为PHP加密创建HMAC

Question

我一直在考虑在PHP mcrypt加密中添加一个HMAC。

这仅仅是使用加密密钥用hash_hmac对加密数据进行散列并将其附加到加密数据上吗？然后在解密时，将HMAC拆分，hash_hmac用密钥将其余的数据再次拆分，并检查它与HMAC匹配。

我很困惑，因为在这个问题中，当认证密文时，应该hmaced什么？上面写着：

您必须在HMAC输入中包括影响解密过程的所有内容，即不仅包括加密结果本身，还包括用于加密的IV。如果整个协议支持算法灵活性，您还应该输入加密算法的规范（否则，攻击者可能会更改您的消息头，将“AES-256”的标记替换为“AES-128”的标记，您将不知不觉地使用错误的算法进行解密）。

是这样吗？如果这是真的，为什么仅仅在加密数据上使用hash_hmac还不够呢？

Answer 1

简短回答：是的

长长的回答：

HMAC是基于哈希的消息身份验证代码。您应该HMAC任何您想要验证的内容，或者换句话说，任何您想要保护以防止被修改的内容。

null

算法+IV+密文+HMAC

如果您只对密文进行HMAC，攻击者将能够修改算法或IV（破坏文件），而不影响HMAC的有效性。这是很糟糕的，因为您最终可能会得到一个带有有效HMAC的损坏的加密文件。解密将会正常进行，因为您的软件会认为一切正常。结果是一个完全乱码的解密，但重点是你的软件坏了，因为它在解密时返回了错误的输出，并且没有给出任何错误。如果您的应用程序因为假设错误数据是正确的而试图对错误数据执行某些操作，那么这可以被归类为“安全风险”。它不是一个安全风险，因为它使基础加密更弱或更容易破解。HMAC和对称加密是两种完全不同的技术，做着不同的事情。使用HMAC的意义在于，您可以假设解密层返回的数据是100%正确的。

在上面的例子中，算法是一个动态的数据片段，我用它来解释OPs引用中的“算法敏捷性”。它定义了所使用的加密算法。关键是它是动态的，所以它需要从某个地方读取，而不是硬编码。这一事实使它成为解密的依赖项，因此它应该包含在HMAC消息中。但是，如果您总是使用一些静态算法，那么它应该由（硬编码到）您的解密代码来假设，并且没有必要存储这些数据。不需要在HMAC消息中包含静态数据，因为它对解密没有影响。