AES 256 解密 - IV 可以安全共享吗？

继这个问题 https://stackoverflow.com/questions/992019/java-256-bit-aes-password-based-encryption及其答案，我正在创建一个应用程序，给定密码字符串，将转换明文并将其密文、生成的盐和初始化向量存储在文本文件中。

在下面的代码中：

public String decrypt(CryptGroup cp) throws Exception {
    String plaintext = null;
    SecretKeyFactory factory = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA1");
    KeySpec spec = new PBEKeySpec(password, cp.getSalt(), ITERATIONS, KEY_SIZE);
    SecretKey secretKey = factory.generateSecret(spec);
    SecretKeySpec secret = new SecretKeySpec(secretKey.getEncoded(), "AES");

    Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
    cipher.init(Cipher.DECRYPT_MODE, secret, new IvParameterSpec(cp.getIv()));
    plaintext = new String(cipher.doFinal(cp.getCipher()), "UTF-8");

    return plaintext;
}

public CryptGroup encrypt(String plainText) throws Exception {
    byte[] salt = generateSalt();
    SecretKeyFactory factory = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA1");
    KeySpec spec = new PBEKeySpec(password, salt, ITERATIONS, KEY_SIZE);
    SecretKey secretKey = factory.generateSecret(spec);
    SecretKeySpec secret = new SecretKeySpec(secretKey.getEncoded(), "AES");

    Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
    cipher.init(Cipher.ENCRYPT_MODE, secret);
    AlgorithmParameters params = cipher.getParameters();
    byte[] iv = params.getParameterSpec(IvParameterSpec.class).getIV();
    byte[] ciphertext = cipher.doFinal(plainText.getBytes("UTF-8"));

    return new CryptGroup(ciphertext, salt, iv);
}

CryptGroup 对象包含这 3 个参数（密文、salt、iv：字节数组）。

存储初始化向量是否安全？

该问题的答案明确指出盐不需要保密，显然密文也可以使用，但是 iv 参数呢？

Edit如果共享不安全，是否可以单独从盐中检索原始 iv？

是的，IV 可以是公共信息。你可以使用计算作为 IV，只要你不使用 key 和 IV 的组合两次。换句话说，你应该能够只分享盐，只要你改变每次加密的盐.

此外，对于 CBC，要求 IV 对于攻击者来说“看起来像是随机的”，特别是当用于相同的密钥时。因此，通常的方案是使用 PBKDF2 的一些输出作为 IV 数据。这些特定位当然也不应该用于创建密钥，但是分割输出大小是可以的。

这有一些缺点，因为如果您请求超过 160 位的信息（对于 SHA1），PBKDF2 将使用更多轮次。因此，您可以连接 PBKDF2 的输出和计数器（0 表示密钥，1 表示 IV）并使用例如SHA256 生成 128 位密钥（最左边的 16 个字节）和 128 位 IV（最右边的 16 个字节）。

让我们探讨一下这个方案的一些变体：

• 您还可以使用不同的哈希（例如 SHA-512）来创建更大的输出并将其拆分以获得密钥和 IV，但请注意，此类函数可能并非在所有地方都可用。 Java 8 应该有"PBKDF2WithHmacSHA512"虽然（对于SecretKeyFactory http://docs.oracle.com/javase/8/docs/technotes/guides/security/StandardNames.html#SecretKeyFactory).

• 您还可以生成一个 PBKDF2 输出，然后使用 HKDF 或 HKDF-Expand 派生密钥和 IV。问题是 HKDF / HKDF-Expand 不能直接从 Java 获得。 Bouncy Castle 确实有这个方法，因为我发送了各种 KDF 的实现。

• 另一种方法是使用生成新的 IVSecureRandom，但在这种情况下，您需要同时存储盐和 IV。如果您需要使用同一密钥加密多条消息，这可能很有用。在这种情况下，您可以为每条单独的消息生成并存储 IV。如果您能够简单地存储 16 个额外字节，那么这是一个很好的方法。

• 原则上，只要您从不重复使用相同的密钥（即从不重复使用相同的密码/盐组合），您也可以使用全零 IV。但是，在这种情况下，您可能希望使用 AES-256 来避免多目标攻击。