用OpenSSL替換Mcrypt

Question

目前我們在我們的系統上實現了mcrypt實現，以在我們的PHP應用程序中隱藏一些合理的數據。現在我們有一個新的要求，我們必須將crypt模塊更改爲openssl。另一件重要的事情是知道我們正在使用密碼河豚和模式ecb。所以我開始測試什麼是差異以及如何使用openssl解密mcrypt加密字符串。

我使用了標準的PHP函數：

• mcrypt_encrypt與openssl_encrypt
• mcrypt_decrypt與openssl_decrypt

兩種方法都提供不同的結果。第二件事是在兩種類型的給定密碼（河豚）和模式（ecb）中，需要不同的IV長度（openssl = 0和mcrypt = 56）。

是否有人知道如何在不進行大量遷移工作的情況下輕鬆更改模塊？

在此先感謝！

UPDATE：

下面是代碼，這是我測試過它：

<?php 

function say($message){ 
    if(!is_string($message)){ 
     if(!isset($_SERVER["HTTP_USER_AGENT"])) echo "<pre>"; 
     echo var_export($message, true) . ((!isset($_SERVER["HTTP_USER_AGENT"]) ? "\n" : "<br />")); 
     if(!isset($_SERVER["HTTP_USER_AGENT"])) echo "</pre>"; 
    }else{ 
     echo $message . ((!isset($_SERVER["HTTP_USER_AGENT"]) ? "\n" : "<br />")); 
    } 
} 

say("= Begin raw encryption"); 
$key = "anotherpass"; 
$str = "does it work"; 

say(" Params:"); 
say(" - String to encrypt '".$str."'"); 
say(" - Key: ".$key); 
say(""); 


$params = array(
    "openssl" => array(
     "cipher" => "BF", 
     "mode"  => "ECB", 
    ), 
    "mcrypt" => array(
     "cipher" => "blowfish", 
     "mode"  => "ecb", 
    ), 
); 

say("= Mcrypt"); 
$handler = mcrypt_module_open($params['mcrypt']['cipher'], '', $params['mcrypt']['mode'], ''); 
$iv  = mcrypt_create_iv (mcrypt_enc_get_iv_size($handler), MCRYPT_RAND); 
$keysize = mcrypt_enc_get_key_size($handler); 
mcrypt_generic_init($handler,$key,"\0\0\0\0\0\0\0\0"); 
say(" Params:"); 
say(" - InitVector ".bin2hex($iv)." (bin2hex)"); 
say(" - Max keysize ".$keysize); 
say(" - Cipher  ".$params['mcrypt']['cipher']); 
say(" - Mode   ".$params['mcrypt']['mode']); 
say(""); 
say(" Encryption:"); 
$m_encrypted = mcrypt_generic($handler, $str); 
$m_decrypted = mdecrypt_generic($handler, $m_encrypted); 
say(" - Encrypted ".bin2hex($m_encrypted)." (bin2hex)"); 
say(" - Descrypted ".$m_decrypted); 
say(""); 


say("= Openssl"); 
say(" Params:"); 
say(" - InitVector not needed"); 
say(" - Max keysize ".openssl_cipher_iv_length($params['openssl']['cipher']."-".$params['openssl']['mode'])); 
say(" - Cipher  ".$params['openssl']['cipher']); 
say(" - Mode   ".$params['openssl']['mode']); 
say(""); 
say(" Encryption:"); 
$o_encrypted = openssl_encrypt($str,$params['openssl']['cipher']."-".$params['openssl']['mode'],$key,true); 
$o_decrypted = openssl_decrypt($o_encrypted,$params['openssl']['cipher']."-".$params['openssl']['mode'],$key,true); 
say(" - Encrypted ".bin2hex($o_encrypted)." (bin2hex)"); 
say(" - Descrypted ".$o_decrypted); 

這是我的結果：

= Begin raw encryption 
    Params: 
    - String to encrypt 'does it work' 
    - Key: anotherpass 

= Mcrypt 
    Params: 
    - InitVector 06a184909d7bf863 (bin2hex) 
    - Max keysize 56 
    - Cipher  blowfish 
    - Mode   ecb 

    Encryption: 
    - Encrypted 0e93dce9a6a88e343fe5f90d1307684c (bin2hex) 
    - Descrypted does it work 

= Openssl 
    Params: 
    - InitVector not needed 
    - Max keysize 0 
    - Cipher  BF 
    - Mode   ECB 

    Encryption: 
    - Encrypted 213460aade8f9c14d8d51947b8231439 (bin2hex) 
    - Descrypted does it work 

現在

也許什麼想法？

謝謝！

Answer 1

河豚是分組密碼。它要求在加密之前填充數據。 OpenSSL使用PKCS＃7，而mcrypt使用PKCS＃5。不同的數據填充算法。 最小的PKCS＃5填充長度爲0，對於PKCS＃7，它是1（wikipedia）。看一看該示例（我已經手動填充的輸入數據。mcrypt_encrypt()在PKCS＃7樣式）：

<?php 

$key = "anotherpassword1"; 
$str = "does it work 12"; 

$enc = mcrypt_encrypt(MCRYPT_BLOWFISH, $key, $str."\1", MCRYPT_MODE_ECB); 
$dec = mcrypt_decrypt(MCRYPT_BLOWFISH, $key, $enc, MCRYPT_MODE_ECB); 
echo(bin2hex($enc).PHP_EOL); 
var_dump($dec); 

$enc = openssl_encrypt($str, 'bf-ecb', $key, true); 
$dec = openssl_decrypt($enc, 'bf-ecb', $key, true); 
echo(bin2hex($enc).PHP_EOL); 
var_dump($dec); 

?> 

這是不可能的openssl_decrypt（）與mcrypt_encrypt（加密數據），除非手動數據填補用製成調用mcrypt_encrypt()之前的PKCS＃7。

你的情況只有一種 - 重新獲取數據。

PS：有一個在你的源的錯誤 - ECB模式不會在所有（wikipedia）

Answer 2

對於較短的鍵使用四，您應該遷移的mcrypt的河豚時許循環鍵OpenSSL的。

function make_openssl_blowfish_key($key) 
{ 
    if("$key" === '') 
     return $key; 

    $len = (16+2) * 4; 
    while(strlen($key) < $len) { 
     $key .= $key; 
    } 
    $key = substr($key, 0, $len); 
    return $key; 
} 

參見：https://bugs.php.net/bug.php?id=72362

參見：Moving from mcrypt with Blowfish & ECB to OpenSSL

Answer 3

@clover是正確的，對於河豚默認填充是mcrypt的和OpenSSL之間的不同，但其實是錯誤，它無法做到的。如果您使用OPENSSL_ZERO_PADDING選項解密這兩個實際上是兼容的：

openssl_decrypt($data, 'bf-ecb', $key, OPENSSL_RAW_DATA | OPENSSL_ZERO_PADDING);