Java/Android - 使用 4 字节 MIC 解密 AES/CCM

Question

我正在尝试解密一些由蓝牙模块加密的测试数据。蓝牙的固件是用 C 语言编程的，如果这很重要的话。

加密的数据是：

// Test Bytes - 16 bytes
byte[] testInput = {0x00, 0x01, 0x02, 0x03, 0x04, 0x05, 0x06, 0x07,
                    0x08, 0x09, 0x0a, 0x0b, 0x0c, 0x0d, 0x0e, 0x0f};

// Test key - 16 bytes, 128-bit
byte[] keyBytes = {0x00, 0x01, 0x02, 0x03, 0x04, 0x05, 0x06, 0x07,
                   0x08, 0x09, 0x0a, 0x0b, 0x0c, 0x0d, 0x0e, 0x0f};

// Test nonce - 13 bytes, 104-bit
byte[] nonce = {0x00,0x01,0x02,0x03,0x04,0x05,0x06,0x07,0x08,0x09,
                0x0a,0x0b,0x0c};

这就是问题所在。使用 AES/CCM 在 C 中加密数据会产生 16 字节的输出，以及 4 字节的 MIC。当我在 Java 中使用 AES/CCM/NoPadding 加密数据时，输出也是 16 字节，但 MAC 为 8 字节。 MAC 和 MIC 这两个术语似乎含糊不清，其中 MIC 用于蓝牙术语。

当我用 Java 加密上面的 testInput 时，我得到与 C 编程加密相同的 16 字节输出。但是，由于 MIC 和 MAC 的长度不同，我无法解密任何一端的数据。

有解决办法吗？

我已经添加了我的 Java 代码：

Cipher cipher = Cipher.getInstance("AES/CCM/NoPadding", "BC");
SecretKeySpec secretKeySpec = new SecretKeySpec(keyBytes, "AES");
IvParameterSpec ivParameterSpec = new IvParameterSpec(nonce);
cipher.init(Cipher.ENCRYPT_MODE, secretKeySpec, ivParameterSpec);
byte[] encrypted = cipher.doFinal(testInput);

// The first 16 bytes print out equivalently with the C-language AES/CCM

下面是我的输出图像：

下面是 C 输出的图像。

BLE 广告包

编辑：我正在使用选定的答案，但也请查看 Matthew Beckler 的答案。它将提供更深入的答案，并防止以后出现错误。

Answer 1

以下 Java 代码将产生与 C 代码相同的输出：

import org.bouncycastle.jce.provider.BouncyCastleProvider;

import javax.crypto.Cipher;
import javax.crypto.spec.GCMParameterSpec;
import javax.crypto.spec.SecretKeySpec;
import javax.xml.bind.DatatypeConverter;
import java.security.Security;

public class Main {

    // Test Bytes - 16 bytes
    static byte[] testInput = {0x00, 0x01, 0x02, 0x03, 0x04, 0x05, 0x06, 0x07,
            0x08, 0x09, 0x0a, 0x0b, 0x0c, 0x0d, 0x0e, 0x0f};

    // Test key - 16 bytes, 128-bit
    static byte[] keyBytes = {0x00, 0x01, 0x02, 0x03, 0x04, 0x05, 0x06, 0x07,
            0x08, 0x09, 0x0a, 0x0b, 0x0c, 0x0d, 0x0e, 0x0f};

    // Test nonce - 13 bytes, 104-bit
    static byte[] nonce = {0x00, 0x01, 0x02, 0x03, 0x04, 0x05, 0x06, 0x07, 0x08, 0x09,
            0x0a, 0x0b, 0x0c};


    public static void main(String[] args) throws Exception {
        Security.addProvider(new BouncyCastleProvider());
        GCMParameterSpec parameterSpec = new GCMParameterSpec(32, nonce);
        Cipher cipher = Cipher.getInstance("AES/CCM/NoPadding");
        SecretKeySpec secretKeySpec = new SecretKeySpec(keyBytes, "AES");
        cipher.init(Cipher.ENCRYPT_MODE, secretKeySpec, parameterSpec);
        cipher.updateAAD(new byte[]{0x01});
        System.out.println(DatatypeConverter.printHexBinary(cipher.doFinal(testInput)));
    }
}

但是，我不确定如何找到要提供给Cipher.updateAAD() 的字节。 0x01 是通过反复试验找到的。尝试阅读蓝牙 4.0 规范非常痛苦。规范似乎说该字节是数据包头的第一个字节，其中 3 个位（NESN、SN、MD）强制为零。剩下的部分我还在想办法。

Answer 2

我已经知道如何在计算机上使用软件加密库来复制 BLE 样式的 AES CCM。更多详细信息在这里 (https://devzone.nordicsemi.com/f/nordic-q-a/28524/aes-ccm-encryption-by-s132-timeslot-api/137155#137155)，但问题的症结在于 BLE CCM 指定了一个字节的 ADATA（“附加数据”），该字节包含在 MAC 计算中，但未作为有效负载的一部分进行加密. BLE 规范说这个字节必须等于“数据通道 PDU 报头的第一个八位字节，NESN、SN 和 MD 位掩码为 0”。这意味着 ADATA 字节是 0、1、2 或 3 中的一个，基于数据通道 PDU 标头的两个 LLID 位（对于任何正在解密有效负载的设备都应该可用）。

BLE 规范提供了 LLID 值的以下描述：

• 00b = 保留供将来使用
• 01b = LL 数据 PDU：L2CAP 消息的连续片段，或空 PDU
• 10b = LL 数据 PDU：L2CAP 消息的开始或没有分段的完整 L2CAP 消息
• 11b = LL 控制 PDU

在之前的答案中指出cipher.updateAAD(new byte[]{0x01}); 似乎您已经完成了 99% 的工作。您应该能够从数据包结构中较早的某个位置提取 0x01 值。您可能需要屏蔽数据包字节的某些位（& 0xE3 会这样做）以找到适合 cipher.updateAAD() 调用的字节。

希望这会有所帮助，如果您需要更多详细信息，我很乐意回答问题。