java - 生成 AES 和 HMAC key 需要太多时间

Question

我在 Android 应用程序中使用此方法生成 AES 和 HMAC key 。

private static final int PBE_ITERATION_COUNT = 10000;
private static final int AES_KEY_LENGTH_BITS = 128;
private static final int HMAC_KEY_LENGTH_BITS = 256;
private static final String PBE_ALGORITHM = "PBKDF2WithHmacSHA1";
private static final int AES_KEY_LENGTH_BYTES = AES_KEY_LENGTH_BITS >> 3;
private static final int HMAC_KEY_LENGTH_BYTES = HMAC_KEY_LENGTH_BITS >> 3;

public static AesHmacKeyPair generateKeyFromPassword(String password, byte[] salt) throws GeneralSecurityException {
    PrngFixes.fixPrng();
    //Get enough random bytes for both the AES key and the HMAC key:
    KeySpec keySpec = new PBEKeySpec(password.toCharArray(), salt,
            PBE_ITERATION_COUNT, AES_KEY_LENGTH_BITS + HMAC_KEY_LENGTH_BITS);
    SecretKeyFactory keyFactory = SecretKeyFactory
            .getInstance(PBE_ALGORITHM);
    byte[] keyBytes = keyFactory.generateSecret(keySpec).getEncoded();
    // Split the random bytes into two parts:
    byte[] confidentialityKeyBytes = copyOfRange(keyBytes, 0, AES_KEY_LENGTH_BYTES);
    byte[] integrityKeyBytes = copyOfRange(keyBytes, AES_KEY_LENGTH_BYTES, AES_KEY_LENGTH_BYTES + HMAC_KEY_LENGTH_BYTES);
    //Generate the AES key
    SecretKey confidentialityKey = new SecretKeySpec(confidentialityKeyBytes, CIPHER);

    //Generate the HMAC key
    SecretKey integrityKey = new SecretKeySpec(integrityKeyBytes, HMAC_ALGORITHM);
    return new AesHmacKeyPair(confidentialityKey, integrityKey);
}

我现在面临的问题是，这种方法太耗时了。在我的设备上大约需要两秒钟。而作为我的个人资料，它是由这行代码引起的:

byte[] keyBytes = keyFactory.generateSecret(keySpec).getEncoded();

我在密码/加密/解密方面没有太多经验。请帮忙给我一些建议，我将如何加快这种方法？或者是否有任何我应该遵循的等效方法而不是这种方法。

非常感谢您的支持

谢谢。

Answer 1

TL;DR:使用更好的密码并恢复迭代并使用 KBKDF2 派生 AES 和 HMAC key 。

---

PBKDF2 是一种明确包含工作因素的算法，在本例中为迭代次数。它旨在从密码中安全地派生出 key 。这个想法是，即使是强密码通​​常也不够安全，攻击者必须执行所需的工作来导出 key 。

不幸的是，您必须执行相同的工作，而且可能是在智能手机等速度慢得多的设备上。 10K 是您现在执行的最少迭代次数。但是，如果您的字母表 为 70 个字符，那么您只需将密码扩展为 2-3 个完全随机字符即可实现相同的目的。您仍然需要使用 PBKDF2 和盐，但您可以使用更低的迭代次数。

---

PBKDF2 的设计可以提供任意数量的位作为输出。然而，它有一个设计缺陷，即额外的位需要整个工作必须重新执行。作为 Math.ceil((128.0 + 256.0)/160.0) = 3，您基本上三次执行了 PBKDF2 函数。然而，攻击者可以通过仅执行一次来验证第一个 (AES) key 。所以你的性能比攻击者低 3 倍，没有任何收获。

与其以这种方式使用 PBKDF2，不如从中请求 160 位，然后向其附加标签。例如。一个 4 字节的计数器:00000001(十六进制)。然后您可以使用 SHA-256 或 512 从中生成 key 。对于下一个键，您将使用 00000002 作为标签(等等)。或者您可以在 Bouncy CaSTLe 中使用 KBKDF(基于 key 的 key 派生函数)之一。

带有我上面指定的计数器的 KBKDF 称为 KDF2(或 KDF1，它们只是计数器值不同，这与安全性无关)。 HKDF 要复杂得多，并且背后有更好的安全论据。

---

这是一个使用 HMAC 和文本标签而不是上面指定的散列和计数器的示例:

private static final int PBE_ITERATION_COUNT = 10000;
private static final int AES_KEY_LENGTH_BITS = 128;
private static final int HMAC_KEY_LENGTH_BITS = 256;
private static final String PBE_ALGORITHM = "PBKDF2WithHmacSHA1";
private static final int AES_KEY_LENGTH_BYTES = AES_KEY_LENGTH_BITS >> 3;
private static final int HMAC_KEY_LENGTH_BYTES = HMAC_KEY_LENGTH_BITS >> 3;
private static final String CIPHER = "AES";
private static final String HMAC_ALGORITHM = "HMACSHA256";
private static final int MASTER_KEY_LENGTH_BITS = 160; // max for PBKDF2 configured with SHA-1

public static AesHmacKeyPair generateKeyFromPassword(String password, byte[] salt) throws GeneralSecurityException {
    // PrngFixes.fixPrng(); <-- needs to be put back
    //Get enough random bytes for just the master key:
    KeySpec keySpec = new PBEKeySpec(password.toCharArray(), salt,
            PBE_ITERATION_COUNT, MASTER_KEY_LENGTH_BITS);
    SecretKeyFactory keyFactory = SecretKeyFactory
            .getInstance(PBE_ALGORITHM);
    byte[] masterKeyBytes = keyFactory.generateSecret(keySpec).getEncoded();

    //Generate the AES key
    byte[] confidentialityKeyBytes = kdf(masterKeyBytes, "ENC", AES_KEY_LENGTH_BYTES);
    SecretKey confidentialityKey = new SecretKeySpec(confidentialityKeyBytes, CIPHER);

    //Generate the HMAC key
    byte[] integrityKeyBytes = kdf(masterKeyBytes, "MAC", HMAC_KEY_LENGTH_BYTES);
    SecretKey integrityKey = new SecretKeySpec(integrityKeyBytes, HMAC_ALGORITHM);

    return new AesHmacKeyPair(confidentialityKey, integrityKey);
}

private static byte[] kdf(byte[] inputKeyMaterial, String label, int outputKeyBytes) {
    try {
        Mac mac = Mac.getInstance("HMACSHA256");
        mac.init(new SecretKeySpec(inputKeyMaterial, "HMACSHA256"));
        mac.update(label.getBytes(StandardCharsets.US_ASCII));
        byte[] confidentialityKeyBytes = mac.doFinal();
        return Arrays.copyOf(confidentialityKeyBytes, outputKeyBytes);
    } catch (NoSuchAlgorithmException | InvalidKeyException e) {
        throw new RuntimeException("HMAC operation doesn't work", e);
    }
}