Как расшифровать куки с помощью nodejs

[Предположим, что вы пытаетесь расшифровать файл cookie .NET framework]:

(Примечание: этот ответ был полностью переписан, так как все было не так просто, как казалось)

Схема шифрования описана здесь с указанием интересных частей:

ПРОВЕРИТЬ + РАСШИФРОВАТЬ ДАННЫЕ (fEncrypt = false, signData = true)

• Ввод: buf представляет зашифрованный текст для расшифровки, модификатор представляет данные, которые нужно удалить из конца открытого текста (поскольку это не данные открытого текста)
• Ввод (buf): E(iv + m + модификатор) + HMAC(E(iv + m + модификатор))
• Выход: м

---

• «IV» в приведенных выше описаниях не является фактическим IV. Скорее, если ivType = > IVType.Random, мы будем добавлять случайные байты ('iv') к открытому тексту, прежде чем передавать его криптоалгоритмам. Введение случайности в начале алгоритма не позволяет пользователям проверять два зашифрованных текста, чтобы увидеть, связаны ли открытые тексты. Если ivType = IVType.None, то iv — это просто пустая строка. Если ivType = IVType.Hash, мы используем неключевой хэш открытого текста.

• «Модификатор» в приведенных выше описаниях — это часть метаданных, которая должна быть зашифрована вместе с открытым текстом, но на самом деле не является частью самого открытого текста. Его можно использовать для хранения таких вещей, как имя пользователя, для которого был сгенерирован этот открытый текст, страница, которая сгенерировала открытый текст, и т. д. При расшифровке параметр модификатора сравнивается с модификатором, хранящимся в криптопотоке, и удаляется из сообщение до того, как будет возвращен открытый текст.

Что (надеюсь) реализовано с помощью следующего скрипта:

// Input
var cookie = "B417B464CA63FE780584563D2DA4709B03F6195189044C26A29770F3203881DD90B1428139088D945CF6807CA408F201DABBADD59CE1D740F853A894692273F1CA83EC3F26493744E3D25D720374E03393F71E21BE2D96B6110CB7AC12E44447FFBD810D3D57FBACA8DF5249EB503C3DFD255692409F084650EFED205388DD8C08BF7B941E1AC1B3B70B9A8E09118D756BEAFF25834E72357FD40E80E76458091224FAE8";
var decryptionKey = "FFA87B82D4A1BEAA15C06F6434A7EB2251976A838784E134900E6629B9F954B7";
var validationKey = "A5326FFC9D3B74527AECE124D0B7BE5D85D58AFB12AAB3D76319B27EE57608A5A7BCAB5E34C7F1305ECE5AC78DB1FFEC0A9435C316884AB4C83D2008B533CFD9";

// Parameters
var hmacSize=20

// Make buffers for input
var cookieBuffer = new Buffer(cookie, 'hex');
var decryptionKeyBuffer = new Buffer(decryptionKey, 'hex');
var validationKeyBuffer = new Buffer(validationKey, 'hex');

// Parse cookie
var curOffset=0;
var cipherText = new Buffer(cookieBuffer.length - hmacSize);
curOffset+=cookieBuffer.copy(cipherText, 0, curOffset, curOffset+cipherText.length);
var hmac = new Buffer(hmacSize);
curOffset+=cookieBuffer.copy(hmac, 0, curOffset, curOffset+hmac.length);

// Verify HMAC
var crypto = require('crypto');
var h = crypto.createHmac('sha1', validationKeyBuffer);
h.update(cipherText);
var expectedHmac = h.digest();
console.log('Expected HMAC: ' + expectedHmac.toString('hex'));
console.log('Actual   HMAC: ' + hmac.toString('hex'));
//if(!expectedHmac.equals(hmac)) { // Note: Requires nodejs v0.11.13
//    throw 'Cookie integrity error';
//}

// Decrypt
var zeroIv = new Buffer("00000000000000000000000000000000", 'hex');
var c = crypto.createDecipheriv('aes-256-cbc', decryptionKeyBuffer, zeroIv);
var plaintext = Buffer.concat([c.update(cipherText), c.final()]);

// Strip IV (which is the same length as decryption key -- see notes below)
var res = new Buffer(plaintext.length-decryptionKeyBuffer.length);
plaintext.copy(res, 0, decryptionKeyBuffer.length, plaintext.length);

// Output
console.log('HEX: ' + res.toString('hex'));
console.log('UTF-8: ' + res.toString('utf8'));

Дает результат:

Expected HMAC: 88e332b9a27b8f6f8d805ae718c562c1c8b721ed
Actual   HMAC: 6beaff25834e72357fd40e80e76458091224fae8
HEX: 010112ea9a47b2f2ce08fe121e7d78b6f2ce0801085400650073007400550073006500720016540065007300740020007400650073007400730073006f006e002c00200072006f006c0066007a006f007200012f00ff1d892908d9c497bd804f5f22eab043ff6368702c
UTF-8: ��G���}x�TestUserTest testsson, rolfzor/���ė��O_"��C�chp,

Некоторые (случайные) примечания об этом коде:

• предполагается, что для шифрования используется AES, а для аутентификации — HMAC-SHA1.

• поскольку используемый ключ аутентификации неизвестен, условие проверки целостности закомментировано, и используется ключ проверки из этот очень связанный вопрос (что является причиной несоответствия тега аутентификации)

• заполнение, используемое для шифрования AES, - PKCS # 7.

• поле «модификатор» предполагается пустым. Если это не так, вам придется проверить его и удалить из открытого текста.

• для производственной среды вам обязательно следует проверить тег аутентификации (иначе вы подвергнете себя неприятным атакам)

• чтобы избежать еще более неприятных атак, тег аутентификации должен проверяться на равенство в постоянное время (что может быть сложно реализовать в nodejs). Обратите внимание, что закомментированный код, скорее всего, уязвим для тайминг-атак.

• длина IV равна длине ключа (см. здесь по причине)

Отказ от ответственности: я не изучал полностью исходный код .NET и не являюсь экспертом по криптографии, поэтому, пожалуйста, подтвердите мои мысли.

Удачи!