RNCryptor 不适用于 JSON 字符串

Question

这是我使用 RNCryptor 加密/解密我发送到 Web 服务的 JSON 字符串的方法。我正在使用静态 IV 变量，这可能是不好的做法，但请不要专注于此。这是我的做法：

注意：我使用的是 Matt Gallagher 的 NSData+Base64 类别 here（在页面底部）

-(NSString*)encryptString:(NSString*)plaintext withKey:(NSString*)key error:(NSError**)error{
    NSData *data = [plaintext dataUsingEncoding:NSUTF8StringEncoding];
    NSData *encryptionKey = [NSData dataFromBase64String:key];
    NSData *IV = [NSData dataFromBase64String:ENCRYPTION_IV];

    RNCryptorEngine *engine = [[RNCryptorEngine alloc] initWithOperation:kCCEncrypt settings:kRNCryptorAES256Settings key:encryptionKey IV:IV error:error];
    [engine addData:data error:error];
    NSData *encryptedData = [engine finishWithError:error];

    NSString *based64Encrypted = [encryptedData base64EncodedString];
    NSLog(@"Encrytped: %@", based64Encrypted);
    return based64Encrypted;
}
-(NSString*) decryptString:(NSString*)cipherText withKey:(NSString*)key error:(NSError**)error;{
    NSData *data = [NSData dataFromBase64String:cipherText];
    NSData *encryptionKey = [NSData dataFromBase64String:key];
    NSData *IV = [NSData dataFromBase64String:ENCRYPTION_IV];

    RNCryptorEngine *engine = [[RNCryptorEngine alloc] initWithOperation:kCCDecrypt settings:kRNCryptorAES256Settings key:encryptionKey IV:IV error:error];
    [engine addData:data error:error];
    NSData *decryptedData = [engine finishWithError:error];
    NSString *decryptedString = [[NSString alloc] initWithData:decryptedData encoding:NSUTF8StringEncoding];
    NSLog(@"Decrypted: %@", decryptedString);
    return decryptedString;
}

当我使用像hello world 这样的字符串时，它可以正常工作。当我使用像{"username":"developer","password":"abcdefG*12"} 这样的字符串时，我想它与编码有关，但我真的知道该使用什么。

当我加密该字符串时，我得到一个 base64 字符串，当我尝试解密时，我得到一个空字符串。

更新

它似乎因为 json 字符串中的 : 而失败。 更奇怪的是它只失败了字符串是 json 格式，我认为这是 : 因为我首先尝试过，但是在进一步调查后，如果我违反了任何 JSON 要求 , 的 { 的 @ 987654329@'s 它停止工作。它适用于RNEncryptor，但是我不确定我做错了什么。不管怎样，我认为我们可以重新设计当前的流程

更新 2

这里是我调用这些方法的地方：

NSDictionary *credentials = @{@"username":@"developer",@"password":@"abcdefG*12"};
NSString *jsonString = [ credentials JSONStringWithOptions:JKSerializeOptionNone error:&error];
NSLog(@"json string: %@", jsonString); //OUTPUTS: {"username":"developer","password":"abcdefG*12"}
CCGEncryption *encryptionObject = [[CCGEncryption alloc] init]; //THIS IS THE OBJECT WHERE THE encrypt/decrypt methods are

NSString *encrypted = [encryptionObject encryptString:jsonString withKey:ENCRYPTION_KEY error:&error];
if(error){
    NSLog(@"Error:%@", error); //NO ERROR
}
NSString *decrypted = [encryptionObject decryptString:encrypted withKey:ENCRYPTION_KEY error:&error];
if(error){
    NSLog(@"Error:%@", error);  //NO ERROR
}
NSLog(@"decrypted: %@", decrypted); //OUTPUT: decrypted: 

Answer 1

您没有收集addData: 返回的数据。引擎会在您进行时加密/解密，这样您就不必将整个明文和密文保存在内存中。除非必须（出于填充原因），否则它不会累积数据。我怀疑有效的测试与无效的测试长度不同。

您是正确的，使用固定 IV 是不好的做法。如果您在多条消息中使用相同的 IV 和密钥，那么攻击者就有可能通过比较密文来恢复您的部分消息。如果您使用没有随机 IV 和 HMAC 的 AES-CBC，那么您的 AES 在几个方面是不安全的。这就是 RNCryptor 旨在解决的问题，以及为什么数据格式看起来如此。

@jbtule 是正确的，我并不是特别希望人们直接使用引擎并且没有大量记录它，但是使用它没有问题，我可以更好地记录它来支持它。也就是说，引擎本身非常简单。我只是将它创建为在加密器和解密器之间共享代码的一种方式。如果您要绕过它提供的大部分安全性，则没有太多理由使用 RNCryptor。对于上面的代码，直接调用CCCrypt()会简单很多。