Java和JavaScript之间使用OAEP的RSA加密

Question

我试图用JavaScript加密一个短字符串，用Java解密它。解密失败，我认为这是因为两个平台之间的块模式和/或填充不同。我尝试在Java和JavaScript中加密相同的字符串，结果不同，这表明确实存在差异。以下是创建键的Java代码：

KeyPairGenerator kpg = KeyPairGenerator.getInstance("RSA");
kpg.initialize(1024);
KeyPair keyPair = kpg.generateKeyPair();

这是我用来测试加密的Java代码：

Cipher cipher = Cipher.getInstance("RSA/ECB/OAEPWithSHA-256AndMGF1Padding");
cipher.init(Cipher.ENCRYPT_MODE, keyPair.getPublic());
byte[] bytes = cipher.doFinal("asdf".getBytes());

我将公钥发送到JavaScript进程，并将其转换为ArrayBuffer，变量名为publicKey。我已经验证了JavaScript端的密钥与Java端的密钥相匹配（通过使用crypto.minute.exportKey导出并检查字节）。下面是我用来测试加密的JavaScript代码：

crypto.subtle.importKey('spki', publicKey,
                        {hash: 'SHA-256', name: 'RSA-OAEP'}, true,
                        ['encrypt'])
      .then((key) => {
        crypto.subtle.encrypt({name: 'RSA-OAEP'}, key,
                              new TextEncoder().encode('asdf'))
              .then((buffer) => {

              });
      });

Java中的字节数组和JavaScript中的数组缓冲区的内容是不一样的。我不确定的设置是Java端Cipher#getInstance的参数和JavaScript端import Key和加密的参数。是否有任何设置可以使用内置类在Java和JavaScript之间工作？或者我应该查看第三方库（例如，Bouncy Castle）？

Answer 1

看起来JavaScript和Java中的内置加密/解密没有与RSA加密兼容的设置。一个可行的解决方案似乎是github的forge库（github上的forge）。github页面上的密钥设置描述如下（RSA示例）：

// encrypt data with a public key using RSAES-OAEP/SHA-256/MGF1-SHA-1
// compatible with Java's RSA/ECB/OAEPWithSHA-256AndMGF1Padding
var encrypted = publicKey.encrypt(bytes, 'RSA-OAEP', {
  md: forge.md.sha256.create(),
  mgf1: {
    md: forge.md.sha1.create()
  }
});

Answer 2

除了@Chip的答案（这真的很有帮助）之外，我想补充以下情况：

假设您希望在Javascript（webcrypto）中使用以下内容进行解密：

window.crypto.subtle.decrypt(
        {
            name: "RSA-OAEP",
            hash: { name: "SHA-512" }
            //label: Uint8Array([...]) //optional
        },
        privateRsaKey, //CryptoKey object containing private RSA key
        encdata //ArrayBuffer containing to be decrypted data
    )
    .catch(function(err){
        console.error(err);
    })

然后您必须在Java中使用以下OAEPParameterSpec进行加密（反之亦然，但我没有尝试）：

OAEPParameterSpec oaepParams = new OAEPParameterSpec("SHA-512", "MGF1", 
        new MGF1ParameterSpec("SHA-512"), PSource.PSpecified.DEFAULT);

由于@Chip只提到了MGF1填充I，所以我假设必须使用

OAEPParameterSpec oaepParams = new OAEPParameterSpec("SHA-512", "MGF1", 
        new MGF1ParameterSpec("SHA-256"), PSource.PSpecified.DEFAULT);

但显然必须将两个哈希函数都更改为SHA-512，如我的第一个OAEPParameterSpec代码块所示。

Answer 3

这很古老，但如果您想在javascript中使用微妙的加密，并控制java解密，这里有一个替代解决方案。

以下是您如何在Java中解密，假设您使用问题中的原始JS代码进行加密：

Cipher cipher = Cipher.getInstance("RSA/ECB/OAEPPadding");
OAEPParameterSpec oaepParams = new OAEPParameterSpec("SHA-256", "MGF1", new MGF1ParameterSpec("SHA-256"), PSource.PSpecified.DEFAULT);
cipher.init(Cipher.DECRYPT_MODE, privKey, oaepParams);
byte[] decrypted = cipher.doFinal(encryptedBytes)

密码RSA/ECB/OAEPWithSHA-256AndMGF1Padding的问题是，默认情况下，它将SHA-1用于MGF1填充。Javascript使用SHA-256，这会导致不匹配。通过指定mgf1parameterspec，我们可以强制Java使用与Javascript默认值相同的哈希算法。