加密（模式和填充）

Question

我的任务是编写一个涉及加密的小型Java控制台应用程序。我对加密不熟悉，所以我必须先读一读。到目前为止，给出的高级要求是AES-256应该用于生成一个一次性密钥来加密文件。

之后，应使用收件人的公钥(RSA-2048)加密该AES-256一次性密钥。加密的文件和加密的一次性AES-256密钥然后将被拉链并发送给收件人。

根据我对加密和解密的理解，除了算法(RSA、AES等）之外，还有一些叫做模式和填充的东西。例如，下面的代码指定RSA为算法、ECB模式和PKCS1Padding。

Cipher cipher = Cipher.getInstance("RSA/ECB/PKCS1Padding");

加密和解密必须使用相同的算法、模式和填充。因此，我去问用户他们想要什么模式和填充是合理的吗？

Answer 1

不，对于发送消息，您应该使用较新的OAEP方案，因为带有PKCS#1 v1.5的RSA可能易受Bleichenbacher攻击。然而，请求RSA混合加密的人完全可能甚至可能从未听说过这种攻击。一般情况下，PKCS#1 v1.5填充仍然用作默认值。

您永远不要指望用户为您做安全决策，除非唯一的用户是密码学的学生（并且知道上面的攻击）。一般的安全不应该过分依赖于教育用户。

就我个人而言，我当然会询问请求者关于填充的问题。您还应该检查他们是否期望对称加密的身份验证(MAC、HMAC、身份验证密码或签名）。如果他/她不能回答问题，他们可能对加密了解不多。

我现在不认为你的要求是完整的（虽然“为学习目的”可能是一个地狱的借口）。

“rsa/ECB/pkcs1padding”实际上并不实现ECB模式加密。它应该被称为“rsa/none/pkcs1padding”,因为它只能用于加密单个明文块（或者实际上是一个秘密密钥）。这只是Sun/Oracle的一个命名错误。

还有一种名为RSA-KEM的混合加密模式，应该至少与RSA OAEP一样安全，但它还没有在Java SE中实现。

AES-256本身不应用于“生成一次性密钥”。您应该使用keygenerator的实例生成一个AES-256一次性密钥（这可能有点命名混乱，因为keygenerator本身不使用AES，它为AES创建密钥）。