4

Estou usando PBKDF2 em WebCryptoAPI para gerar uma chave "derivável" baseada em uma entrada do usuário (uma senha) e derivando dela uma chave AES-GCM.

Estou fazendo uma rodada de testes onde:

  • na primeira rodada gero as chaves (PBKDF2 e AES-GCM), salvo este objeto CryptoKey (AES-GCM) em uma variável no escopo superior, gero um "iv", encripto a string "Hello World!", exporto a chave AES-GCM em um objeto jwk
  • na segunda rodada decripto usando a iv e a chave AES-GCM
  • na terceira importo a chave AES-GCM do formato jwk uso a iv e descripto
  • na quarta rodada gero uma nova chave (PBKDF2 e AES-GCM), uso esta nova chave AES-GCM com a iv para descriptar

Nada de incomum entre a primeira ha terceira rodada más (o diabo reside no "más"), a quarta rodada onde uma nova chave é gerada, efetivamente esta descriptografando a string...

No meu teste estou usando uma string com 4 zeros ("0000") como senha destas chaves (para PBKDF2 e AES-GCM) mas me pergunto se:

  • mesmo que, uma chave seja gerada usando a mesma senha utilizada em outra chave não deveriam ser duas chaves distintas?

O snippet abaixo expressa esta questão:

let cry = document.getElementById('cry')
let dec1 = document.getElementById('dec-1')
let dec2 = document.getElementById('dec-2')
let dec3 = document.getElementById('dec-3')
let logger = document.getElementById('logger')

const UTILS = {
    convertStringToArrayBuffer(str) {
        let encoder = new TextEncoder('utf-8')
        return encoder.encode(str)
    },
    convertArrayBuffertoString(buffer) {
        let decoder = new TextDecoder('utf-8')
        return decoder.decode(buffer)
    },
    bufferToHex(arr) {
        let i,
            len,
            hex = '',
            c
        for (i = 0, len = arr.length; i < len; i += 1) {
             c = arr[i].toString(16)
             if ( c.length < 2 ) {
                 c = '0' + c
             }
             hex += c
        }
        return hex
    },
    hexToBuffer(hex) {
      let i,
          byteLen = hex.length / 2,
          arr,
          j = 0
      if ( byteLen !== parseInt(byteLen, 10) ) {
          throw new Error("Invalid hex length '" + hex.length + "'")
      }
      arr = new Uint8Array(byteLen)
      for (i = 0; i < byteLen; i += 1) {
           arr[i] = parseInt(hex[j] + hex[j + 1], 16)
           j += 2
      }
      return arr
    }
}

const WebCryptoGenerateKey = (password) => {
    return crypto.subtle.importKey(
        'raw',
        UTILS.convertStringToArrayBuffer(password),
        {
            name: 'PBKDF2'
        },
        false, // PBKDF2 don't exportable
        [ 'deriveKey', 'deriveBits' ]
    )
}

const AES_GCM = (CryptoKey, opts) => {
    return crypto.subtle.deriveKey(
        {
            name: 'PBKDF2',
            salt: new Uint8Array(UTILS.convertStringToArrayBuffer(opts.password)),
            iterations: 100000, // mobile = 100 000, desktop.32bit = 1 000 000, desktop.64bit = 10 000 000
            hash: 'SHA-256'
        },
        CryptoKey,
        {
            name: 'AES-GCM',
            length: 256
        },
        opts.export, // Extractable is set to false so that underlying key details cannot be accessed.
        [ 'encrypt', 'decrypt', 'wrapKey', 'unwrapKey' ]
    )
}

const AES_GCM_ENCRYPT = (data, key, iv) => {
    return crypto.subtle.encrypt(
        {
            name: "AES-GCM",
            // Don't re-use initialization vectors!
            // Always generate a new iv every time your encrypt!
            // Recommended to use 12 bytes length
            iv: iv,
            // Additional authentication data (optional)
            //additionalData: ArrayBuffer,
            // Tag length (optional)
            length: 256, //can be 32, 64, 96, 104, 112, 120 or 128 (default)
        },
        key, // from generateKey or importKey above
        data // ArrayBuffer of data you want to encrypt
    )
}

const AES_GCM_DECRYPT = (enc, key, iv) => {
    return crypto.subtle.decrypt(
        {
            name: "AES-GCM",
            iv: iv, // The initialization vector you used to encrypt
            //additionalData: ArrayBuffer, //The addtionalData you used to encrypt (if any)
            length: 256, //The tagLength you used to encrypt (if any)
        },
        key, //from generateKey or importKey above
        enc //ArrayBuffer of the data
    )
}

const AES_GCM_IMPORT = (jwk) => {
    return crypto.subtle.importKey(
        "jwk", //can be "jwk" or "raw"
        jwk,
        {   //this is the algorithm options
            name: "AES-GCM",
        },
        true, //whether the key is extractable (i.e. can be used in exportKey)
        ["encrypt", "decrypt"] //can "encrypt", "decrypt", "wrapKey", or "unwrapKey"
    )
}

const AES_GCM_EXPORT = (key) => {
    return crypto.subtle.exportKey(
        "jwk", //can be "jwk" or "raw"
        key //extractable must be true
    )
}

let AES_GCM_KEY,
    EXPORTED_AES_GCM_JWK,
    IMPORTED_AES_GCM_JWK,
    ENCRYPTED


let vector = crypto.getRandomValues(new Uint8Array(16))

cry.addEventListener('click', function() {
    WebCryptoGenerateKey('0000').then(CryptoKey => {
        AES_GCM(CryptoKey, {
            password: '0000',
            export: true
        }).then(aes_gcm => {
            AES_GCM_KEY = aes_gcm
            AES_GCM_ENCRYPT(UTILS.convertStringToArrayBuffer('Hello World!'), aes_gcm, vector).then(encData => {
                ENCRYPTED = UTILS.bufferToHex(new Uint8Array(encData))
                logger.innerHTML += '<br>' + ENCRYPTED
            })
            AES_GCM_EXPORT(aes_gcm).then(jwk => {
                EXPORTED_AES_GCM_JWK = jwk
            })
        })
    })
}, false)

dec1.addEventListener('click', function() {
    AES_GCM_DECRYPT(UTILS.hexToBuffer(ENCRYPTED), AES_GCM_KEY, vector).then(result => {
        logger.innerHTML += '<br>' + UTILS.convertArrayBuffertoString(result)
    })
}, false)

dec2.addEventListener('click', function() {
    AES_GCM_IMPORT(EXPORTED_AES_GCM_JWK).then(aes_gcm => {
        AES_GCM_DECRYPT(UTILS.hexToBuffer(ENCRYPTED), aes_gcm, vector).then(result => {
            logger.innerHTML += '<br>' + UTILS.convertArrayBuffertoString(result)
        })
    })
}, false)


dec3.addEventListener('click', function() {
    WebCryptoGenerateKey('0000').then(CryptoKey => {
        AES_GCM(CryptoKey, {
            password: '0000',
            export: true
        }).then(aes_gcm2 => {
            AES_GCM_DECRYPT(UTILS.hexToBuffer(ENCRYPTED), aes_gcm2, vector).then(result => {
                logger.innerHTML += '<br>' + UTILS.convertArrayBuffertoString(result)
            })
        })
    })
}, false)
<link href="https://stackpath.bootstrapcdn.com/bootstrap/4.1.3/css/bootstrap.min.css" rel="stylesheet"/>

<button id="cry" type="button" class="btn btn-secondary">crypt</button>
               <button id="dec-1" type="button" class="btn btn-secondary">decrypt 1</button>
               <button id="dec-2" type="button" class="btn btn-secondary">decrypt 2</button>
               <button id="dec-3" type="button" class="btn btn-secondary">decrypt 3</button>
               
<div id="logger" class="col-12 mx-auto mt-3"></div>

<script
  src="https://code.jquery.com/jquery-3.3.1.min.js"
  integrity="sha256-FgpCb/KJQlLNfOu91ta32o/NMZxltwRo8QtmkMRdAu8="
  crossorigin="anonymous"></script>
  
<script src="https://stackpath.bootstrapcdn.com/bootstrap/4.1.3/js/bootstrap.bundle.min.js"></script>

1 Resposta 1

2
+50

mesmo que, uma chave seja gerada usando a mesma senha utilizada em outra chave não deveriam ser duas chaves distintas?

Não, todos os algoritmos envolvidos na geração da chave criptográfica(PBKDF2, SHA-2) são algoritmos determinísticos. Se não era essa a resposta que esperava, continue lendo.

Analisei o seu código, e resumindo, o quadro geral é:

  1. Criar chave criptográfica simétrica
  2. Criptografar conteúdo usando o algoritmo AES com a chave derivada
  3. Exportar e Importar chave no formato JSON Web Key(JWK)
  4. Descriptografar conteúdo

Parece que o maior problema é entender como usar PBKDF2. A criação da chave ocorreu desta maneira:

  1. A senha é a chave nua e crua (raw key):
const WebCryptoGenerateKey = (password) => {
    return crypto.subtle.importKey(
        'raw',
        UTILS.convertStringToArrayBuffer(password),
        {
            name: 'PBKDF2'
        },
        false, // PBKDF2 don't exportable
        [ 'deriveKey', 'deriveBits' ]
    )
}
  1. Dessa chave é criada uma chave derivada usando o algoritmo PBKDF2, usando a função de hash criptográfico SHA-256(SHA-2 256bits), com cem mil iterações(iterations), usando como sal(salt) a senha:
const AES_GCM = (CryptoKey, opts) => {
    return crypto.subtle.deriveKey(
        {
            name: 'PBKDF2',
            salt: new Uint8Array(UTILS.convertStringToArrayBuffer(opts.password)),
            iterations: 100000, // mobile = 100 000, desktop.32bit = 1 000 000, desktop.64bit = 10 000 000
            hash: 'SHA-256'
        },
        CryptoKey,
        {
            name: 'AES-GCM',
            length: 256
        },
        opts.export, // Extractable is set to false so that underlying key details cannot be accessed.
        [ 'encrypt', 'decrypt', 'wrapKey', 'unwrapKey' ]
    )
}
  1. Nesse mesmo passo, é especificado que a chave derivada deve ser formatada no tamanho de 256bits, para uso em AES em modo de operação GCM:
        {
            name: 'AES-GCM',
            length: 256
        },

A senha informada pelo usuário é uma chave pelada, uma vez que ela caia em mãos erradas, o segredo do cofre é descoberto. Quando essa chave é derivada, é adicionada a ela uma armadura, dificultando assim o uso dela no cofre. O PBKDF2 coloca várias camadas de aço nessa armadura, iterações é a propriedade que define o número de camadas. O sal em PBKDF2, representa o ponto fraco da sua defesa, aquilo que pode enferrujar a sua armadura. Se toda chave tem o mesmo ponto fraco, uma vez que o inimigo descubra a falha, ele descobrirá todas as chaves. Por isso é importante ter um sal diferente para cada chave.

Voltando para o seu código, o ideal seria mudar o sal para algo como:

salt: crypto.getRandomValues(new Uint8Array(8)),

Quanto a sua dúvida, da mesma senha gerar a mesma chave. Leve em consideração, que uma vez alterado o valor do sal, ou de iterações, a chave resultante será totalmente diferente. Então, neste caso, a resposta é sim.

5
  • Obrigado por sua resposta, consegui ter uma ideia de como funciona melhor do que a documentação da Mozilla explica. Poderia me dizer que formato é este WKS? Eu vi na documentação apenas: raw, jwk, spki e pkcs8. E sem querer parecer abusado, qual seria o comprimento adequado para salt ... vi em diversos lugares tamanhos com 8, 12 ou 16 más, não encontrei referencia sobre este comprimento em relação ao algoritmo e seu "comprimento" (existe esta relação)? 25/08/2018 às 18:50
  • 1
    O documento RFC 8018 recomenda 64bits, mas o documento NIST SP 800-132 recomenda 128bits. Nesse caso, fico com o maior, um sal de 128bits. Para o IV em AES-GCM o indicado é 96bits. 26/08/2018 às 6:16
  • WKS foi um erro de digitação, o correto é JWK. 26/08/2018 às 6:27
  • Para iv eu já havia visto o NIST 800-38d na seção 5.2.1.1 já recomendava 96bits para iv ... mais uma vez agradeço a resposta e as orientações. 26/08/2018 às 16:25
  • É esse documento mesmo. Meu palpite de principiante, seria dizer que o tamanho ideal do IV para um block cipher é sempre o tamanho do bloco. Mas como é o modo de operação que decide o que fazer com o IV, é ele quem dita as regras. 27/08/2018 às 3:34

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .