module OpenSSL::KDF

Предоставляет функциональность различных KDF (функций выработки ключа).

KDF обычно используется для безопасной выработки симметричных ключей произвольной длины, которые используются с OpenSSL::Cipher на основе паролей. Еще один вариант использования — хранение паролей: благодаря возможности настраивать вычислительные затраты путем увеличения числа итераций вычисления можно искусственно замедлить, чтобы сделать возможные атаки практически невыполнимыми.

В настоящее время OpenSSL::KDF предоставляет реализации следующих KDF:

PKCS #5 PBKDF2 (функция выработки ключа на основе пароля 2) в сочетании с HMAC
scrypt
HKDF

Примеры

Создание 128-битного ключа для `Cipher` (например, AES)

pass = "secret"
salt = OpenSSL::Random.random_bytes(16)
iter = 20_000
key_len = 16
key = OpenSSL::KDF.pbkdf2_hmac(pass, salt: salt, iterations: iter,
                               length: key_len, hash: "sha1")

Хранение паролей

pass = "secret"
# store this with the generated value
salt = OpenSSL::Random.random_bytes(16)
iter = 20_000
hash = OpenSSL::Digest.new('SHA256')
len = hash.digest_length
# the final value to be stored
value = OpenSSL::KDF.pbkdf2_hmac(pass, salt: salt, iterations: iter,
                                 length: len, hash: hash)

Важное замечание о проверке паролей

При сравнении паролей, предоставленных пользователем, с ранее сохраненными значениями часто допускают ошибку, сравнивая их с помощью «==». Обычно при вычислении «==» происходит досрочный выход, поэтому этот оператор уязвим для атак по времени. Правильный способ — использовать метод, который всегда затрачивает одинаковое время на сравнение двух значений и тем самым не раскрывает потенциальным злоумышленникам никакой информации. Для этого используйте OpenSSL.fixed_length_secure_compare.

Открытые методы класса

hkdf(ikm, salt:, info:, length:, hash:) → String Показать исходный код

static VALUE
kdf_hkdf(int argc, VALUE *argv, VALUE self)
{
    VALUE ikm, salt, info, opts, kwargs[4], str, md_holder;
    static ID kwargs_ids[4];
    int saltlen, ikmlen, infolen;
    size_t len;
    const EVP_MD *md;
    EVP_PKEY_CTX *pctx;

    if (!kwargs_ids[0]) {
        kwargs_ids[0] = rb_intern_const("salt");
        kwargs_ids[1] = rb_intern_const("info");
        kwargs_ids[2] = rb_intern_const("length");
        kwargs_ids[3] = rb_intern_const("hash");
    }
    rb_scan_args(argc, argv, "1:", &ikm, &opts);
    rb_get_kwargs(opts, kwargs_ids, 4, 0, kwargs);

    StringValue(ikm);
    ikmlen = RSTRING_LENINT(ikm);
    salt = StringValue(kwargs[0]);
    saltlen = RSTRING_LENINT(salt);
    info = StringValue(kwargs[1]);
    infolen = RSTRING_LENINT(info);
    len = (size_t)NUM2LONG(kwargs[2]);
    if (len > LONG_MAX)
        rb_raise(rb_eArgError, "length must be non-negative");
    md = ossl_evp_md_fetch(kwargs[3], &md_holder);

    str = rb_str_new(NULL, (long)len);
    pctx = EVP_PKEY_CTX_new_id(EVP_PKEY_HKDF, NULL);
    if (!pctx)
        ossl_raise(eKDF, "EVP_PKEY_CTX_new_id");
    if (EVP_PKEY_derive_init(pctx) <= 0) {
        EVP_PKEY_CTX_free(pctx);
        ossl_raise(eKDF, "EVP_PKEY_derive_init");
    }
    if (EVP_PKEY_CTX_set_hkdf_md(pctx, md) <= 0) {
        EVP_PKEY_CTX_free(pctx);
        ossl_raise(eKDF, "EVP_PKEY_CTX_set_hkdf_md");
    }
    if (EVP_PKEY_CTX_set1_hkdf_salt(pctx, (unsigned char *)RSTRING_PTR(salt),
                                    saltlen) <= 0) {
        EVP_PKEY_CTX_free(pctx);
        ossl_raise(eKDF, "EVP_PKEY_CTX_set_hkdf_salt");
    }
    if (EVP_PKEY_CTX_set1_hkdf_key(pctx, (unsigned char *)RSTRING_PTR(ikm),
                                   ikmlen) <= 0) {
        EVP_PKEY_CTX_free(pctx);
        ossl_raise(eKDF, "EVP_PKEY_CTX_set_hkdf_key");
    }
    if (EVP_PKEY_CTX_add1_hkdf_info(pctx, (unsigned char *)RSTRING_PTR(info),
                                    infolen) <= 0) {
        EVP_PKEY_CTX_free(pctx);
        ossl_raise(eKDF, "EVP_PKEY_CTX_set_hkdf_info");
    }
    if (EVP_PKEY_derive(pctx, (unsigned char *)RSTRING_PTR(str), &len) <= 0) {
        EVP_PKEY_CTX_free(pctx);
        ossl_raise(eKDF, "EVP_PKEY_derive");
    }
    rb_str_set_len(str, (long)len);
    EVP_PKEY_CTX_free(pctx);

    return str;
}

Функция выработки ключа на основе HMAC с этапами извлечения и расширения (HKDF), описанная в RFC 5869.

Добавлена в OpenSSL 1.1.0.

Параметры

ikm: Исходный ключевой материал.
salt: Соль.
info: Информация о контексте и приложении.
length: Длина результата в октетах. Должна быть <= 255 * HashLen, где HashLen — длина выходных данных хеш-функции в октетах.
hash: Хеш-функция.

Пример

# The values from https://www.rfc-editor.org/rfc/rfc5869#appendix-A.1
ikm = ["0b0b0b0b0b0b0b0b0b0b0b0b0b0b0b0b0b0b0b0b0b0b"].pack("H*")
salt = ["000102030405060708090a0b0c"].pack("H*")
info = ["f0f1f2f3f4f5f6f7f8f9"].pack("H*")
p OpenSSL::KDF.hkdf(ikm, salt: salt, info: info, length: 42, hash: "SHA256").unpack1("H*")
# => "3cb25f25faacd57a90434f64d0362f2a2d2d0a90cf1a5a4c5db02d56ecc4c5bf34007208d5b887185865"

pbkdf2_hmac(pass, salt:, iterations:, length:, hash:) → aString Показать исходный код

static VALUE
kdf_pbkdf2_hmac(int argc, VALUE *argv, VALUE self)
{
    VALUE pass, salt, opts, kwargs[4], str, md_holder;
    static ID kwargs_ids[4];
    int iters, len;
    const EVP_MD *md;

    if (!kwargs_ids[0]) {
        kwargs_ids[0] = rb_intern_const("salt");
        kwargs_ids[1] = rb_intern_const("iterations");
        kwargs_ids[2] = rb_intern_const("length");
        kwargs_ids[3] = rb_intern_const("hash");
    }
    rb_scan_args(argc, argv, "1:", &pass, &opts);
    rb_get_kwargs(opts, kwargs_ids, 4, 0, kwargs);

    StringValue(pass);
    salt = StringValue(kwargs[0]);
    iters = NUM2INT(kwargs[1]);
    len = NUM2INT(kwargs[2]);
    md = ossl_evp_md_fetch(kwargs[3], &md_holder);

    str = rb_str_new(0, len);
    if (!PKCS5_PBKDF2_HMAC(RSTRING_PTR(pass), RSTRING_LENINT(pass),
                           (unsigned char *)RSTRING_PTR(salt),
                           RSTRING_LENINT(salt), iters, md, len,
                           (unsigned char *)RSTRING_PTR(str)))
        ossl_raise(eKDF, "PKCS5_PBKDF2_HMAC");

    return str;
}

PKCS #5 PBKDF2 (функция выработки ключа на основе пароля 2) в сочетании с HMAC. Принимает pass, salt и iterations, а затем вырабатывает ключ длиной length байт.

Дополнительные сведения о PBKDF2 см. в RFC 2898, разделе 5.2 (www.rfc-editor.org/rfc/rfc2898#section-5.2).

Параметры

pass: Пароль.
salt: Соль. Соли защищают от атак с использованием словарей распространенных паролей и радужных таблиц. Это общедоступное значение, которое можно безопасно хранить вместе с паролем (например, если производное значение используется для хранения пароля).
iterations: Число итераций. Этот параметр позволяет настраивать алгоритм. Для максимальной устойчивости к атакам методом перебора рекомендуется использовать наибольшее возможное значение.
length: Требуемая длина выработанного ключа в октетах.
hash: Хеш-алгоритм, используемый с HMAC для PRF. Может быть String, содержащей название алгоритма, или экземпляром OpenSSL::Digest.

scrypt(pass, salt:, N:, r:, p:, length:) → aString Показать исходный код

static VALUE
kdf_scrypt(int argc, VALUE *argv, VALUE self)
{
    VALUE pass, salt, opts, kwargs[5], str;
    static ID kwargs_ids[5];
    size_t len;
    uint64_t N, r, p, maxmem;

    if (!kwargs_ids[0]) {
        kwargs_ids[0] = rb_intern_const("salt");
        kwargs_ids[1] = rb_intern_const("N");
        kwargs_ids[2] = rb_intern_const("r");
        kwargs_ids[3] = rb_intern_const("p");
        kwargs_ids[4] = rb_intern_const("length");
    }
    rb_scan_args(argc, argv, "1:", &pass, &opts);
    rb_get_kwargs(opts, kwargs_ids, 5, 0, kwargs);

    StringValue(pass);
    salt = StringValue(kwargs[0]);
    N = NUM2UINT64T(kwargs[1]);
    r = NUM2UINT64T(kwargs[2]);
    p = NUM2UINT64T(kwargs[3]);
    len = NUM2LONG(kwargs[4]);
    /*
     * OpenSSL uses 32MB by default (if zero is specified), which is too small.
     * Let's not limit memory consumption but just let malloc() fail inside
     * OpenSSL. The amount is controllable by other parameters.
     */
    maxmem = SIZE_MAX;

    str = rb_str_new(0, len);
    if (!EVP_PBE_scrypt(RSTRING_PTR(pass), RSTRING_LEN(pass),
                        (unsigned char *)RSTRING_PTR(salt), RSTRING_LEN(salt),
                        N, r, p, maxmem, (unsigned char *)RSTRING_PTR(str), len))
        ossl_raise(eKDF, "EVP_PBE_scrypt");

    return str;
}

Вырабатывает ключ из pass с использованием заданных параметров и функции выработки ключа на основе пароля scrypt. Результат можно использовать для хранения пароля.

scrypt разработан с учетом высокой потребности в памяти и обеспечивает более высокую защиту от атак методом перебора с использованием специализированного оборудования, чем альтернативные KDF, такие как PBKDF2 или bcrypt.

Именованные аргументы N, r и p позволяют настраивать scrypt. В RFC 7914 (опубликованном в августе 2016 г., www.rfc-editor.org/rfc/rfc7914#section-2) указано, что значения r=8 и p=1, по-видимому, дают хорошие результаты.

Дополнительные сведения см. в RFC 7914 (www.rfc-editor.org/rfc/rfc7914).

Параметры

pass: Парольная фраза.
salt: Соль.
N: Параметр стоимости по ЦП/памяти. Должен быть степенью 2.
r: Параметр размера блока.
p: Параметр распараллеливания.
length: Длина выработанного ключа в октетах.

Пример

pass = "password"
salt = SecureRandom.random_bytes(16)
dk = OpenSSL::KDF.scrypt(pass, salt: salt, N: 2**14, r: 8, p: 1, length: 32)
p dk #=> "\xDA\xE4\xE2...\x7F\xA1\x01T"

Ruby Core © 1993–2025 Yukihiro Matsumoto
Licensed under the Ruby License.
Ruby Standard Library © contributors
Licensed under their own licenses.

module OpenSSL::KDF

Создание 128-битного ключа для Cipher (например, AES)

Создание 128-битного ключа для `Cipher` (например, AES)