自己開發(fā)的接口居然不安全，零容忍

MAC算法家族

MAC算法 MAC（Message Authentication Code，消息認(rèn)證碼算法），是帶密鑰的Hash函數(shù)。輸入密鑰和消息，輸出一個(gè)消息摘要。它集合了MD和SHA兩大系列消息摘要算法。

• MD 系列算法: HmacMD2、HmacMD4 和 HmacMD5 ；
• SHA 系列算法：HmacSHA1、HmacSHA224、HmacSHA256、HmacSHA384 和 HmacSHA512 。

對(duì)稱加密算法

加密和解密使用「相同密鑰」的加密算法就是對(duì)稱加密算法。常見的對(duì)稱加密算法有AES、3DES、DES、RC5、RC6等。

DES

數(shù)據(jù)加密標(biāo)準(zhǔn)（英語：Data Encryption Standard，縮寫為 DES）是一種對(duì)稱密鑰加密塊密碼算法。DES算法的入口參數(shù)有三個(gè)：Key、Data、Mode。

• Key: 7個(gè)字節(jié)共56位，是DES算法的工作密鑰；
• Data: 8個(gè)字節(jié)64位，是要被加密或被解密的數(shù)據(jù)；
• Mode: 加密或解密。

3DES

三重?cái)?shù)據(jù)加密算法（英語：Triple Data Encryption Algorithm，又稱3DES（Triple DES），是一種對(duì)稱密鑰加密塊密碼，相當(dāng)于是對(duì)每個(gè)數(shù)據(jù)塊應(yīng)用三次數(shù)據(jù)加密標(biāo)準(zhǔn)（DES）算法。

AES

AES，高級(jí)加密標(biāo)準(zhǔn)（英語：Advanced Encryption Standard），在密碼學(xué)中又稱Rijndael加密法，是美國聯(lián)邦政府采用的一種區(qū)塊加密標(biāo)準(zhǔn)。

• 采用對(duì)稱分組密碼體制，密鑰長度為 128 位、 192 位、256 位，分組長度128位
• 相對(duì)于DES ，AES具有更好的 安全性、效率 和 靈活性。

非對(duì)稱加密算法

非對(duì)稱加密算法需要兩個(gè)密鑰：公鑰和私鑰。公鑰與私鑰是成對(duì)存在的，如果用公鑰對(duì)數(shù)據(jù)進(jìn)行加密，只有用對(duì)應(yīng)的私鑰才能解密。主要的非對(duì)稱加密算法有：RSA、Elgamal、DSA、D-H、ECC。

RSA算法

• RSA加密算法是一種非對(duì)稱加密算法,廣泛應(yīng)用于加密和數(shù)字簽名
• RSA算法原理：兩個(gè)大素?cái)?shù)的乘積進(jìn)行因式分解卻極其困難，因此可以將乘積公開作為加密密鑰。
• RSA是被研究得最廣泛的公鑰算法，從提出到現(xiàn)在，經(jīng)歷了各種攻擊的考驗(yàn)，普遍認(rèn)為是目前最優(yōu)秀的公鑰方案之一。

DSA

• DSA(Digital Signature Algorithm,數(shù)字簽名算法),也是一種非對(duì)稱加密算法。
• DSA和RSA區(qū)別在，DSA僅用于數(shù)字簽名，不能用于數(shù)據(jù)加密解密。其安全性和RSA相當(dāng)，但其性能要比RSA好。

ECC 算法

• ECC（Elliptic Curves Cryptography，橢圓曲線密碼編碼學(xué)），基于橢圓曲線加密。
• Ecc主要優(yōu)勢(shì)是，在某些情況下，它比其他的方法使用更小的密鑰，比如RSA加密算法，提供相當(dāng)?shù)幕蚋叩燃?jí)的安全級(jí)別。
• 它的一個(gè)缺點(diǎn)是，加密和解密操作的實(shí)現(xiàn)比其他機(jī)制時(shí)間長 (相比RSA算法，該算法對(duì)CPU 消耗嚴(yán)重)。

國密算法

國密即國家密碼局認(rèn)定的國產(chǎn)密碼算法。為了保障商用密碼的安全性，國家商用密碼管理辦公室制定了一系列密碼標(biāo)準(zhǔn)，即SM1，SM2，SM3，SM4等國密算法。

SM1

• SM1，為對(duì)稱加密算法，加密強(qiáng)度為128位，基于硬件實(shí)現(xiàn)。
• SM1的加密強(qiáng)度和性能，與AES相當(dāng)。

SM2

• SM2主要包括三部分：簽名算法、密鑰交換算法、加密算法
• SM2用于替換RSA加密算法，基于ECC，效率較低。

SM3

• SM3，即國產(chǎn)消息摘要算法。
• 適用于商用密碼應(yīng)用中的數(shù)字簽名和驗(yàn)證，消息認(rèn)證碼的生成與驗(yàn)證以及隨機(jī)數(shù)的生成。

SM4

• SM4是一個(gè)分組算法，用于無線局域網(wǎng)產(chǎn)品。
• 該算法的分組長度為128比特，密鑰長度為128比特。
• 加密算法與密鑰擴(kuò)展算法都采用32輪非線性迭代結(jié)構(gòu)。
• 解密算法與加密算法的結(jié)構(gòu)相同，只是輪密鑰的使用順序相反，解密輪密鑰是加密輪密鑰的逆序。
• 它的功能類似國際算法的DES。

加簽驗(yàn)簽相關(guān)Java的API

這個(gè)小節(jié)先介紹一下加簽驗(yàn)簽需要用到的API吧~

加簽相關(guān)API

-?java.security.Signature.getInstance(String?algorithm);?//根據(jù)對(duì)應(yīng)算法，初始化簽名對(duì)象
-?KeyFactory.getInstance(String?algorithm);//?根據(jù)對(duì)應(yīng)算法,生成KeyFactory對(duì)象
-?KeyFactory.generatePrivate(KeySpec?keySpec);?//生成私鑰
-?java.security.Signature.initSign(PrivateKey?privateKey)?//由私鑰，初始化加簽對(duì)象
-?java.security.Signature.update(byte[]?data)??//把原始報(bào)文更新到加簽對(duì)象
-?java.security.Signature.sign();//加簽

「Signature.getInstance(String algorithm);」

• 根據(jù)對(duì)應(yīng)算法，初始化簽名對(duì)象
• algorithm參數(shù)可以取SHA256WithRSA或者M(jìn)D5WithRSA等參數(shù)，SHA256WithRSA表示生成摘要用的是SHA256算法，簽名加簽用的是RSA算法

「KeyFactory.getInstance(String algorithm);」

• 根據(jù)對(duì)應(yīng)算法,生成KeyFactory對(duì)象，比如你的公私鑰用的是RSA算法，那么就傳入RSA

「KeyFactory.generatePrivate(KeySpec keySpec)」

• 生成私鑰，加簽用的是私鑰哈，所以需要通過KeyFactory先構(gòu)造一個(gè)私鑰對(duì)象。

「Signature.initSign(PrivateKey privateKey)」

• 加簽用的是私鑰，所以傳入私鑰，初始化加簽對(duì)象

「Signature.update(byte[] data)」

• 把原始報(bào)文更新到加簽對(duì)象

「java.security.Signature.sign();」

• 進(jìn)行加簽操作

驗(yàn)簽相關(guān)API

-?java.security.Signature.getInstance(String?algorithm);?//根據(jù)對(duì)應(yīng)算法，初始化簽名對(duì)象
-?KeyFactory.getInstance(String?algorithm);//?根據(jù)對(duì)應(yīng)算法,生成KeyFactory對(duì)象
-?KeyFactory.generatePublic(KeySpec?keySpec);?//生成公鑰
-?java.security.Signature.initVerify(publicKey);?//由公鑰，初始化驗(yàn)簽對(duì)象
-?java.security.Signature.update(byte[]?data)??//把原始報(bào)文更新到驗(yàn)簽對(duì)象
-?java.security.Signature.verify(byte[]?signature);//驗(yàn)簽

「Signature.getInstance(String algorithm)」

• 根據(jù)對(duì)應(yīng)算法，初始化簽名對(duì)象，注意驗(yàn)簽和加簽是需要用相同的algorithm算法參數(shù)哦~

「KeyFactory.getInstance(String algorithm);」

• 根據(jù)對(duì)應(yīng)算法,生成KeyFactory對(duì)象

「KeyFactory.generatePublic(KeySpec keySpec);」

• 生成公鑰，驗(yàn)簽用的是公鑰，通過KeyFactory先構(gòu)造一個(gè)公鑰對(duì)象

• 公鑰驗(yàn)簽，所以傳入公鑰對(duì)象參數(shù)，初始化驗(yàn)簽對(duì)象

「Signature.update(byte[] data)」

• 把原始報(bào)文更新到加簽對(duì)象

「Signature.verify(byte[] signature);」

• 進(jìn)行驗(yàn)簽操作

加簽驗(yàn)簽代碼實(shí)現(xiàn)

前幾個(gè)小節(jié)討論完概念，是時(shí)候上代碼實(shí)戰(zhàn)了，我這邊用的是SHA-256作為摘要算法，RSA作為簽名驗(yàn)簽算法，如下：

package?pattern;

import?sun.misc.BASE64Decoder;
import?sun.misc.BASE64Encoder;

import?java.io.IOException;
import?java.io.UnsupportedEncodingException;
import?java.security.*;
import?java.security.spec.InvalidKeySpecException;
import?java.security.spec.PKCS8EncodedKeySpec;

/**
?*?加簽驗(yàn)簽demo
?*??@Author?撿田螺的小男孩
?*/
public?class?SignatureTest?{
????//公鑰字符串
????private?static?final?String?PUBLIC_KEY_STR?=?"MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDaJzVjC5K6kbS2YE2fiDs6H8pB\n"?+
????????????"JFDGEYqqJJC9I3E0Ebr5FsofdImV5eWdBSeADwcR9ppNbpORdZmcX6SipogKx9PX\n"?+
????????????"5aAO4GPesroVeOs91xrLEGt/arteW8iSD+ZaGDUVV3+wcEdci/eCvFlc5PUuZJou\n"?+
????????????"M2XZaDK4Fg2IRTfDXQIDAQAB";
????//私鑰字符串
????private?static?final?String?PRIVATE_KEY_STR?=?"MIICdQIBADANBgkqhkiG9w0BAQEFAASCAl8wggJbAgEAAoGBANonNWMLkrqRtLZg\n"?+
????????????"TZ+IOzofykEkUMYRiqokkL0jcTQRuvkWyh90iZXl5Z0FJ4APBxH2mk1uk5F1mZxf\n"?+
????????????"pKKmiArH09floA7gY96yuhV46z3XGssQa39qu15byJIP5loYNRVXf7BwR1yL94K8\n"?+
????????????"WVzk9S5kmi4zZdloMrgWDYhFN8NdAgMBAAECgYA9bz1Bn0i68b2KfqRdgOfs/nbe\n"?+
????????????"0XNN1DLQp2t7WDfRCg01iI1zPkZgyFVZWtI85f5/uIrLs5ArLosL1oNuqqc0nNne\n"?+
????????????"CvJK+ZxvA98Hx3ZqYTzDnleR054YhofL5awbhSciYVic204DOG1rhSsYWMqtX7J7\n"?+
????????????"3geoWL7TYdMfYXcCAQJBAPMMKsz6ZJh98EeQ1tDG5gpAGWFQkYNrxZDelP/LjeO0\n"?+
????????????"TP3XkQnIpcaZoCs7V/rRGRGMWwQ2BUdc/01in89ZZ5ECQQDlx2oBc1CtOAm2UAhN\n"?+
????????????"1xWrPkZWENQ53wTrwXO4qbTGDfBKon0AehLlGCSqxQ71aufLkNO7ZlX0IHTAlnk1\n"?+
????????????"TvENAkAGSEQ69CXxgx/Y2beTwfBkR2/gghKg0QJUUkyLqBlMz3ZGAXJwTE1sqr/n\n"?+
????????????"HiuSAiGhwH0ByNuuEotO1sPGukrhAkAMK26a2w+nzPL+u+hkrwKPykGRZ1zGH+Cz\n"?+
????????????"19AYNKzFXJGgclCqiMydY5T1knBDYUEbj/UW1Mmyn1FvrciHoUG1AkAEMEIuDauz\n"?+
????????????"JabEAU08YmZw6OoDGsukRWaPfjOEiVhH88p00veM1R37nwhoDMGyEGXVeVzNPvk7\n"?+
????????????"cELg28MSRzCK";


????public?static?void?main(String[]?args)?throws?SignatureException,?NoSuchAlgorithmException,?InvalidKeyException,?IOException,?InvalidKeySpecException?{
????????//原始報(bào)文
????????String?plain?=?"歡迎大家關(guān)注我的公眾號(hào)，撿田螺的小男孩";
????????//加簽
????????byte[]?signatureByte?=?sign(plain);
????????System.out.println("原始報(bào)文是:"?+?plain);
????????System.out.println("加簽結(jié)果:");
????????System.out.println(new?BASE64Encoder().encode(signatureByte));
????????//驗(yàn)簽
????????boolean?verifyResult?=?verify(plain,?signatureByte);
????????System.out.println("驗(yàn)簽結(jié)果:"?+?verifyResult);
????}

????/**
?????*?加簽方法
?????*?@param?plain
?????*?@return
?????*?@throws?NoSuchAlgorithmException
?????*?@throws?InvalidKeyException
?????*?@throws?UnsupportedEncodingException
?????*?@throws?SignatureException
?????*/
????private?static?byte[]?sign(String?plain)?throws?NoSuchAlgorithmException,?InvalidKeyException,?UnsupportedEncodingException,?SignatureException?{
????????//根據(jù)對(duì)應(yīng)算法，獲取簽名對(duì)象實(shí)例
????????Signature?signature?=?Signature.getInstance("SHA256WithRSA");
????????//獲取私鑰，加簽用的是私鑰，私鑰一般是在配置文件里面讀的，這里為了演示方便，根據(jù)私鑰字符串生成私鑰對(duì)象
????????PrivateKey?privateKey?=?getPriveteKey(PRIVATE_KEY_STR);
????????//初始化簽名對(duì)象
????????signature.initSign(privateKey);
????????//把原始報(bào)文更新到對(duì)象
????????signature.update(plain.getBytes("UTF-8"));
????????//加簽
????????return?signature.sign();
????}

????/**
?????*?驗(yàn)簽方法
?????*?@param?plain
?????*?@param?signatureByte
?????*?@return
?????*?@throws?NoSuchAlgorithmException
?????*?@throws?InvalidKeyException
?????*?@throws?IOException
?????*?@throws?SignatureException
?????*?@throws?InvalidKeySpecException
?????*/
????private?static?boolean?verify(String?plain,?byte[]?signatureByte)?throws?NoSuchAlgorithmException,?InvalidKeyException,?IOException,?SignatureException,?InvalidKeySpecException?{
????????//獲取公鑰
????????PublicKey?publicKey?=?getPublicKey(PUBLIC_KEY_STR);
????????//根據(jù)對(duì)應(yīng)算法，獲取簽名對(duì)象實(shí)例
????????Signature?signature?=?Signature.getInstance("SHA256WithRSA");
????????//初始化簽名對(duì)象
????????signature.initVerify(publicKey);
????????//把原始報(bào)文更新到簽名對(duì)象
????????signature.update(plain.getBytes("UTF-8"));
????????//進(jìn)行驗(yàn)簽
????????return?signature.verify(signatureByte);
????}

????private?static?PublicKey?getPublicKey(String?publicKeyStr)?throws?InvalidKeySpecException,?IOException?{
????????PublicKey?publicKey?=?null;
????????try?{
????????????java.security.spec.X509EncodedKeySpec?bobPubKeySpec?=?new?java.security.spec.X509EncodedKeySpec(
????????????????????new?BASE64Decoder().decodeBuffer(publicKeyStr));
????????????//?RSA對(duì)稱加密算法
????????????java.security.KeyFactory?keyFactory;
????????????keyFactory?=?java.security.KeyFactory.getInstance("RSA");
????????????//?生成公鑰對(duì)象
????????????publicKey?=?keyFactory.generatePublic(bobPubKeySpec);
???????????}?catch?(NoSuchAlgorithmException?e)?{
?????????????e.printStackTrace();
????????????}
????????return?publicKey;
??????}

????private?static?PrivateKey?getPriveteKey(String?privateKeyStr)?{
????????PrivateKey?privateKey?=?null;
????????PKCS8EncodedKeySpec?priPKCS8;
????????try?{
????????????priPKCS8?=?new?PKCS8EncodedKeySpec(new?BASE64Decoder().decodeBuffer(privateKeyStr));
????????????KeyFactory?keyf?=?KeyFactory.getInstance("RSA");
????????????privateKey?=?keyf.generatePrivate(priPKCS8);
????????}?catch?(IOException?|?NoSuchAlgorithmException?|?InvalidKeySpecException?e)?{
????????????e.printStackTrace();
????????}
????????return?privateKey;
????}
}

「運(yùn)行結(jié)果:」

原始報(bào)文是:歡迎大家關(guān)注我的公眾號(hào)，撿田螺的小男孩
加簽結(jié)果:
Oz15/aybGe42eGHbc+iMoSYHSCc8tfRskTVjjGSTPD4HjadL0CC5JUWNUW0WxHjUb4MvxWo2oeWE
Qw0+m61d+JgBMto/TWcVDcgwL/AbObsbWdQ6E/fVRqG13clkE8MyKsjt9Z7tcbwpycYTv0rUR4co
rndAVfBdtv5KeV+OXqM=
驗(yàn)簽結(jié)果:true

Reference