Symmetrische Verschlüsselung nicht bietet Integrität. Die Kontrolle, die ein Angreifer über verschlüsselte Daten haben kann, hängt vom Verschlüsselungstyp ab. und einige spezifische Details einiger Verschlüsselungsmodi können dem Angreifer das Leben etwas erschweren, wenn er chirurgische Änderungen vornehmen möchte. Mit CBC kann der Angreifer jedes gewünschte Bit umdrehen, vorausgesetzt, es macht ihm nichts aus, ein Dutzend anderer Bytes in zufälligen Junk umzuwandeln.

Es gibt aktuelle Verschlüsselungsmodi, die symmetrische Verschlüsselung kombinieren und überprüfte Integrität (mit einem MAC). Diese Modi gewährleisten sowohl Vertraulichkeit als auch Integrität. AES-CBC ist nicht einer von ihnen. Wenn Sie einen Verschlüsselungsmodus mit Integrität wünschen, empfehle ich EAX.

Update: bezüglich Ihres Experiments: CBC ist ein Modus, in dem die Länge der Quelldaten angegeben werden muss ein Vielfaches der Blockverschlüsselungsblocklänge sein (16 Bytes für AES). Da eine beliebige Eingabenachricht eine beliebige Länge haben kann, wird ein Auffüllen hinzugefügt: einige Bytes mit bestimmten Inhalten, sodass sie bei der Entschlüsselung eindeutig entfernt werden können. In Ihrem Fall beschwert sich OpenSSL darüber, dass es bei der Entschlüsselung keine geeignete Auffüllstruktur findet. Wenn der Angreifer jedoch die letzten 32 Bytes der verschlüsselten Daten nicht ändert, bleibt das Auffüllen unbeschädigt, sodass Änderungen aller bis auf die letzten 32 Bytes unentdeckt bleiben. Und selbst für die letzten 32 Bytes gibt es Möglichkeiten, sich der Erkennung mit einer nicht allzu geringen Wahrscheinlichkeit zu entziehen.

Die CBC-Verschlüsselung bietet keine Datenintegrität. Hier ist der Grund:

Korrigieren Sie einen Schlüssel k (dem Angreifer unbekannt). Sei E (k, -) und D (k, -) die bloße Verschlüsselungs- und Entschlüsselungsfunktion einer Blockverschlüsselung. Sei p ein einzelner Klartextblock. Ich werde XOR mit + bezeichnen. Nachdem wir einige IV repariert haben, verschlüsseln wir wie folgt:

c = E (k, p + IV).

Dann senden wir IV und c über den Draht. Zum Entschlüsseln berechnen wir

p = D (k, c) + IV.

(Beachten Sie, dass dies der Aussage D (k, c) = IV + p entspricht. )

Angenommen, ein Angreifer kennt ein einzelnes Klartext / Chiffretext-Paar. Bezeichnen wir sie wie oben als p und (IV, c). Angenommen, der Angreifer möchte Chiffretext erstellen, der in einen anderen Klartextblock seiner Wahl entschlüsselt wird - sagen wir p '. Ich behaupte, dass (IV + p + p ', c) zu p' entschlüsselt. Warum?

Nun, wir folgen einfach dem obigen Entschlüsselungsverfahren und ersetzen IV durch IV + p + p '. Wir haben

D (k, c) + (IV + p + p ') = (IV + p) + (IV + p + p') = p '.

Amüsanterweise ist der EZB-Modus für dieses Problem nicht anfällig (obwohl ich seine Verwendung auch nicht unterstütze).

Die AES-CBC-Verschlüsselung bietet keine Integrität. Abhängig davon, wie es implementiert und verwendet wird, kann es vorkommen, dass versehentliche Änderungen am Chiffretext festgestellt werden, es jedoch nicht gegen böswillige Manipulationen am Chiffretext verteidigt.

Das Verschlüsseln ohne Authentifizierung ist einer der häufigsten Fehler bei der Verwendung von Kryptografie. Es hat zu schwerwiegenden Sicherheitslücken in vielen Systemen geführt, darunter ASP.NET, XML-Verschlüsselung, Amazon EC2, JavaServer Faces, Ruby on Rails, OWASP ESAPI, IPSEC und WEP. Weitere Informationen finden Sie unter dem vorherigen Link.

Das Update: Sie sollten entweder ein authentifiziertes Verschlüsselungsschema (nicht AES-CBC) wie EAX oder einen Nachrichtenauthentifizierungscode wie CMAC zum Verschlüsseln verwenden -dann-Authentifizierungsmodus.

Wenn Sie Kryptografie selbst implementieren möchten, empfehlen wir Ihnen, die Frage mit dem Titel Lehren und Missverständnisse in Bezug auf Verschlüsselung und Kryptologie zu lesen, um Ihnen zu helfen Vermeiden Sie einige der häufigsten Fehler. Die Verwendung der Verschlüsselung ohne Authentifizierung ist eine davon.

Symmetrische Chiffren bieten an sich keine Integrität, da sie keine böswilligen oder versehentlichen Änderungen am Chiffretext erkennen. Bei der Entschlüsselung wird etwas anderes als der ursprüngliche Klartext ausgegeben. Wenn dies nicht zu einer Protokollverletzung der entschlüsselten Nutzdaten führt, liegt ein Integritätsproblem vor.

Die Lösung besteht darin, Klartext in Pakete zu verpacken, die Daten enthalten, die verwendet werden können Um die Integrität des Pakets zu überprüfen, wird normalerweise eine Hash-basierte Prüfsumme verwendet ( Bearbeiten: HMAC mit Schlüssel). Dies ist, was z.B. für die Sicherheit der Transportschicht.

Hier ist ein Beispiel eines Klartextschutzschemas, das in einem sicheren Byte-Transportprotokoll der Versile Platform verwendet wird (Haftungsausschluss: Ich bin an der VP-Entwicklung beteiligt).

Bearbeiten: Ich habe festgestellt, dass die Nachrichtenkapselung für Ihr Szenario, das eine vollständige Datei umfasst, übertrieben ist. Daher ist es besser, nur einen verschlüsselten MAC zum vollständigen Chiffretext hinzuzufügen. Für paketgeschützte Formate wie D.W. weist auf die Details hin, und "Prüfsumme" sollte als verschlüsselter MAC durchgeführt werden.

Wenn Sie den Klartext einschließen, würde ich mit Ja sagen, dass die Verwendung eines symmetrischen Schlüssels zum Verschlüsseln von Daten, bei dem der Empfänger ihn entschlüsseln und mit dem Klartext vergleichen kann, Datenintegrität bietet.