在node.js中获取256位AES GCM加密的正确标记时遇到麻烦

Question

我需要编写以下解密函数的反向（加密）：

const crypto = require('crypto');

let AESDecrypt = (data, key) => {
  const decoded = Buffer.from(data, 'binary');

  const nonce = decoded.slice(0, 16);
  const ciphertext = decoded.slice(16, decoded.length - 16);
  const tag = decoded.slice(decoded.length - 16);

  let decipher = crypto.createDecipheriv('aes-256-gcm', key, nonce);
  decipher.setAuthTag(tag)
  decipher.setAutoPadding(false);
  try {
    let plaintext = decipher.update(ciphertext, 'binary', 'binary');
    plaintext += decipher.final('binary');
    return Buffer.from(plaintext, 'binary');
  } catch (ex) {
    console.log('AES Decrypt Failed. Exception: ', ex);
    throw ex;
  }
}

上面的函数允许我按照规范正确解密加密缓冲区：

| Nonce/IV (First 16 bytes) | Ciphertext | Authentication Tag (Last 16 bytes) |

aesdecrypt之所以以它的方式编写（auth标记为最后16个字节），是因为AES的默认标准库实现就是这样在Java和Go中加密数据的。我需要能够在Go、Java和node.js之间双向解密/加密。node.js中基于crypto库的加密不会将身份验证标记放在任何地方，开发人员希望如何存储身份验证标记，以便在解密期间传递给setauthtag()。在上面的代码中，我正在将标记直接烘焙到最终加密的缓冲区中。

let AESEncrypt = (data, key) => {

  const nonce = 'BfVsfgErXsbfiA00'; // Do not copy paste this line in production code (https://crypto.stackexchange.com/questions/26790/how-bad-it-is-using-the-same-iv-twice-with-aes-gcm)
  const encoded = Buffer.from(data, 'binary');

  const cipher = crypto.createCipheriv('aes-256-gcm', key, nonce);
  try {
    let encrypted = nonce;
    encrypted += cipher.update(encoded, 'binary', 'binary')
    encrypted += cipher.final('binary');
    const tag = cipher.getAuthTag();
    encrypted += tag;
    return Buffer.from(encrypted, 'binary');
  } catch (ex) {
    console.log('AES Encrypt Failed. Exception: ', ex);
    throw ex;
  }
}

此外，我知道这个问题与aesencrypt的以下行有关：

    const tag = cipher.getAuthTag();
    encrypted += tag;

对在Go和node.js中加密的同一个文件运行vbindiff时，文件开始显示的差异仅限于最后16个字节（在那里写入了验证标记get）。换句话说，Go和Node.js中的nonce和加密的有效负载是相同的。

由于getauthtag()非常简单，而且我相信我正确地使用了它，所以我不知道现在可以更改什么。因此，我还考虑了这是标准库中的一个bug的可能性。但是，我想在发布Github问题之前应该先尝试Stackoverflow，因为这很可能是我做错了。

Answer 1

在NodeJS代码中，密文生成为二进制字符串，即使用binary/Latin1或ISO-8859-1编码。ISO-8859-1是一个单字节字符集，它唯一地将0x00和0xFF之间的每个值分配给一个特定字符，因此允许将任意二进制数据转换为字符串而不损坏，参见此处。

相反，cipher.getauthTag()不将身份验证标记作为二进制字符串返回，而是作为缓冲区返回。

当将两个部分连接在一起时：

encrypted += tag;

return Buffer.from(encrypted, 'binary');

仅考虑替换字符的最后一个字节(0xFD)。

屏幕截图中标记的字节(0xBB、0xA7、0xEA等）都是无效的UTF-8字节序列。UTF-8表，因此被带有0xFD的NodeJS代码替换，从而导致损坏的标记。

要修复该错误，必须将标记转换为binary/latin1，即与密文的编码一致：

let AESEncrypt = (data, key) => {

    const nonce = 'BfVsfgErXsbfiA00';                                   // Static IV for test purposes only 
    const encoded = Buffer.from(data, 'binary');                        
    const cipher = crypto.createCipheriv('aes-256-gcm', key, nonce);

    let encrypted = nonce;
    encrypted += cipher.update(encoded, 'binary', 'binary');             
    encrypted += cipher.final('binary');
    const tag = cipher.getAuthTag().toString('binary');                 // Fix: Decode with binary/latin1!
    encrypted += tag;

    return Buffer.from(encrypted, 'binary'); 
}

let AESEncrypt_withBuffer = (data, key) => {

    const nonce = 'BfVsfgErXsbfiA00';                                   // Static IV for test purposes only 
    const encoded = Buffer.from(data, 'binary');                        
    const cipher = crypto.createCipheriv('aes-256-gcm', key, nonce);

    return Buffer.concat([                                              // Fix: Concatenate buffers!
        Buffer.from(nonce, 'binary'),                                     
        cipher.update(encoded), 
        cipher.final(), 
        cipher.getAuthTag()
    ]);   
}