使用 Java 的椭圆曲线密钥包装/封装

Question

根据我的研究，我了解到这是使用 RSA 封装 AES 会话密钥的正确方法：

import java.security.*;
import java.util.Base64;
import javax.crypto.Cipher;
import javax.crypto.KeyGenerator;
import javax.crypto.SecretKey;

public class Main {
    public static void main(String args[]) throws Exception {
        KeyGenerator aesKeyGen = KeyGenerator.getInstance("AES");
        aesKeyGen.init(256);
        SecretKey secretKey = aesKeyGen.generateKey();

        Base64.Encoder encoder = Base64.getEncoder().withoutPadding();
        Cipher cipher = Cipher.getInstance("RSA");
        KeyPairGenerator rsaKeyGen = KeyPairGenerator.getInstance("RSA");
        rsaKeyGen.initialize(4096);
        KeyPair keyPair = rsaKeyGen.generateKeyPair();
        PublicKey publicKey = keyPair.getPublic();
        PrivateKey privateKey = keyPair.getPrivate();

        cipher.init(Cipher.WRAP_MODE, publicKey);
        byte[] wrappedKey = cipher.wrap(secretKey);
        cipher.init(Cipher.UNWRAP_MODE, privateKey);
        SecretKey unwrappedKey = (SecretKey)cipher.unwrap(wrappedKey, "AES", Cipher.SECRET_KEY);

        System.out.println(encoder.encodeToString(wrappedKey));
        System.out.println(encoder.encodeToString(secretKey.getEncoded()));
        System.out.println(encoder.encodeToString(unwrappedKey.getEncoded()));
    }
}

我的问题是：

• 我应该继续使用Cipher.getInstance("RSA")，改用Cipher.getInstance("RSA/ECB/PKCS1Padding") 还是其他方式？
• 除了使用 EC 之外，我怎样才能做与上面相同的事情？
• 密钥封装和密钥封装一样吗？
• 我是否需要像处理数组一样（例如Arrays.fill(array, (byte)0)）或调用getEncoded() 一样清除secretKey 使用的内存？

为了回答我的第二个问题，我发现我应该使用：

KeyPairGenerator ecKeyGen = KeyPairGenerator.getInstance("EC");

但是我不确定在这里使用什么来代替<name>：

Cipher cipher = Cipher.getInstance("<name>");

我还发现我可以通过这样做来选择要使用的曲线：

...
ECGenParameterSpec ecsp = new ECGenParameterSpec("sect571k1"); 
ecKeyGen.initialize(571);
...

但是，我不知道我应该在这里使用什么参数来代替<name>：

new ECGenParameterSpec("<name>");

我认为一些不错的候选人如下：

secp521r1, nistp521, sect571r1, nistb571, nistb571, sect571k1, nistk571 nistk571, sect163r2

还有其他选择吗？你能帮我选一个最好的吗？实例化一个ECGenParameterSpec对象来设置EC的初始化参数KeyPairGenerator够了吗？

Answer 1

我应该继续使用 Cipher.getInstance("RSA")，还是改用 Cipher.getInstance("RSA/ECB/PKCS1Padding") 或其他方式？

您至少应该切换到完全指定的字符串；不同的提供者可能有不同的默认值，并且指定完整的方案更容易阅读/维护；不是每个人都知道默认值。

但是，PKCS#1 v1.5 填充容易受到某些填充 oracle 攻击，切换到 OAEP 填充将提供某些安全优势。

除了使用 EC 之外，我怎样才能做与上面相同的事情？

不容易。 RSA 问题允许生成签名和加密，而 (EC)DH 问题允许生成签名和 Diffie-Hellman。然而，可以使用 ECDH 来实现 ECIES，它“导出”一个对称密钥，然后用于加密消息。

ECIES 不包含在正常的 Java 运行时中，但 Bouncy Castle 有实现，当然可以在 ECDH 之上构建功能，该功能包含在 KeyAgreement 类中。

密钥封装和密钥封装一样吗？

它们是相关的。密钥封装更多用于会话密钥，并且通常派生会话密钥而不是对其进行加密。 IE。如果是这种情况，您不能使用密钥封装（直接）加密现有密钥。密钥包装确实会加密现有密钥，并且可能使用专门的（确定性）加密方案 - 尽管 Java 运行时提供的方案并非直接如此。

Java 中的包装主要是有用的，因为您不需要将被包装的键的中间键值存储在字节数组中；如果密钥是在硬件（例如智能卡）中管理的，这将是不可能的。

我是否需要像处理数组一样（例如 Arrays.fill(array, (byte)0)）或仅调用 getEncoded() 来清除 secretKey 使用的内存？

您不能，因为这些字段不能直接访问。 Java 8 及更高版本实现了Destroyable.destroy()，因此您可以使用一种方法来销毁密钥。如果密钥在硬件中，那么此方法可能会引发异常。

我认为一些不错的候选人如下：

secp521r1, nistp521, sect571r1, nistb571, nistb571, sect571k1, nistk571 nistk571, sect163r2

还有其他选择吗？

当然，对于较少的位数：例如 secp384r1 和 secp256r1。

你能帮我选一个最好的吗？

定义最佳。性能与安全性，但即使是 secp256r1 也已经相当强大。不过，我会选择 SEC 素数 (p) 曲线，而不是 Koblenz 或扭曲曲线（k 或 t 曲线）。

实例化一个ECGenParameterSpec对象来设置EC的初始化参数KeyPairGenerator够了吗？

是的。