如何从它Java的任意字节数组派生AES 256位密钥？

Question

给定一个任意的Java字节数组，例如1024字节数组，我想导出一个AES-256位密钥。该数组由ECHD通过使用字节[]秘密=keyAgreement.generate秘密（）通过javax.crypto.密钥协议生成

我目前的解决方案是将输入字节数组视为密码。使用PBKDF2密钥派生函数将输入数组用作密码和salt，如下所示。

更新：我已经将UTF-8设置为编码，以解决评论和答案中指出的问题。

private byte[] deriveAes256bitKey(byte[] secret)
    throws NoSuchAlgorithmException, InvalidKeySpecException {

    var secretKeyFactory = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA256");
    var password = new String(secret, UTF_8).toCharArray();
    var keySpec = new PBEKeySpec(password, secret, 1024, 256);
    return secretKeyFactory.generateSecret(keySpec).getEncoded();
}

有没有更好的方法在Java中获取字节数组并将其转换为AES-256位密钥？

Answer 1

这里需要的是KBKDF或基于密钥的密钥派生函数。KBKDF将包含足够熵的秘密值转换为特定大小的不同密钥。当使用密钥加强（使用salt和功因子或迭代计数）将熵可能太小的密码短语放入密钥时，使用PBKDF。如果输入值已经足够强大，不需要猜测/强制执行，则不需要使用功因数/迭代计数。

如果你只想要一个128位的结果值，SHA-256通常就足够了。然而，使用密钥派生函数仍然可以带来好处。首先，它是一个为函数显式定义的函数，因此更容易证明它是安全的。此外，通常可以向密钥导出功能添加额外数据，以便您可以导出更多密钥或密钥和IV。或者您可以扩展可配置的输出大小，为不同的密钥或密钥/IV输出足够的数据。

也就是说，如果你使用SHA-256（或者SHA-512，以防你需要更多的位来表示key/IV），大多数密码学家不会太皱眉。输出仍然应该使用输入中所有可能的位进行随机化，并且不可能反转函数。

Answer 2

我对使用新字符串（输入）. toCharArray（）来创建密码持谨慎态度。它不可移植（它使用平台默认编码），如果输入中有无效的字符序列，它的行为是未定义的。

考虑一下：

    System.out.println(new String(new byte[] {(byte) 0xf0, (byte) 0x82, (byte) 0x82, (byte) 0xac}, StandardCharsets.UTF_8));

f08282ac是欧元符号（€）的超长编码。它被解码为替换字符（；0xfffd），因为它是一个非法序列。所有非法的UTF-8序列都将作为替换字符结束，这不是你想要的。

在将字节数组传递给SecretKeyFactory（base64编码）之前，可以通过序列化字节数组来避免解码问题，或者只需新的BigInteger（输入）。toString（字符最大基数））。但是，如果不使用SecretKeyFactory，可以避免这种情况。没必要。

PBKDF2（基于密码的密钥派生函数2）的设计目的是通过计算成本高和添加盐，使针对用户提供的密码的暴力攻击更加困难。

在这里你不需要（你的输入是大的和随机的；没有人会对它进行字典攻击）。你的问题只是输入长度不匹配所需的键长度。

您可以将输入散列到正确的长度：

MessageDigest md = MessageDigest.getInstance("SHA-256");
byte[] keyBytes = md.digest(input);