我正在开发的应用程序允许用户加密文件。文件可以是任何格式（电子表格、文档、演示文稿等）。
对于指定的输入文件，我创建了两个输出文件——一个加密数据文件和一个密钥文件。您需要这两个文件来获取原始数据。密钥文件必须仅适用于相应的数据文件。它不适用于来自同一用户或任何其他用户的任何其他文件。
AES 算法需要两个不同的加密参数，一个密钥和一个初始化向量 (IV)。
我看到创建密钥文件的三个选择：
请注意，不同客户使用的是同一个应用程序。
看起来所有三个选择都将实现相同的最终目标。不过，我希望得到您对正确方法的反馈。
【问题讨论】：
标签： encryption aes
当您使用 IV 时，最重要的是 IV 应该尽可能独特，因此在实践中您应该使用随机 IV。这意味着不能将其嵌入到您的应用程序中。我会将 IV 保存在 data 文件中，因为它不会损害安全性只要 IV 是随机的/唯一的。
【讨论】：
关于 IV 的重要一点是您绝不能将相同的 IV 用于两条消息。其他一切都是次要的——如果你能确保唯一性，随机性就不那么重要了（但仍然是一件非常好的事情！）。 IV 不需要（实际上，在 CBC 模式下不能）是秘密的。
因此，您不应将 IV 与密钥一起保存 - 这意味着您对每条消息都使用相同的 IV，这违背了拥有 IV 的意义。通常，您只需将 IV 以明文形式添加到 加密 文件中。
如果您打算像这样推出自己的密码模式，请阅读相关标准。 NIST 在这里有一份关于密码模式的好文档：http://dx.doi.org/10.6028/NIST.SP.800-38A IV 生成记录在附录 C 中。密码学是一门微妙的艺术。不要试图在正常密码模式上创建变体； 99% 的时间您会创建看起来更安全，但实际上不太安全的东西。
【讨论】：
正如您从其他答案中看到的那样，每个加密文件都有一个唯一的 IV 至关重要，但这是为什么呢？
首先 - 让我们回顾一下为什么每个加密文件的唯一 IV 很重要。 (Wikipedia on IV)。 IV 为您的加密过程的开始增加了随机性。当使用链式块加密模式（其中一个加密数据块包含先前的加密数据块）时，我们会遇到关于第一个块的问题，这就是 IV 的来源。
如果您没有 IV，并且仅使用您的密钥使用链式块加密，则以相同文本开头的两个文件将生成相同的第一个块。如果输入文件在中途发生更改，则两个加密文件将开始看起来不同，从该点开始一直到加密文件的末尾。如果有人在一开始就注意到了相似之处，并且知道其中一个文件的开头是什么，他就可以推断出另一个文件的开头是什么。知道明文文件的开头是什么以及对应的密文是什么，可以让该人确定密钥，然后解密整个文件。
现在添加 IV - 如果每个文件使用随机 IV，它们的第一个块将不同。上述情况已被阻止。
现在，如果每个文件的 IV 都相同怎么办？好吧，我们又遇到了问题场景。每个文件的第一个块将加密为相同的结果。实际上，这与根本不使用 IV 没有什么不同。
现在让我们来看看您提出的选项：
选项 1. 在应用程序中嵌入硬编码 IV 并将密钥保存在密钥文件中。
选项 2. 在应用程序中嵌入硬编码密钥并将 IV 保存在密钥文件中。
这些选项几乎相同。如果两个以相同文本开头的文件生成以相同密文开头的加密文件，那你就完蛋了。这两种选择都会发生。 （假设有一个主密钥用于加密所有文件）。
选项 3. 将密钥和 IV 都保存在密钥文件中。
如果您对每个密钥文件使用随机 IV，那就很好。没有两个密钥文件是相同的，每个加密文件都必须有它的密钥文件。不同的密钥文件将不起作用。
PS：一旦您选择了选项 3 和随机 IV - 开始研究如何确定解密是否成功。从一个文件中获取一个密钥文件，并尝试使用它来解密另一个加密文件。您可能会发现解密继续进行并产生垃圾结果。如果发生这种情况，请开始研究authenticated encryption。
【讨论】：