第3章：对称加密原理与组件内实现：AES-GCM算法参数、密钥派生（PBKDF2/Argon2）、iv与salt的生成与持久化

3.1 本章概述

在组件内持久化敏感数据时，对称加密是最核心的保护手段。AES-GCM（Galois/Counter Mode）不仅提供机密性，还内建认证（防篡改），非常适合小数据块持久化场景。本章从算法参数、密钥派生、随机数生成三个维度，讲解如何在组件内正确实现AES-GCM，并给出可直接使用的API调用流程。

3.2 AES-GCM算法参数

AES-GCM本质是AES加密引擎在计数器模式（CTR）下运行，同时通过GHASH计算认证标签。关键参数如下：

• 密钥长度：128/192/256 bit。移动端通常选择256 bit以获得最高安全强度。
• Nonce（IV）：GCM推荐12字节（96 bit），太大或太小均影响性能与安全。
• 认证标签长度（Tag）：可选12、13、14、15、16字节。推荐16字节（128 bit）以防止伪造攻击。
• 附加认证数据（AAD）：可选的未加密但参与认证的数据，用于绑定上下文（如用户ID、文件名）。

GCM模式要求每个密钥下Nonce唯一，否则加密的机密性完全丧失；因此Nonce必须用安全的随机数生成器（CSPRNG）产生。

3.3 密钥派生：PBKDF2 vs Argon2

用户提供的密码（如PIN、口令）不能直接作为AES密钥。必须通过慢速密码哈希函数（密钥派生函数KDF）生成固定长度密钥。以下是两种主流方案对比：

3.4 IV与Salt的生成与持久化

• Salt：PBKDF2/Argon2都需要随机salt，长度推荐16字节。每个加密操作独立生成，与密码共同参与派生。
• IV（Nonce）：GCM的12字节随机数，使用CSPRNG生成。
• 持久化方案：Salt和IV都不是敏感数据，可以明文存储在加密数据头部或单独字段中。例如：header = salt(16) || iv(12) || tag(16) || ciphertext。读取时先解析header再解密。

3.5 组件内加密流程（SVG流程图）

下图展示了从用户密码到密文持久化的完整流程：

3.6 代码实现（OpenSSL EVP接口示例）

以下C代码展示完整的加密流程（含PBKDF2派生）：

#include <openssl/evp.h>
#include <openssl/rand.h>

#define KEY_LEN 32      // AES-256
#define SALT_LEN 16
#define IV_LEN 12
#define TAG_LEN 16

int encrypt_data(const char* password, const unsigned char* plaintext,
                 size_t pt_len, unsigned char** out, size_t* out_len) {
    unsigned char salt[SALT_LEN], iv[IV_LEN], key[KEY_LEN], tag[TAG_LEN];
    EVP_CIPHER_CTX *ctx = NULL;
    int ret = 0;

    // 1. 生成随机 salt 和 iv
    if (RAND_bytes(salt, SALT_LEN) != 1) return -1;
    if (RAND_bytes(iv, IV_LEN) != 1) return -1;

    // 2. PBKDF2 派生密钥
    if (PKCS5_PBKDF2_HMAC(password, strlen(password),
                          salt, SALT_LEN, 200000,
                          EVP_sha256(), KEY_LEN, key) != 1) return -1;

    // 3. 初始化 GCM 加密上下文
    ctx = EVP_CIPHER_CTX_new();
    if (!ctx) return -1;
    EVP_EncryptInit_ex(ctx, EVP_aes_256_gcm(), NULL, NULL, NULL);
    EVP_CIPHER_CTX_ctrl(ctx, EVP_CTRL_GCM_SET_IVLEN, IV_LEN, NULL);
    EVP_EncryptInit_ex(ctx, NULL, NULL, key, iv);

    // 4. 处理 AAD（可选，示例略）
    // EVP_EncryptUpdate(ctx, NULL, &len, aad, aad_len);

    // 5. 加密明文
    size_t max_out = pt_len + EVP_MAX_BLOCK_LENGTH;
    *out = malloc(max_out + TAG_LEN);
    int outl = 0, tmp = 0;
    EVP_EncryptUpdate(ctx, *out, &outl, plaintext, pt_len);
    EVP_EncryptFinal_ex(ctx, *out + outl, &tmp);
    outl += tmp;

    // 6. 获取认证标签
    EVP_CIPHER_CTX_ctrl(ctx, EVP_CTRL_GCM_GET_TAG, TAG_LEN, tag);

    // 7. 构建持久化结构：salt || iv || tag || ciphertext
    memmove(*out + SALT_LEN + IV_LEN + TAG_LEN, *out, outl);
    memcpy(*out, salt, SALT_LEN);
    memcpy(*out + SALT_LEN, iv, IV_LEN);
    memcpy(*out + SALT_LEN + IV_LEN, tag, TAG_LEN);
    *out_len = SALT_LEN + IV_LEN + TAG_LEN + outl;

    EVP_CIPHER_CTX_free(ctx);
    OPENSSL_cleanse(key, KEY_LEN);
    return 0;
}

3.7 调试与常见错误

3.8 性能与稳定性优化

• 硬件加速：AES-NI指令集可显著加速GCM；OpenSSL自动检测并启用。Android NDK编译时开启-march=armv8-a+crypto。
• 密钥派生耗时控制：PBKDF2迭代次数在不影响用户体验前提下（单次加密<100ms）尽量高。可设置迭代次数为可配置常量，方便后续升级。
• 内存警告：Argon2若设置内存过大，可能在低端设备触发OOM。推荐运行时检查可用内存，动态降低内存成本。
• 缓存派生结果：同一密码在短时间内多次加密同一组件时，可在内存中缓存cached_key（谨慎使用，需考虑安全生命周期）。

3.9 总结与检查清单

• ☐ 密钥派生使用PBKDF2或Argon2，参数满足安全基线
• ☐ 每次加密生成新的随机IV和salt（CSPRNG）
• ☐ 持久化结构为 salt(16) || iv(12) || tag(16) || ciphertext
• ☐ 解密时将派生密钥、IV、salt、tag正确提取，验证tag后再使用明文
• ☐ 派生密钥用后立即清零，不在堆/栈中残留
• ☐ 移动端性能测试通过（单次加密<150ms）