使用 NodeJS 加密 <RSA_PKCS1_OAEP_PADDING> 填充和 <sha256> oaepHash 的 Java 解密

问题描述

我需要解密来自使用 NodeJS 构建的外部服务的一些信息。此服务要求使用 base64 格式的 pem 格式的 RSA (2048) 公钥，以便对信息进行加密。

我正在用 Java 创建密钥对：

    KeyPairGenerator kpg = KeyPairGenerator.getInstance("RSA");
    kpg.initialize(2048);
    KeyPair kp = kpg.generateKeyPair();
    PublicKey pubkey = kp.getPublic();
    PrivateKey privkey = kp.getPrivate();

    String pempublicString = "-----BEGIN PUBLIC KEY-----\n";
    pempublicString = pempublicString+Base64.getEncoder().encodetoString(pubkey.getEncoded())+"\n";
    pempublicString = pempublicString+"-----END PUBLIC KEY-----\n";
    
    String pemPrivateString = "-----BEGIN RSA PRIVATE KEY-----\n";
    pemPrivateString = pemPrivateString+Base64.getEncoder().encodetoString(privkey.getEncoded())+"\n";
    pemPrivateString = pemPrivateString+"-----END RSA PRIVATE KEY-----\n";
    
    //Send to node js service
    String base64publickey = Base64.getEncoder().encodetoString(pempublicString.getBytes());

    //Store for decrypting
    String base64privatekey = Base64.getEncoder().encodetoString(pemPrivateString.getBytes());

外部服务按如下方式加密信息并返回字节：

  crypto.publicEncrypt(
  {
    key: publicKey,padding: crypto.constants.RSA_PKCS1_OAEP_PADDING,oaepHash: "sha256",},dataToEncrypt
  );

我正在尝试用 Java 解密信息，如下所示：

    public String decrypt(String payload,String privateKey){
      byte [] ciphertext = payload.getBytes(StandardCharsets.UTF_8);
      Cipher oaepFromInit = Cipher.getInstance("RSA/ECB/OAEPPadding");
      OAEPParameterSpec oaepParams = new OAEPParameterSpec("SHA-256","MGF1",new 
      MGF1ParameterSpec("SHA-1"),PSource.PSpecified.DEFAULT);
      oaepFromInit.init(Cipher.DECRYPT_MODE,getRSAPrivateKeyFrom(privateKey),oaepParams);
      byte[] pt = oaepFromInit.doFinal(ciphertext);
      return new String(pt,StandardCharsets.UTF_8);
    }

    private PrivateKey getRSAPrivateKeyFrom(String content) {
      byte[] decodedBytes = Base64.getDecoder().decode(content);
      String decodedString = new String(decodedBytes);
      Security.addProvider(new BouncyCastleProvider());
      PEMParser pemParser = new PEMParser(new StringReader(decodedString));
      JcaPEMKeyConverter converter = new JcaPEMKeyConverter().setProvider("BC");
      Object object = pemParser.readobject();
      PrivateKey k = converter.getPrivateKey((PrivateKeyInfo) object);
      return k;
   }

现在我收到了一个 BadPadding 异常，你知道可能是什么问题吗？提前致谢。

解决方法

贴出的代码没有展示NodeJS代码是如何导出密文的。 Java 代码的 decrypt() 中的以下行：

 byte[] ciphertext = payload.getBytes(StandardCharsets.UTF_8);

表示您使用了 Utf-8 编码。这是破坏密文的常见错误（参见here）。应用 binary-to-text enncoding 代替 Utf-8，例如 Base64。

密文的导出将在 NodeJS 中完成：

var chiphertextBase64 = ciphertext.toString('base64');

以及在 Java 中的导入：

import java.util.Base64;
...
byte[] ciphertext = Base64.getDecoder().decode(payload);

在 NodeJS 代码中，OAEP (RSAES-OAEP) 被指定为填充。 crypto.publicEncrypt() 与参数 oaepHash 一起适用于 OAEP 和 MGF1 摘要的相同摘要。 oaepHash: "sha256" 因此为两个摘要指定了 SHA256。
相比之下，Java 允许单独（和不同）规范 OAEP 和 MGF1 摘要。虽然 SHA256 用于 decrypt() 中的 OAEP 摘要，但 SHA1 用于 MGF1 摘要。后者与NodeJS代码不一致，需要改成SHA256：

OAEPParameterSpec oaepParams = new OAEPParameterSpec("SHA-256","MGF1",new MGF1ParameterSpec("SHA-256"),PSource.PSpecified.DEFAULT);

Maarten Bodewes 在第 1 条评论中已经怀疑此错误。

在发布的代码中，PEM 编码的 pemPublicString 和 pemPrivateString 密钥分别被 Base64 编码为 base64publickey 和 base64privatekey。这不是必需的，因为 PEM 编码密钥的主体已经是 Base64 编码的，并且页眉和页脚由 ASCII 字符组成。因此，第二个 Base64 编码没有带来任何好处，但缺点是不必要地扩大了关键数据（Base64 开销：33%，参见 here）。另一方面，如果服务需要双 Base64 编码的公钥，您必须遵守。

生成密钥时，发布的 Java 代码隐式使用 PKCS#8 格式作为私钥。您可以使用 privkey.getFormat() 验证这一点，它将输出 PKCS#8。 PKCS#8 的相关标头是 -----BEGIN PRIVATE KEY----- 和页脚 -----END PRIVATE KEY-----。您当前使用的页眉和页脚都属于 PEM 编码的 PKCS#1 私钥，因此与密钥数据不一致。此问题已在 Maarten Bodewes 的第二条评论中解决。

顺便说一下，无需BouncyCastle 即可使用PKCS8EncodedKeySpec 轻松导入PKCS#8 密钥。对于这唯一的页眉，页脚和换行符必须删除，其余的必须进行 Base64 解码（DER 编码），s。例如here。

encryption-asymmetric java java javascript