当数据数组的第一个条目为零时，使用RSA加密获得太短的数组

Question

我试图使用java bouncy castle库对一个短字节数组进行RSA加密和解密。我做了以下几个步骤：

1. 生成2048位密钥对。
2. 创建一个短数据字节数组，其中第一个条目为零。
3. 使用生成的密钥和RSA加密数据数组。
4. 使用生成的密钥和RSA解密加密的数据数组。
5. 比较原始数据数组和解密数据数组。

这里是完整的测试用例（为了更好地理解，有导入）：

import static org.junit.Assert.assertTrue;

import java.io.IOException;
import java.math.BigInteger;
import java.security.*;
import java.security.spec.RSAKeyGenParameterSpec;
import java.util.Arrays;

import javax.crypto.BadPaddingException;
import javax.crypto.Cipher;
import javax.crypto.IllegalBlockSizeException;
import javax.crypto.NoSuchPaddingException;

import org.bouncycastle.crypto.DataLengthException;
import org.bouncycastle.crypto.InvalidCipherTextException;
import org.bouncycastle.jce.provider.BouncyCastleProvider;
import org.bouncycastle.jce.provider.JDKKeyPairGenerator;
import org.bouncycastle.util.encoders.Hex;
import org.hive2hive.core.H2HJUnitTest;
import org.junit.Test;

public class EncryptionUtil2Test {

    @Test
    public void testBug() throws IOException, InvalidKeyException, IllegalBlockSizeException,
        BadPaddingException, DataLengthException, IllegalStateException, InvalidCipherTextException,
        NoSuchAlgorithmException, NoSuchProviderException, NoSuchPaddingException,
        InvalidAlgorithmParameterException {

        Security.addProvider(new BouncyCastleProvider());

        // generate RSA keys
        BigInteger publicExp = new BigInteger("10001", 16); // Fermat F4, largest known fermat prime
        JDKKeyPairGenerator gen = new JDKKeyPairGenerator.RSA();
        RSAKeyGenParameterSpec params = new RSAKeyGenParameterSpec(2048, publicExp);
        gen.initialize(params, new SecureRandom());
        KeyPair keyPair = gen.generateKeyPair();

        // some data where first entry is 0
        byte[] data = { 0, 122, 12, 127, 35, 58, 87, 56, -6, 73, 10, -13, -78, 4, -122, -61 };

        // encrypt data asymmetrically
        Cipher cipher = Cipher.getInstance("RSA", "BC");
        cipher.init(Cipher.ENCRYPT_MODE, keyPair.getPublic());
        byte[] rsaEncryptedData = cipher.doFinal(data);

        // decrypt data asymmetrically
        cipher.init(Cipher.DECRYPT_MODE, keyPair.getPrivate());
        byte[] dataBack = cipher.doFinal(rsaEncryptedData);

        System.out.println("data      = " + Hex.toHexString(data));
        System.out.println("data back = " + Hex.toHexString(dataBack));

        assertTrue(Arrays.equals(data, dataBack));

    }

}

谢谢你的帮助！

Answer 1

这是由于没有指定必须使用的填充机制；您所做的是将填充机制留给提供者，在本例中是弹性的。Bouncy似乎默认不使用填充机制。

在这种情况下，“rsa”操作的结果只是在执行模幂运算（使用私有指数）时得到的数字。由于数字不是字节数组，所以必须将其转换为字节数组。由于初始零的个数对于一个数字来说是未知的，所以这些零的个数被简单地去掉。

若要避免这种情况（并按定义使用RSA，RSA需要填充），请尝试使用“RSA/ecb/pkcs1padding”或“RSA/ecb/oaepwithsha-1andmgf1padding”。已知没有填充的RSA是不安全的。

如果没有随机填充，加密还具有对相同密文加密到相同结果的讨厌特性（如果您对“yes”有已知密文，那么对“yes”或“no”进行加密就很容易区分）。