crypto_box_easy 和 crypto_box_open_easy 的奇怪行为。不用私钥解密？

Question

我已经通过 libsodium 测试了公钥密码学并遇到了一个奇怪的行为。加密的消息在没有私钥的情况下被解密。

示例来自官网libsodium

#include "sodium.h"

#define MESSAGE         "test"
#define MESSAGE_LEN     4
#define CIPHERTEXT_LEN (crypto_box_MACBYTES + MESSAGE_LEN)

static bool TestSodium()
{
    unsigned char alice_publickey[crypto_box_PUBLICKEYBYTES];
    unsigned char alice_secretkey[crypto_box_SECRETKEYBYTES];
    crypto_box_keypair(alice_publickey, alice_secretkey);

    unsigned char bob_publickey[crypto_box_PUBLICKEYBYTES];
    unsigned char bob_secretkey[crypto_box_SECRETKEYBYTES];
    crypto_box_keypair(bob_publickey, bob_secretkey);

    unsigned char nonce[crypto_box_NONCEBYTES];
    unsigned char ciphertext[CIPHERTEXT_LEN];
    randombytes_buf(nonce, sizeof nonce);

    // message alice -> bob
    if (crypto_box_easy(ciphertext, (const unsigned char*)MESSAGE, MESSAGE_LEN, nonce, bob_publickey, alice_secretkey) != 0)
    {
        return false;
    }

    unsigned char decrypted[MESSAGE_LEN + 1];
    decrypted[MESSAGE_LEN] = 0;

    // Original!
    //if (crypto_box_open_easy(decrypted, ciphertext, CIPHERTEXT_LEN, nonce, alice_publickey, bob_secretkey) != 0)

    // Whis works without Bobs secret key!
    if (crypto_box_open_easy(decrypted, ciphertext, CIPHERTEXT_LEN, nonce, bob_publickey, alice_secretkey) != 0)
    {
        return false;
    }

    if(strcmp((const char*)decrypted, MESSAGE) != 0) return false;

    return true;
}

使用公钥认证加密，Alice 可以使用 Bob 的公钥加密专门为 Bob 发送的机密消息。

使用 Alice 的公钥，Bob 可以在最终解密之前验证加密消息实际上是由 Alice 创建的并且没有被篡改。

Bob 只需要 Alice 的公钥、nonce 和密文。

为了向 Bob 发送消息，Alice 只需要 Bobs 的公钥。

在原始示例中，Bob 使用自己的密钥解密来自 Alice 的消息，并使用 Alice 的公钥对其进行验证。 我在代码中犯了一个错误，并且在没有 Bob 的私钥的情况下正确解密了消息！

这怎么可能？我的错误在哪里？谢谢

Answer 1

是的，有可能

在 libsodium 中，公钥认证加密分三个独立的阶段完成，顺序如下：

1. 密钥交换 — 使用elliptic-curve Diffie-Hellman 算法 (X25519) 从我的私钥和您的公钥生成共享密钥。

   • 这是crypto_box_beforenm step。

2. 加密 — 使用在步骤 1 中生成的共享密钥对明文消息应用对称密钥加密 (XSalsa20)。

3. 身份验证 — 再次依赖在上述步骤中生成的密钥生成 MAC (Poly1305)。

   • 这些是crypto_box_afternm 步骤，即the same as crypto_secretbox_easy。

在步骤 2-3 中使用对称加密意味着 相同 密钥必须可由 Alice 和 Bob 计算，即

shared_key_computed_by_alice = crypto_box_beforenm(bob_pk, slice_sk)
shared_key_computed_by_bob = crypto_box_beforenm(alice_pk, bob_sk) 
assert(shared_key_computed_by_alice == shared_key_computed_by_bob)

由于我们要求两个密钥对生成相同的共享密钥，因此不难看出两个密钥对也可以解密相同的消息。

这很好

请注意，在您实施“错误”解密时，您不仅使用了 Bob 的公钥，还使用了 Alice 的私钥（只有 Alice 知道）。

由于是 Alice 想要将加密消息发送给 Bob，这意味着 Alice 首先应该已经知道纯文本消息。因此，她可以使用自己的私钥解密该消息，这不是安全问题。

如果您将 Bob 的公钥与另一个人 (Eve) 的私钥一起使用，那么解密程序真的会失败。

 

如果您认为 Alice 能够解密自己的消息是个问题，您可以在对话后强制 Alice 销毁她的私钥?，所以现在只有 Bob 可以解密它（并且无法从 Alice 发送更多消息） .

事实上，libsodium 提供了 sealed box API 来执行此操作（生成一个临时密钥对并在加密后立即销毁它）。