c# - AES/GCM (AES-128-GCM) 身份验证标签在 C# 和 Ruby 中不同

Question

我正在尝试在 C# 中生成一个我已经在 Ruby 中生成的身份验证标签(用于测试目的)。然而结果不同，但据我所知，输入是相等的。

在使用 OpenSSL 1.0.1c (Ubuntu 13.04) 的 Ruby 2.0 中:

require 'openssl'
require 'base64'
iv = Base64.decode64('kEWio77T7qWdytrIbUmRxA==')
key = Base64.decode64('FnUoIZvBUzC1Q/rn5WMi7Q==')
aad = Base64.decode64('/tTP07sPkoX8gah60eH89w==')
cipher = OpenSSL::Cipher.new('aes-128-gcm').encrypt
cipher.iv = iv
cipher.key = key
cipher.auth_data = aad
cipher.final
tag = Base64.strict_encode64(cipher.auth_tag)

生成的(编码的)标签是 ie74XTWtSLNad0BKdrhvmQ==

在 C# 中使用 BouncyCaSTLe(片段):

var iv = Convert.FromBase64String("kEWio77T7qWdytrIbUmRxA==");
var key = Convert.FromBase64String("FnUoIZvBUzC1Q/rn5WMi7Q==");
var aad = Convert.FromBase64String("/tTP07sPkoX8gah60eH89w==");
var cipher = new GcmBlockCipher(new AesFastEngine());
var parameters = new AeadParameters(new KeyParameter(passkey), 128, iv, aad);
cipher.Init(true, parameters);
var cipherText = new byte[cipher.GetOutputSize(0)];
cipher.DoFinal(cipherText, 0);
var tag = Convert.ToBase64String(cipher.GetMac());

在 C# 中生成的标记是 sawCcwM1T8sGl5y6VT0CHA==

我在这里做错了什么？预先感谢您的回复!

Answer 1

好的，我安装了 ruby​​ 2.0.0 并做了一些测试。

首先，要在 C# 中复制原始输出“ie74XTWtSLNad0BKdrhvmQ==”，请将 C# 中的 IV 设置为“new byte[12]”。

起作用的原因是，在 ruby​​ 代码设置中，cipher.key 会清除您设置的任何 IV，因此有效 IV 是默认长度的默认全零(GCM 为 96 位)。所以你应该在 key 之后设置IV。

如果我们更改 ruby​​ 代码来执行此操作，则输出将更改为“d1tAJ6Js94tSuPNbds0EJw==”；仍然不匹配。要在 C# 中重现此值，请将 IV 截断为 12 个字节，即“kEWio77T7qWdytrI”，现在输出匹配。

据此我推断 openssl/EVP 正在截断您提供的任何 IV。这不应该严格来说是必要的，因为 GCM 确实支持更长的 IV，但 96 位在某种意义上是“首选”长度；我不确定该政策是在哪里执行的。