如何使用 php 加密大文件并通过命令行解密？

Question

我正在用 PHP 编写一个小脚本来备份我的文件。在从服务器传输文件之前，我想对它们进行加密。

我在以前版本的脚本中通过在我的 Linux 服务器上使用 exec() 和 OpenSSL 来做到这一点。现在我正在寻找一个原生 PHP-Function 来完成这项工作，主要是为了更好地处理错误。

问题是我的文件可能会变大（比如 20GB）。此外，我必须在我的 shell 上使用命令再次解密文件。

有谁知道如何在 PHP 中加密大文件，然后在命令行上解密？

我现在使用 PHP 的 mcrypt 函数来加密：

// IV:
$iv = mcrypt_create_iv($ivSize, MCRYPT_RAND);

// Create new random Key:
$key = openssl_random_pseudo_bytes(32);

// Encrypt:
$fileStream = fopen($file, "r");
$encFileStream = fopen($file . ".enc.data", "w");

$opts = [
    'iv'   => $iv,
    'key'  => $key,
    'mode' => 'cbc'
];
stream_filter_append($encFileStream, 'mcrypt.rijndael-256', STREAM_FILTER_WRITE, $opts);
stream_copy_to_stream($fileStream, $encFileStream);

fclose($fileStream);
fclose($encFileStream);

// Encrypt random generated key and save it:
$encryptedKey = null;
openssl_public_encrypt($key, $encryptedKey, $publickey);
file_put_contents($file . ".enc.key", $encryptedKey);

// Save Initial Vetor:
file_put_contents($file . ".enc.iv", $iv);

// Delete unencrypted file:
unlink($file);

现在要在 linux 命令行上解密，我也尝试使用 mcrypt。但我遇到的最大问题是我不知道如何将 IV 添加到mdecrypt。到目前为止，我的命令是：

mdecrypt --decrypt -m CBC -f key.key archive_hallo.tar.gz.enc.data

这当然行不通，因为 IV 丢失了。那么，有谁知道如何将 IV 添加到我的 mdecrypt 命令中？

Answer 1

mdecrypt 来自 mcrypt_2.6.8 debian 包 expects the specific file format with header 的 CLI 工具。搜索write_file_head函数，显示mcrypt/mdecrypt工具格式的前3个字节：

buf[0] = '\0';
buf[1] = 'm';
buf[2] = '\3';

标头应设置特殊位，并将 IV 嵌入文件中。会读到here, in decrypt_general function:

if (_mcrypt_iv_is_needed(td, mode, noiv) != 0) {
   IV = read_iv(FROMF, mcrypt_enc_get_iv_size(td));
} else {
   IV = _mcrypt_calloc(1, mcrypt_enc_get_iv_size(td));
}

而read_iv 在extra.c 中定义为：

void *read_iv(FILE * fstream, int ivsize)
{
char *IV;
     ... // malloc 
fread(IV, 1, ivsize, fstream);
    return IV;
}

所以，只需检查加密文件的前 N ​​个字节（您可以在 hexdump -C 之后将它们发布在这里）并检查 mcrypt 标头（0x00 'm' 0x03）和您的 IV。如果是 - 那么mdecrypt 工具应该从文件中获取 IV。如果不是 - 不支持在 mdecrypt 中通过命令行设置 IV，但您可以侵入源代码，为 iv 添加新选项，然后修改 decrypt_general 以从选项中读取 iv。

Answer 2

如果您的 PHP 版本可以从命令行执行单个文件，您始终可以创建一个 PHP 命令行程序来执行解密。根据您的安全设置，您可能需要通过 shell 程序（shell 文件中的php -q decrypt.php）而不是直接（#!/usr/bin/php/cli/php 或类似的）执行 PHP。