基础知识
什么是RSA&＃xff1f;
答&＃xff1a;RSA是一种非对称加密算法&＃xff0c;常用来对传输数据进行加密&＃xff0c;配合上数字摘要算法&＃xff0c;也可以进行文字签名。
RSA加密中padding&＃xff1f;
答&＃xff1a;padding即填充方式&＃xff0c;由于RSA加密算法中要加密的明文是要比模数小的&＃xff0c;padding就是通过一些填充方式来限制明文的长度。后面会详细介绍padding的几种模式以及分段加密。
加密和加签有什么区别&＃xff1f;
答&＃xff1a;加密&＃xff1a;公钥放在客户端&＃xff0c;并使用公钥对数据进行加密&＃xff0c;服务端拿到数据后用私钥进行解密&＃xff1b;
加签&＃xff1a;私钥放在客户端&＃xff0c;并使用私钥对数据进行加签&＃xff0c;服务端拿到数据后用公钥进行验签。
前者完全为了加密&＃xff1b;后者主要是为了防恶意攻击&＃xff0c;防止别人模拟我们的客户端对我们的服务器进行攻击&＃xff0c;导致服务器瘫痪。
基本原理
RSA使用“密钥对”对数据进行加密解密&＃xff0c;在加密解密前需要先生存公钥(Public Key)和私钥(Private Key)。
公钥(Public key): 用于加密数据. 用于公开, 一般存放在数据提供方, 例如iOS客户端。
私钥(Private key): 用于解密数据. 必须保密, 私钥泄露会造成安全问题。
iOS中的Security.framework提供了对RSA算法的支持&＃xff0c;这种方式需要对密匙对进行处理, 根据public key生成证书, 通过private key生成p12格式的密匙。想想jave直接用字符串进行加密解密简单多了。(⊙o⊙)…
实战
证书生成
RSA加密这块公钥、私钥必不可少的。Apple是不支持直接使用字符串进行加密解密的&＃xff0c;推荐使用p12文件。这边教大家去生成在加密中使用到的所有文件&＃xff0c;并提供给Java使用&＃xff0c;想当年这个公钥私钥搞了半天了。 %>_
生成模长为1024bit的私钥
openssl genrsa -out private_key.pem 1024
生成certification require file
openssl req -new -key private_key.pem -out rsaCertReq.csr
生成certification 并指定过期时间
openssl x509 -req -days 3650 -in rsaCertReq.csr -signkey private_key.pem -out rsaCert.crt
生成公钥供iOS使用
openssl x509 -outform der -in rsaCert.crt -out public_key.der
生成私钥供iOS使用 这边会让你输入密码&＃xff0c;后期用到在生成secKeyRef的时候会用到这个密码
openssl pkcs12 -export -out private_key.p12 -inkey private_key.pem -in rsaCert.crt
生成pem结尾的公钥供Java使用
openssl rsa -in private_key.pem -out rsa_public_key.pem -pubout
生成pem结尾的私钥供Java使用openssl pkcs8 -topk8 -in private_key.pem -out pkcs8_private_key.pem -nocrypt
以上所有的步骤都是在终端下完成的哦 (__)
生成公钥和私钥的secKeyRef
//根据你的p12文件生成私钥对应的SecKeyRef 这边返回若是nil 请检查你p12文件的生成步骤
(SecKeyRef)getPrivateKeyRefrenceFromData:(NSData)p12Data password:(NSString)password {
SecKeyRef privateKeyRef &＃61; NULL;
NSMutableDictionary * options &＃61; [[NSMutableDictionary alloc] init];
[options setObject: password forKey:(__bridge id)kSecImportExportPassphrase];
CFArrayRef items &＃61; CFArrayCreate(NULL, 0, 0, NULL);
OSStatus securityError &＃61; SecPKCS12Import((__bridge CFDataRef) p12Data, (__bridge CFDictionaryRef)options, &items);
if (securityError &＃61;&＃61; noErr && CFArrayGetCount(items) > 0) {
CFDictionaryRef identityDict &＃61; CFArrayGetValueAtIndex(items, 0);
SecIdentityRef identityApp &＃61; (SecIdentityRef)CFDictionaryGetValue(identityDict, kSecImportItemIdentity);
securityError &＃61; SecIdentityCopyPrivateKey(identityApp, &privateKeyRef);
if (securityError !&＃61; noErr) {
privateKeyRef &＃61; NULL;
}
}
CFRelease(items);
return privateKeyRef;
}
–
//根据你的der文件公钥对应的SecKeyRef
(SecKeyRef)getPublicKeyRefrenceFromeData: (NSData*)derData {
SecCertificateRef myCertificate &＃61; SecCertificateCreateWithData(kCFAllocatorDefault, (__bridge CFDataRef)derData);
SecPolicyRef myPolicy &＃61; SecPolicyCreateBasicX509();
SecTrustRef myTrust;
OSStatus status &＃61; SecTrustCreateWithCertificates(myCertificate,myPolicy,&myTrust);
SecTrustResultType trustResult;
if (status &＃61;&＃61; noErr) {
status &＃61; SecTrustEvaluate(myTrust, &trustResult);
}
SecKeyRef securityKey &＃61; SecTrustCopyPublicKey(myTrust);
CFRelease(myCertificate);
CFRelease(myPolicy);
CFRelease(myTrust);
return securityKey;
}
加密与解密
(NSData)rsaEncryptData:(NSData)data {
SecKeyRef key &＃61; [self getPublicKey];
size_t cipherBufferSize &＃61; SecKeyGetBlockSize(key);
uint8_t *cipherBuffer &＃61; malloc(cipherBufferSize * sizeof(uint8_t));
size_t blockSize &＃61; cipherBufferSize - 11;
size_t blockCount &＃61; (size_t)ceil([data length] / (double)blockSize);
NSMutableData *encryptedData &＃61; [[NSMutableData alloc] init];
for (int i&＃61;0; i
–
(NSData)rsaDecryptData:(NSData)data {
SecKeyRef key &＃61; [self getPrivatKey];
size_t cipherBufferSize &＃61; SecKeyGetBlockSize(key);
size_t blockSize &＃61; cipherBufferSize;
size_t blockCount &＃61; (size_t)ceil([data length] / (double)blockSize);
NSMutableData *decryptedData &＃61; [[NSMutableData alloc] init];
for (int i &＃61; 0; i
RSA加密中的Padding
RSA_PKCS1_PADDING 填充模式&＃xff0c;最常用的模式
要求: 输入&＃xff1a;必须 比 RSA 钥模长(modulus) 短至少11个字节, 也就是 RSA_size(rsa) – 11 如果输入的明文过长&＃xff0c;必须切割&＃xff0c;然后填充。
输出&＃xff1a;和modulus一样长
根据这个要求&＃xff0c;对于1024bit的密钥&＃xff0c;block length &＃61; 1024/8 – 11 &＃61; 117 字节
RSA_PKCS1_OAEP_PADDING
输入&＃xff1a;RSA_size(rsa) – 41
输出&＃xff1a;和modulus一样长
RSA_NO_PADDING 不填充
输入&＃xff1a;可以和RSA钥模长一样长&＃xff0c;如果输入的明文过长&＃xff0c;必须切割&＃xff0c; 然后填充
输出&＃xff1a;和modulus一样长
签名与验证
//对数据进行sha256签名
(NSData *)rsaSHA256SignData:(NSData *)plainData {
SecKeyRef key &＃61; [self getPrivatKey];
size_t signedHashBytesSize &＃61; SecKeyGetBlockSize(key);
uint8_t* signedHashBytes &＃61; malloc(signedHashBytesSize);
memset(signedHashBytes, 0x0, signedHashBytesSize);
size_t hashBytesSize &＃61; CC_SHA256_DIGEST_LENGTH;
uint8_t* hashBytes &＃61; malloc(hashBytesSize);
if (!CC_SHA256([plainData bytes], (CC_LONG)[plainData length], hashBytes)) {
return nil;
}
SecKeyRawSign(key,
kSecPaddingPKCS1SHA256,
hashBytes,
hashBytesSize,
signedHashBytes,
&signedHashBytesSize);
NSData* signedHash &＃61; [NSData dataWithBytes:signedHashBytes
length:(NSUInteger)signedHashBytesSize];
if (hashBytes)
free(hashBytes);
if (signedHashBytes)
free(signedHashBytes);
return signedHash;
}
–
//这边对签名的数据进行验证 验签成功&＃xff0c;则返回YES
- (BOOL)rsaSHA256VerifyData:(NSData *)plainData withSignature:(NSData *)signature {
SecKeyRef key &＃61; [self getPublicKey];
size_t signedHashBytesSize &＃61; SecKeyGetBlockSize(key);
const void* signedHashBytes &＃61; [signature bytes];
size_t hashBytesSize &＃61; CC_SHA256_DIGEST_LENGTH;
uint8_t* hashBytes &＃61; malloc(hashBytesSize);
if (!CC_SHA256([plainData bytes], (CC_LONG)[plainData length], hashBytes)) {
return NO;
}
OSStatus status &＃61; SecKeyRawVerify(key,
kSecPaddingPKCS1SHA256,
hashBytes,
hashBytesSize,
signedHashBytes,
signedHashBytesSize);
return status &＃61;&＃61; errSecSuccess;
}
文章到此就结束了&＃xff0c;希望这篇文章对大家有所帮助。想看demo的请点击&＃xff1a;XYRSACryptor
https://github.com/panxianyue/RSACryptor.git
京公网安备 11010802041100号