Java aes/gcm/nopadding加密在doFinal之后不增加IV的计数器

Question

当我用默认的AES/GCM算法初始化一个密码对象时，它有一个reandom 12字节IV但是前4字节没有得到增量，因此调用final并抛出java.lang.IllegalStateException：不能重用相同的密钥和IV for multiple encryptions异常。

SecretKey secretKey = ...

final Cipher cipher = Cipher.getInstance("AES/GCM/NoPadding");
cipher.init(Cipher.ENCRYPT_MODE, secretKey);

byte[] iv1 = encCipher.getIV();
byte[] ctext = encCipher.doFinal("a".getBytes());
      
cipher.update("b".getBytes());
byte[] iv2 = encCipher.getIV();
ctext = encCipher.doFinal();

Answer 1

IllegalStateException：不能在多个加密中重用相同的密钥和IV异常。

这是为了保护您，希望库至少在同一密码对象下使用时保留此行为。

AES-GCM内部在CTR模式下使用AES进行加密，而对于CTR模式，(key，IV)对的重用是由于婴儿床拖动造成的保密性的灾难性失败。

if len(IV) = 96 then 
    J_0 = IV || 0^{31}1
else 
    J_0=GHASH_H(IV||0^{s+64}||len(IV_64))

• 另外，请查看正确使用AES-GCM的规则是什么？
• 当标记不正确时，不要使用明文。
• 有一个AES-GCM-SIV模式，可以消除(IV，key)对的误用。它只泄露了在相同的IV和密钥下再次发送相同的消息。
• TLS实际上对每个记录使用一个新的（键，IV)对，最多2^14字节，这样可以防止内存填充攻击。假设您花费了68GB的内存解密，那么您已经看到标记是不正确的。服务器的DOS攻击点不错。
• 使用ChaCha20-Poly1305比可用的AES-GCM容易得多。不过，它仍然存在（IV,key）重用问题。
• 有一个XChaCha20使用192位nonce和64位计数器。可以安全地处理非常大的数据大小和随机错误。