Java Android，解码AES-256时出错

Question

我正在尝试解密一些文本，但出现错误:

javax.crypto.BadPaddingException: error:06065064:digital envelope routines:EVP_DecryptFinal_ex:bad decrypt com.android.org.conscrypt.NativeCrypto.EVP_CipherFinal_ex(Native Method) com.android.org.conscrypt.OpenSSLCipher.doFinalInternal(OpenSSLCipher.java:430) com.android.org.conscrypt.OpenSSLCipher.engineDoFinal(OpenSSLCipher.java:466)javax.crypto.Cipher.doFinal(Cipher.java:1340)

import android.util.Base64;

import java.security.spec.KeySpec;
import javax.crypto.Cipher;
import javax.crypto.SecretKey;
import javax.crypto.SecretKeyFactory;
import javax.crypto.spec.IvParameterSpec;
import javax.crypto.spec.PBEKeySpec;
import javax.crypto.spec.SecretKeySpec;

public class AESEncrypter {

    private static final byte[] SALT = {
            (byte) 0xA9, (byte) 0x9B, (byte) 0xC8, (byte) 0x32,
            (byte) 0x56, (byte) 0x35, (byte) 0xE3, (byte) 0x03
    };
    private static final int ITERATION_COUNT = 65536;
    private static final int KEY_LENGTH = 256;
    private Cipher ecipher;
    private Cipher dcipher;

    public AESEncrypter(String passPhrase) throws Exception {
        SecretKeyFactory factory = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA1");
        KeySpec spec = new PBEKeySpec(passPhrase.toCharArray(), SALT, ITERATION_COUNT, KEY_LENGTH);
        SecretKey tmp = factory.generateSecret(spec);
        SecretKey secret = new SecretKeySpec(tmp.getEncoded(), "AES");

        ecipher = Cipher.getInstance("AES/CBC/PKCS5Padding"); // "AES/CBC/NoPadding"
        ecipher.init(Cipher.ENCRYPT_MODE, secret);

        dcipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
        byte[] iv = ecipher.getParameters().getParameterSpec(IvParameterSpec.class).getIV();
        dcipher.init(Cipher.DECRYPT_MODE, secret, new IvParameterSpec(iv));
    }

    public String encrypt(String encrypt) throws Exception {
        encrypt = encrypt.replace("\n", "");

        byte[] bytes = encrypt.getBytes("UTF8");
        byte[] encrypted = encrypt(bytes);
        return Base64.encodeToString(encrypted, Base64.DEFAULT);
    }

    public byte[] encrypt(byte[] plain) throws Exception {
        return ecipher.doFinal(plain);
    }

    public String decrypt(String encrypt) throws Exception {
        encrypt = encrypt.replace("\n", "");
        byte[] bytes = Base64.decode(encrypt, Base64.DEFAULT);
        byte[] decrypted = decrypt(bytes);
        return new String(decrypted, "UTF8");
    }

    public byte[] decrypt(byte[] encrypt) throws Exception {
        return dcipher.doFinal(encrypt);
    }

}

有什么建议吗？

Answer 1

^{这个答案完全是在黑暗中拍摄的，但它是有道理的。}

问题:

目前，您正在从 Cipher 实例中检索 IV 作为字节数组进行加密，并将相同的字节数组传递给 Cipher 实例进行解密。问题可能是这个 IV 实际上并没有被复制，而是反射(reflect)了加密过程的执行状态。一个常见的 CBC 实现可能使用应该是 IV 的字节数组作为每个 block 加密的状态。这种状态在加密后会发生变化。

因此，如果解密在错误的 IV 上进行并且原始明文短于 16 字节，这很可能(256 中的 ~255)导致 BadPaddingException。如果明文是 16 个字节或更长，那么您不会看到 BadPaddingException，但前 16 个字节看起来像垃圾。我建议你看看如何CBC mode works .

可能的解决方案:

您需要复制 IV。所以这应该足够了:

dcipher.init(Cipher.DECRYPT_MODE, secret, new IvParameterSpec(<b>Arrays.copyOf(iv, iv.length)</b>));

---

正确的解决方案:

请记住，这仅在您在程序的一次执行期间加密和解密时才有效。如果你想在不同的执行中解密，你需要以某种方式存储 IV。

由于 IV 不需要保密，因此可以与密文一起发送。通常将其添加到密文中并在解密之前将其切掉。

盐也应该是随机的，你可以用与 IV 相同的方式将它与密文一起发送。

---

安全考虑:

密文未经认证。因此，您无法检测到(恶意)操纵。最好使用像 GCM/EAX 这样的身份验证模式，或者使用像 HMAC-SHA256 这样具有强 MAC 的加密然后 MAC 方案。