Блог

Я просто играю с тестовым приложением, чтобы зашифровать паролем некоторый текст, а затем расшифровать с помощью пароля. Я хочу, чтобы все было сделано на стороне клиента (в настоящее время используется CryptoJS).

Проблема, с которой я сталкиваюсь, заключается в том, что AES не имеет представления о том, правильно ли расшифрован текст или нет. Я мог бы расшифровать с неправильным паролем и не знать (очевидно, что текст будет нечитаемым для человека, но код этого не знает). Кодирование часто выдает ошибку, но не всегда.

Мое решение заключается в использовании HMAC следующим образом.

 encrypted = AES.encrypt(plaintext, password) // Example: "eNcRyPtEd"
hmac = HmacSHA256(encrypted, password)       // Example: "HMACabc"
return `${encrypted}.${hmac}`                // Example: "eNcRyPtEd.HMACabc"
 

Затем сервер получает эту единственную строку, которая состоит из зашифрованного текста плюс HMAC, разделенного символом . .

При дешифровании:

 # Get guess from user
password_guess = "user's input"

# Calc HMAC with the password_guess
[encrypted, hmac] = payload.split(".")
newHmac = HmacSHA256(encrypted, password_guess)

# Compare newHmac with the original HMAC
# decrypt or error based on HMAC equality
if newHmac == hmac
  AES.decrypt(encrypted, password_guess)
else
  print "wrong password"
 

Это позволяет достичь моей первоначальной цели — иметь возможность определять, правильный пароль или нет, без необходимости сохранять / отправлять этот пароль или когда-либо оставлять его на клиенте. Однако я не криптограф, это было собрано из полусвязанных ответов SO и Википедии. И это проект для изучения, поэтому я хотел бы знать:

• Есть ли недостатки в этом подходе?
• Есть ли лучший способ справиться с этим?
• Могу ли я что-нибудь сделать, чтобы улучшить свой текущий алгоритм?

Краткий ответ: это, вероятно, достаточно безопасно, но неаккуратно, и его трудно обосновать на основе существующего анализа. Но также, вероятно, хорошо.

Для более полного описания этого подхода, основанного на sjcl, см. RNCrytor-js . Ваш базовый подход хорош, хотя cryptojs немного непрозрачен в отношении того, как он обрабатывает пароли (он делает это достаточно хорошо; он просто не очень хорошо документирует это, и некоторые из его вариантов не были хорошо проанализированы криптосообществом, например, повторное использование IV в качестве соли PBKDF2).

Использование пароля непосредственно в качестве ключа HMAC также плохо анализируется. Это, вероятно, достаточно хорошо, но неаккуратно. Как правило, вы никогда не должны повторно использовать ключ для двух целей. (В данном случае это не так, потому что ключ AES растягивается, а ключ HMAC — нет, но он все равно неаккуратный).

Если вы хотите создать подобный формат, вы можете посмотреть спецификацию RNCryptor v4. Это никогда не было полностью реализовано (и есть несколько неинкорпорированных комментариев от Мартена Бодевеса, который в этом разбирается лучше меня), но это может быть полезной отправной точкой. Он включает в себя много справочных данных, которые могут быть полезны для построения такого рода системы. Криптоформаты очень тонкие, и их сложно правильно построить.