如何在Python中解密OpenSSL AES加密的文件？

Question

OpenSSL提供了一个流行的（但不安全-请参见下面！）AES加密的命令行界面：

openssl aes-256-cbc -salt -in filename -out filename.enc

Python以PyCrypto包的形式支持AES,但它只提供了工具。如何使用Python/Pycrypto解密已经使用OpenSSL加密的文件？

这个问题过去也涉及使用相同方案在Python中进行加密。我已经删除了这部分，以阻止任何人使用它。不要再用这种方式加密任何数据，因为按照今天的标准，它是不安全的。您应该只使用解密，除了向后兼容之外，没有其他原因，即当您没有其他选择时。要加密吗？如果可能的话，使用NaCl/Libs钠。

Answer 1

我正在重新发布您的代码，其中有几处更正（我不想使您的版本变得模糊不清）。当您的代码工作时，它不会检测到填充周围的一些错误。特别是，如果提供的解密密钥不正确，您的填充逻辑可能会做一些奇怪的事情。如果您同意我的更改，您可以更新您的解决方案。

from hashlib import md5
from Crypto.Cipher import AES
from Crypto import Random

def derive_key_and_iv(password, salt, key_length, iv_length):
    d = d_i = ''
    while len(d) < key_length + iv_length:
        d_i = md5(d_i + password + salt).digest()
        d += d_i
    return d[:key_length], d[key_length:key_length+iv_length]

# This encryption mode is no longer secure by today's standards.
# See note in original question above.
def obsolete_encrypt(in_file, out_file, password, key_length=32):
    bs = AES.block_size
    salt = Random.new().read(bs - len('Salted__'))
    key, iv = derive_key_and_iv(password, salt, key_length, bs)
    cipher = AES.new(key, AES.MODE_CBC, iv)
    out_file.write('Salted__' + salt)
    finished = False
    while not finished:
        chunk = in_file.read(1024 * bs)
        if len(chunk) == 0 or len(chunk) % bs != 0:
            padding_length = bs - (len(chunk) % bs)
            chunk += padding_length * chr(padding_length)
            finished = True
        out_file.write(cipher.encrypt(chunk))

def decrypt(in_file, out_file, password, key_length=32):
    bs = AES.block_size
    salt = in_file.read(bs)[len('Salted__'):]
    key, iv = derive_key_and_iv(password, salt, key_length, bs)
    cipher = AES.new(key, AES.MODE_CBC, iv)
    next_chunk = ''
    finished = False
    while not finished:
        chunk, next_chunk = next_chunk, cipher.decrypt(in_file.read(1024 * bs))
        if len(next_chunk) == 0:
            padding_length = ord(chunk[-1])
            if padding_length < 1 or padding_length > bs:
               raise ValueError("bad decrypt pad (%d)" % padding_length)
            # all the pad-bytes must be the same
            if chunk[-padding_length:] != (padding_length * chr(padding_length)):
               # this is similar to the bad decrypt:evp_enc.c from openssl program
               raise ValueError("bad decrypt")
            chunk = chunk[:-padding_length]
            finished = True
        out_file.write(chunk)

Answer 2

鉴于Python的流行，一开始我很失望这个问题没有完整的答案可以找到。我花了相当多的时间阅读了这块板上的不同答案，以及其他资源，才得到正确的答案。我想我可以分享这个结果，以便将来参考，也许可以回顾一下；我绝不是密码学专家！然而，下面的代码似乎可以无缝工作：

from hashlib import md5
from Crypto.Cipher import AES
from Crypto import Random

def derive_key_and_iv(password, salt, key_length, iv_length):
    d = d_i = ''
    while len(d) < key_length + iv_length:
        d_i = md5(d_i + password + salt).digest()
        d += d_i
    return d[:key_length], d[key_length:key_length+iv_length]

def decrypt(in_file, out_file, password, key_length=32):
    bs = AES.block_size
    salt = in_file.read(bs)[len('Salted__'):]
    key, iv = derive_key_and_iv(password, salt, key_length, bs)
    cipher = AES.new(key, AES.MODE_CBC, iv)
    next_chunk = ''
    finished = False
    while not finished:
        chunk, next_chunk = next_chunk, cipher.decrypt(in_file.read(1024 * bs))
        if len(next_chunk) == 0:
            padding_length = ord(chunk[-1])
            chunk = chunk[:-padding_length]
            finished = True
        out_file.write(chunk)

用法：

with open(in_filename, 'rb') as in_file, open(out_filename, 'wb') as out_file:
    decrypt(in_file, out_file, password)

如果您看到有机会对此进行改进或将其扩展到更灵活的地方（例如，使其在不使用salt的情况下工作，或提供Python3兼容性），请随时这样做。

这个答案过去也涉及使用相同方案在Python中进行加密。我已经删除了这部分，以阻止任何人使用它。不要再用这种方式加密任何html" target="_blank">数据，因为按照今天的标准，它是不安全的。您应该只使用解密，除了向后兼容之外，没有其他原因，即当您没有其他选择时。要加密吗？如果可能的话，使用NaCl/Libs钠。