encryption - 为什么 AES 的不同实现会产生不同的输出？

Question

我觉得我对哈希函数和它们所包含的合约有很好的理解。

输入 X 上的 SHA1 将始终产生相同的输出。您可以使用 Python 库、Java 库或笔和纸。这是一个函数，它是确定性的。我的 SHA1 和你的以及 Alice 和 Bob 的一样。

据我了解，AES 也是一种功能。你输入一些值，它会吐出密文。

那么，为什么会担心 Truecrypt(例如)被“损坏”？他们并不是说 AES 坏了，他们说实现它的程序可能是坏的。从理论上讲，AES 是可靠的。那么为什么不能只通过 Truecrypt 运行一个文件，通过一个“引用 AES”函数运行它，并验证结果是否相同呢？我知道它绝对不会那样工作，但我不知道为什么。

是什么让 AES 在这方面与 SHA1 不同？为什么 Truecrypt AES 会输出与 Schneier-Ifier* AES 不同的文件，当它们都被赋予所有相同的输入时？

最后，我的问题归结为:

My_SHA1(X) == Bobs_SHA1(X) == ...等

但是 TrueCrypt_AES(X) != HyperCrypt_AES(X) != VeraCrypt_AES(X) 等等。这是为什么呢？是否所有这些程序都包装了 AES，但有不同的方法来确定诸如初始化向量之类的东西？

*如果我曾经写过，这将是我的文件加密程序的名称

Answer 1

在您给出的 SHA-1 示例中，函数只有一个输入，任何正确的 SHA-1 实现在提供相同的输入数据时都应该产生与任何其他实现相同的输出。

然而，对于 AES，事情有点棘手，而且由于您没有具体说明“AES”的确切含义，这本身似乎是实现之间感知差异的根源。

首先，“AES”不是单一算法，而是采用不同 key 大小(128、192 或 256 位)的一系列算法。 AES 也是一种分组密码，它采用单个 128 位/16 字节的 明文 输入 block ，并使用 key 对其进行加密以生成单个 16 字节的输出 block 。

当然在实践中我们经常希望一次加密超过 16 个字节的数据，因此我们必须找到一种方法来重复应用 AES 算法以加密所有数据。天真地我们可以将它分成 16 个字节的 block 并依次加密每个 block ，但这种模式(描述为电子密码本或 ECB)结果是 horribly insecure .相反，其他各种更安全的 modes通常使用 ，其中大多数都需要 初始化向量 (IV)，这有助于确保使用相同的 key 加密相同的数据不会产生相同的密文(这将否则泄露信息)。

这些模式中的大多数仍然在固定大小的数据 block 上运行，但我们经常希望加密不是 block 大小倍数的数据，因此我们必须使用某种形式的 padding ，对于我们如何将消息填充到 block 大小的倍数的长度，有多种不同的可能性。

因此，将所有这些放在一起，如果以下 所有 都相同，则“AES”的两个不同实现应该产生相同的输出:

• 明文输入数据
• key (以及 key 大小)
• 四
• 模式(包括任何特定于模式的输入)
• 填充