null;
        }

    }

     public static void main (String[] Args){
         SecretKey key;
         //sha512(ciao)
         String encami = "This is a test pharse. Thanks!!";
         String password = "a0c299b71a9e59d5ebb07917e70601a3570aa103e99a7bb65a58e780ec9077b1902d1dedb31b1457beda595fe4d71d779b6ca9cad476266cc07590e31d84b206";
         byte[] iv = new byte[16];
         byte[] salt = new byte[32];
         iv = generateIv();
         salt = generateSalt();
         String ll = DatatypeConverter.printHexBinary(iv);
         String lp = DatatypeConverter.printHexBinary(salt);
         System.out.println(ll);
         System.out.println(lp);
         key = getSecretKey(password, salt);
         byte tt[] = new byte[32];
         tt = key.getEncoded();
         String lo = DatatypeConverter.printHexBinary(tt);
         System.out.println(lo);
         String outenc = encrypt(encami, key, iv);
         System.out.println(outenc);
     }
}

В следующей C-программе iv и salt инициализируются значениями, данными вышеупомянутой Java-программой. Заполнение не требуется, поскольку длина текста составляет 32 байта.

#include <stdio.h>
#include <gcrypt.h>
#include <stdlib.h>
#include <string.h>

int
main (void)
{
    int i;
    char *encami = "This is a test pharse. Thanks!!";
    char *pwd = "a0c299b71a9e59d5ebb07917e70601a3570aa103e99a7bb65a58e780ec9077b1902d1dedb31b1457beda595fe4d71d779b6ca9cad476266cc07590e31d84b206";
    unsigned char iv[] = {};
    unsigned char salt[] = {};
    int algo = gcry_cipher_map_name("aes256");
    unsigned char *devkey = NULL;
    unsigned char *enc_buf = NULL;

    enc_buf = gcry_malloc(32);
    devkey = gcry_malloc_secure (32);

    gcry_cipher_hd_t hd;
    gcry_cipher_open(&hd, algo, GCRY_CIPHER_MODE_CBC, 0);
    gcry_kdf_derive (pwd, strlen(pwd)+1, GCRY_KDF_PBKDF2, GCRY_MD_SHA256, salt, 32, 2048, 32, devkey);
    for (i=0; i<32; i++)
        printf ("%02x", devkey[i]);
    printf("\n");
    gcry_cipher_setkey(hd, devkey, 32);
    gcry_cipher_setiv(hd, iv, 16);

    gcry_cipher_encrypt(hd, enc_buf, strlen(encami)+1, encami, strlen(encami)+1);

    for (i=0; i<32; i++)
        printf("%02x", enc_buf[i]);
    printf("\n");
    gcry_cipher_close(hd);
    gcry_free(enc_buf);
    gcry_free (devkey);
    return 0;
}

Моя проблема в том, что полученный ключ не совпадает в этих двух программах. Зачем?
Не работает ли производная функция надувного замка не так, как gcry_kdf_derive?

Спасибо!

Answer 1

Теперь я изучил алгоритм PBEWithSHA256And256BitAES-CBC-BC в поставщике BC и обнаружил, что он не совместим с GCRY_KDF_PBKDF2. Алгоритм gcrypt является PKCS#5 2.0 Scheme 2, тогда как BC фактически реализует PKCS#12.

На самом деле, я до сих пор не нашел именованного алгоритма в провайдере, который соответствует gcrypt, однако я смог напрямую использовать BC API для получения соответствующих результатов ч / б, как показано ниже.

Надувной Замок:

    byte[] salt = new byte[8];
    Arrays.fill(salt, (byte)1);
    PBEParametersGenerator pGen = new PKCS5S2ParametersGenerator(new SHA256Digest());
    pGen.init(Strings.toByteArray("password"), salt, 2048);
    KeyParameter key = (KeyParameter)pGen.generateDerivedParameters(256);
    System.out.println(Hex.toHexString(key.getKey()));

gcrypt:

unsigned char salt[8];
memset(salt, 1, 8);

unsigned char key[32];
gcry_kdf_derive("password", 8, GCRY_KDF_PBKDF2, GCRY_MD_SHA256, salt, 8, 2048, 32, key);

for (int i = 0; i < 32; ++i)
    printf("%02x", key[i]);
printf("\n");

которые оба выводят:

4182537a153b1f0da1ccb57971787a42537e38dbf2b4aa3692baebb106fc02e8

Answer 2

Похоже, вы включаете завершающий символ NULL в ваш счет 32 байта (encami), что объясняет различные результаты. Java-версия видит 31-символьный ввод и предоставляет один выходной блок, дополненный PKCS#7 (PKCS#7 будет заполнять ввод одним байтом '1'). Версия C передает 32 байта, включая последний байт '0'. Так что входы разные.

Я рекомендую вам прекратить рассматривать терминатор NULL как часть ввода; вместо этого примените заполнение PKCS#7, как это делает версия Java. Я не знаком с gcrypt, поэтому я не знаю, каков типичный метод для этого, но заполнение PKCS#7 в любом случае является довольно простой концепцией.