java - 特定 Android 设备/操作系统上的增量加密问题

Question

我正在结合使用增量加密和 Android KeyStore 提供程序。

val cipher = Cipher.getInstance(TRANSFORMATION)
cipher.init(Cipher.ENCRYPT_MODE, getSecretKey())

val chunks = textToEncrypt.chunked(CHUNK_SIZE)
val encryptedChunks: MutableList<ByteArray?> = mutableListOf()

chunks.forEachIndexed { index, chunk ->
     if (index == chunks.size - 1) {
            encryptedChunks.add(cipher.doFinal(chunk.toByteArray(StandardCharsets.UTF_8)))
     } else {
            encryptedChunks.add(cipher.update(chunk.toByteArray(StandardCharsets.UTF_8)))
     }
}

val result = encryptedChunks.filterNotNull().reduce { acc, item -> acc.plus(item) }

这些是我正在使用的常量:

const val TRANSFORMATION = "AES/GCM/NoPadding"
const val CHUNK_SIZE = 32768 // 32KiB

现在，这段代码已经在 30 多种不同的设备上进行了严格的测试，除了一部手机(Xperia XA 和 Android 7.0)之外，从未出现过任何问题。对于这款手机，如果输入 (textToEncrypt) 足够小以至于所有内容都可以在单个 block 中加密，那么它就没问题，但如果它更大(通常在 100KiB 左右)，那么它需要更多 block ，那么它将无法加密数据。这是我得到的:

Caused by javax.crypto.IllegalBlockSizeException
   at android.security.keystore.AndroidKeyStoreCipherSpiBase.engineDoFinal(AndroidKeyStoreCipherSpiBase.java:491)
   at javax.crypto.Cipher.doFinal(Cipher.java:2056)

Caused by android.security.KeyStoreException: Memory allocation failed
   at android.security.KeyStore.getKeyStoreException(KeyStore.java:685)
   at android.security.keystore.KeyStoreCryptoOperationChunkedStreamer.update(KeyStoreCryptoOperationChunkedStreamer.java:132)
   at android.security.keystore.AndroidKeyStoreCipherSpiBase.engineUpdate(AndroidKeyStoreCipherSpiBase.java:338)
   at javax.crypto.Cipher.update(Cipher.java:1683)

注意:仅对于此设备，cipher.update() 返回带有 ENCRYPT_MODE 的 null，这就是为什么在我的代码中我允许返回null，然后丢弃它们以形成加密数据。这意味着 cipher.doFinal 应该一次性返回整个加密数据。

编辑: 所以显然只有这款手机的 block 大小不合适:它不能是 32Kb，但 8Kb 可以正常工作

Answer 1

扩展 Olivier 的回答。他确定异常是由 mMainDataStreamer.update() 抛出的。如果你看AndroidKeyStoreCipherSpiBase class 你会看到 mMainDataStreamer 是 KeyStoreCryptoOperationChunkedStreamer 的一个实例类(class)。这是一个有趣的部分:

// Binder buffer is about 1MB, but it's shared between all active transactions of the process.
// Thus, it's safer to use a much smaller upper bound.
private static final int DEFAULT_MAX_CHUNK_SIZE = 64 * 1024;

在我们的例子中，使用这个默认的最大块大小。 DEFAULT_MAX_CHUNK_SIZE 设置 block 大小的上限。如果您将更大的 block 传递给 cipher.update() 方法，它们将被切割成 DEFAULT_MAX_CHUNK_SIZE 的 block 。如您所见，即使是 Android 开发人员也没有新的精确安全 block 大小并且不得不自己猜测(在您的情况下未成功)。

但是，请注意 Binder缓冲区用于将这些 block 传递给加密过程并从中返回结果。而且它的大小只有大约 1MB。

也许这个特定设备上有一个异常小的 Binder 缓冲区？您可以尝试使用该答案进行调查:https://stackoverflow.com/a/25666064/3249257

在未来的设备上，您可以使用:

IBinder.getSuggestedMaxIpcSizeBytes()

https://developer.android.com/reference/android/os/IBinder#getSuggestedMaxIpcSizeBytes()