我的密码脚本加密有多安全？(Golang, AES256, pbkdf2, hmac)

Question

首先，我想说这只是一个学习练习，我不打算在生产中使用它。我用 Golang 写了一个小应用程序，有两个功能：encrypt(plaintext string, password string)和decrypt(encrypted string, password string)加密步骤如下：生成随机 256 位用作盐生成 128 位用作初始化向量使用 PDKDF2 从密码和盐生成 32 位密钥用密钥和明文生成一个 32 位的 HMAC，并将其附加到明文的开头在CFB模式下用AES加密hmac+plaintext返回的字节数组如下所示：[256 bit salt] [128 bit iv] encrypted([256 bit hmac] [plaintext])解密时：提取盐并使用提供的密码来计算密钥提取IV并解密密文的加密部分从解密值中提取mac用明文验证mac我还不够疯狂，无法在任何生产项目中使用我自己的加密脚本，所以请向我指出任何为我执行此操作的库（相对安全的简单密码/消息加密）

Answer 1

请注意，因为问题是关于加密消息而不是密码：如果您要加密小消息而不是散列密码，那么 Go 的secretbox包（作为其 NaCl 实现的一部分）是要走的路。如果您打算推出自己的产品——我强烈建议不要这样做，除非它留在您自己的开发环境中——那么 AES-GCM 是您的最佳选择。

否则，以下大部分内容仍然适用：

1. 对称加密对密码没有用。您应该没有理由需要返回明文——您应该只关心比较哈希值（或者更准确地说，派生键）。

2. 与 scrypt 或 bcrypt 相比，PBKDF2 并不理想（2015 年的 10002 轮也可能有点低）。scrypt 是内存困难的，并且更难在 GPU 上并行化，并且在 2015 年，它的寿命足够长，使其比 bcrypt 更安全（如果您的语言的 scrypt 库不是很好，您仍然会使用 bcrypt ）。

3. MAC-then-encrypt有问题- 您应该先加密 MAC。

4. 鉴于#3，您应该在 AES-CBC + HMAC 上使用 AES-GCM（伽罗华计数器模式）。

Go 有一个很棒的bcrypt包和一个易于使用的 API（为你生成盐；安全地比较）。

我还编写了一个镜像该包的scrypt包，因为底层 scrypt 包要求您验证自己的参数并生成自己的盐。