在 Java 中为 AES 生成随机 IV

Question

我正在为 android 中的 PBE 实现和 AES 加密引擎，我找到了两种方法来实现 IV 的创建，我想知道哪一种更好更安全地获取 IvParameterSpec:

方法#1：

SecureRandom randomSecureRandom = SecureRandom.getInstance("SHA1PRNG");
byte[] iv = new byte[cipher.getBlockSize()];
randomSecureRandom.nextBytes(iv);

IvParameterSpec ivParams = new IvParameterSpec(iv);

方法#2：

AlgorithmParameters params = cipher.getParameters();
byte[] iv2 = params.getParameterSpec(IvParameterSpec.class).getIV();

ivParams = new IvParameterSpec(iv2);

Answer 1

我会使用方法 #1，因为 Java API 为仅采用加密/解密模式和密钥的 Cipher.init() API 指定了以下内容：

如果此密码实例需要指定密钥无法提供的任何算法参数或随机值，则此密码的底层实现应该生成所需的参数（使用其提供者 或 随机值）。

（强调我的）。

所以不清楚选择方法2时不同的提供者会做什么。查看 Android 源代码，似乎至少某些版本（包括版本 21？）将不会创建随机 IV - 随机 IV 创建似乎已被注释掉。

方法 1 也更透明，而且在我看来，它对眼睛更容易。

---

请注意，通常最好使用new SecureRandom() 并让系统找出最好的RNG。 "SHA1PRNG" 定义不明确，可能因实现而异，已知存在实现弱点，尤其是在 Android 上。

---

所以最终结果应该是这样的：

SecureRandom randomSecureRandom = new SecureRandom();
byte[] iv = new byte[cipher.getBlockSize()];
randomSecureRandom.nextBytes(iv);
IvParameterSpec ivParams = new IvParameterSpec(iv);

---

请注意，GCM 模式最适合 12 字节 IV 而不是 16 字节 IV - AES 的块大小。