*** 好极了——感谢 Edward Smith 的 CF Technote，指出来自 ColdFusion 的 key 是 Base64 编码的。请参阅 generateKey() 以了解“修复”

我的任务是使用 Java 1.4.2 来匹配给定 ColdFusion 代码示例的结果以进行加密。

已知/给定值:

• 一个 24 字节的 key
• 一个 16 字节的盐 (IVorSalt)
• 编码为十六进制
• 加密算法为AES/CBC/PKCS5Padding
• 示例明文值
• 样本明文经过ColdFusion代码后的加密值

假设:

• ColdFusion 代码中未指定迭代次数，因此我假设只有一次迭代
• 24 字节 key ，所以我假设 192 位加密

给定/有效的 ColdFusion 加密代码示例:

<cfset ThisSalt = "16byte-salt-here">
<cfset ThisAlgorithm = "AES/CBC/PKCS5Padding">
<cfset ThisKey = "a-24byte-key-string-here">
<cfset thisAdjustedNow = now()>
<cfset ThisDateTimeVar = DateFormat( thisAdjustedNow , "yyyymmdd" )>
<cfset ThisDateTimeVar = ThisDateTimeVar & TimeFormat( thisAdjustedNow , "HHmmss" )>
<cfset ThisTAID = ThisDateTimeVar & "|" & someOtherData>
<cfset ThisTAIDEnc = Encrypt( ThisTAID , ThisKey , ThisAlgorithm , "Hex" , ThisSalt)>

我的 Java 1.4.2 加密/解密代码 swag:

package so.example;

import java.security.*;
import javax.crypto.Cipher;
import javax.crypto.spec.IvParameterSpec;
import javax.crypto.spec.SecretKeySpec;
import org.apache.commons.codec.binary.*;

public class SO_AES192 {

private static final String _AES = "AES";
private static final String _AES_CBC_PKCS5Padding = "AES/CBC/PKCS5Padding";
private static final String KEY_VALUE = "a-24byte-key-string-here";
private static final String SALT_VALUE = "16byte-salt-here";
private static final int ITERATIONS = 1;

private static IvParameterSpec ivParameterSpec;

public static String encryptHex(String value) throws Exception {
    Key key = generateKey();

    Cipher c = Cipher.getInstance(_AES_CBC_PKCS5Padding);
    ivParameterSpec = new IvParameterSpec(SALT_VALUE.getBytes());
    c.init(Cipher.ENCRYPT_MODE, key, ivParameterSpec);

    String valueToEncrypt = null;
    String eValue = value;
    for (int i = 0; i < ITERATIONS; i++) {
//            valueToEncrypt = SALT_VALUE + eValue; // pre-pend salt - Length > sample length
        valueToEncrypt =  eValue;     // don't pre-pend salt  Length = sample length
        byte[] encValue = c.doFinal(valueToEncrypt.getBytes());
        eValue =  Hex.encodeHexString(encValue);
    }
    return eValue;
}

public static String decryptHex(String value) throws Exception {
    Key key = generateKey();

    Cipher c = Cipher.getInstance(_AES_CBC_PKCS5Padding);
    ivParameterSpec = new IvParameterSpec(SALT_VALUE.getBytes());
    c.init(Cipher.DECRYPT_MODE, key, ivParameterSpec);

    String dValue = null;
    char[] valueToDecrypt = value.toCharArray();
    for (int i = 0; i < ITERATIONS; i++) {
        byte[] decordedValue = Hex.decodeHex(valueToDecrypt);
        byte[] decValue = c.doFinal(decordedValue);
//            dValue = new String(decValue).substring(SALT_VALUE.length()); // when salt is pre-pended
        dValue = new String(decValue);   // when salt is not pre-pended
        valueToDecrypt = dValue.toCharArray();
    }
    return dValue;
}

private static Key generateKey() throws Exception {
    // Key key = new SecretKeySpec(KEY_VALUE.getBytes(), _AES); // this was wrong
    Key key = new SecretKeySpec(new BASE64Decoder().decodeBuffer(keyValueString), _AES); // had to un-Base64 the 'known' 24-byte key.
    return key;
}

}

我无法创建匹配的加密值，也无法解密给定的加密值。我猜这与我处理初始 vector/盐的方式有关。

我不是很精通加密，但我认为我应该能够采用示例明文并在 Java 中生成与 ColdFusion 生成的相同的加密值。我能够使用我的 Java 代码加密/解密我自己的数据(所以我是一致的)但我无法匹配或解密 ColdFusion 示例加密值。

我可以访问可以测试加密输出的本地网络服务。给定的 ColdFusion 输出样本可以很好地通过/解密(当然)。如果我尝试用我的 Java 代码(使用实际的 key 和盐)解密同一个样本，我会收到“给定的最终 block 未正确填充”错误。当我将加密尝试(使用实际 key 和盐)传递给测试 Web 服务时，我得到了相同的最终结果。

有什么想法吗？

最佳答案

Coldfusion中的值就是ThisKey:

<cfset ThisKey = "a-24byte-key-string-here">

从 java generateKey() 函数返回的字符串是否完全相同？我相信它们必须是相同的字符串才能使生成的加密文本相同。

要在 CF 中使用固定 key ，您可能需要按照 CF technote 中的说明进行操作关于强加密:

You may want to generate your own key for two reasons:

1. 您想匹配其他加密软件的详细信息。
2. 您想提高抗裂性 面向模式的加密数据 密码分析技术。

例如，创建一个32字节的 key 与 AES 算法一起使用 十六进制值:

8738fed68e7677d374e0946c8f7bd3bb4f50f23717f9f3667b2419483959039c

您将使用 ColdFusion 函数 BinaryDecode 和 ToBase64 来创建 关键:

<cfset myKey =
ToBase64(BinaryDecode("8738fed68e7677d374e0946c8f7bd3bb4f50f23717f9f3667b2419483959039c","Hex")>
<cfset encrypted =Encrypt(myString, myKey, "AES")>

编辑:刚刚意识到 key (如您在评论中提到的)是 base64，因此如果 Java 中的“generateKey”方法如下所示:

private static Key generateKey() throws Exception {
final byte[] decodedKey = new BASE64Decoder().decodeBuffer(KEY_VALUE);
final Key key = new SecretKeySpec(decodedKey, _AES);
return key;
}

你应该是金色的。

关于java - 如何将ColdFusion 加密与Java 1.4.2 相匹配？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/2638967/