这是我使用 RNCryptor 加密/解密我发送到 Web 服务的 JSON 字符串的方法。我正在使用静态 IV 变量,这可能是不好的做法,但请不要关注它。这是我的做法:
注意:我正在使用 Matt Gallagher 的 NSData+Base64 类别找到 here (在页面底部)
-(NSString*)encryptString:(NSString*)plaintext withKey:(NSString*)key error:(NSError**)error{
NSData *data = [plaintext dataUsingEncoding:NSUTF8StringEncoding];
NSData *encryptionKey = [NSData dataFromBase64String:key];
NSData *IV = [NSData dataFromBase64String:ENCRYPTION_IV];
RNCryptorEngine *engine = [[RNCryptorEngine alloc] initWithOperation:kCCEncrypt settings:kRNCryptorAES256Settings key:encryptionKey IV:IV error:error];
[engine addData:data error:error];
NSData *encryptedData = [engine finishWithError:error];
NSString *based64Encrypted = [encryptedData base64EncodedString];
NSLog(@"Encrytped: %@", based64Encrypted);
return based64Encrypted;
}
-(NSString*) decryptString:(NSString*)cipherText withKey:(NSString*)key error:(NSError**)error;{
NSData *data = [NSData dataFromBase64String:cipherText];
NSData *encryptionKey = [NSData dataFromBase64String:key];
NSData *IV = [NSData dataFromBase64String:ENCRYPTION_IV];
RNCryptorEngine *engine = [[RNCryptorEngine alloc] initWithOperation:kCCDecrypt settings:kRNCryptorAES256Settings key:encryptionKey IV:IV error:error];
[engine addData:data error:error];
NSData *decryptedData = [engine finishWithError:error];
NSString *decryptedString = [[NSString alloc] initWithData:decryptedData encoding:NSUTF8StringEncoding];
NSLog(@"Decrypted: %@", decryptedString);
return decryptedString;
}
当我使用像 hello world
这样的字符串时,它工作正常。当我使用像 {"username":"developer","password":"abcdefG*12"}
这样的字符串时,我想它与编码有关,但我真的知道该使用什么。
当我加密那个字符串时,我得到一个 base64 字符串,当我尝试解密它时,我得到一个空字符串。
更新
由于 json 字符串中的
更奇怪的是,它仅在字符串为 json 格式时失败,我认为是 :
看起来它失败了。:
因为我首先尝试了它,但经过进一步调查,如果我违反了任何 JSON 要求 ,
的 {
的 }
停止工作了。它与 RNEncryptor
一起工作,但是我不确定我做错了什么。无论哪种方式,我认为我们可以重新设计当前流程
更新 2
这里是我调用这些方法的地方:
NSDictionary *credentials = @{@"username":@"developer",@"password":@"abcdefG*12"};
NSString *jsonString = [ credentials JSONStringWithOptions:JKSerializeOptionNone error:&error];
NSLog(@"json string: %@", jsonString); //OUTPUTS: {"username":"developer","password":"abcdefG*12"}
CCGEncryption *encryptionObject = [[CCGEncryption alloc] init]; //THIS IS THE OBJECT WHERE THE encrypt/decrypt methods are
NSString *encrypted = [encryptionObject encryptString:jsonString withKey:ENCRYPTION_KEY error:&error];
if(error){
NSLog(@"Error:%@", error); //NO ERROR
}
NSString *decrypted = [encryptionObject decryptString:encrypted withKey:ENCRYPTION_KEY error:&error];
if(error){
NSLog(@"Error:%@", error); //NO ERROR
}
NSLog(@"decrypted: %@", decrypted); //OUTPUT: decrypted:
最佳答案
您没有收集 addData:
返回的数据。引擎会在您进行时加密/解密,因此您不必将整个明文和密文保存在内存中。除非必须(出于填充原因),否则它不会累积数据。我怀疑有效的测试与无效的测试的长度不同。
您是正确的,使用固定 IV 是不好的做法。如果您在多条消息中使用相同的 IV 和 key ,则攻击者有可能通过比较密文来恢复部分消息。如果您使用的是没有随机 IV 和 HMAC 的 AES-CBC,那么您的 AES 在几个方面是不安全的。这就是 RNCryptor 旨在解决的问题,也是数据格式看起来如此的原因。
@jbtule 是正确的,我并不是特别想让人们直接使用引擎,也没有大量记录它,但使用它没有问题,我可以更好地记录它来支持它。也就是说,引擎本身非常简单。我只是创建它作为一种在加密器和解密器之间共享代码的方式。如果您要绕过它提供的大部分安全性,就没有太多理由使用 RNCryptor。对于上面的代码,只调用一次性的 CCCrypt()
会简单很多。
关于ios - RNCryptor 不适用于 JSON 字符串,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/14263007/