Усеченный расшифрованный текст AES128 на iOS 7, без проблем на iOS 8

Данные шифруются не с заполнением PKCS#7, а с нулевым заполнением. Вы можете узнать это, записав plainData:

NSData *fullData = [NSData dataWithBytes:buffer length:dataLength];
NSLog(@"\nfullData: %@", fullData);

Вывод:
plainData: 74686520 71756963 6b206272 6f776e20 666f7820 6a756d70 6564206f 76657220 74686520 66656e63 65000000 00000000

Метод PHP mcrypt делает это, он нестандартен.

mcrypt(), в то время как популярная была написана некоторыми бозо и использует нестандартное заполнение нулями, которое одновременно небезопасно и не будет работать, если последний байт данных равен 0x00.

Ранние версии CCCrypt возвращали ошибку, если заполнение было явно неверным, это была ошибка безопасности, которая позже была исправлена. IIRC iOS7 была последней версией, которая сообщала о неправильном заполнении как об ошибке.

Решение состоит в том, чтобы добавить заполнение PKCS # 7 перед шифрованием:

Заполнение PKCS#7 всегда добавляет заполнение. Заполнение представляет собой серию байтов со значением количества добавленных байтов заполнения. Длина заполнения равна block_size - (length(data) % block_size.

Для AES, где блок имеет размер 16 байт (и надеюсь, что php действителен, это было давно):

$pad_count = 16 - (strlen($data) % 16);
$data .= str_repeat(chr($pad_count), $pad_count);

Или удалите конечные байты 0x00 после расшифровки.

См. PKCS7.

Ранние версии CCCrypt возвращали ошибку, если заполнение было явно неверным, это была ошибка безопасности, которая позже была исправлена. Это несколько раз обсуждалось на форумах Apple, Куинн участвовал во многих дискуссиях. Но это недостаток безопасности, поэтому проверка четности была удалена, и несколько разработчиков были расстроены/враждебны. Теперь, если есть неправильная четность, об ошибке не сообщается.

Я не могу воспроизвести вашу проблему со следующим кодом:

@implementation ViewController
{
    NSData *_data;
}

- (void)viewDidLoad
{
    [super viewDidLoad];

    NSLog(@"system version: %@", [[UIDevice currentDevice] systemVersion]);

    NSMutableString *text = [NSMutableString string];
    for (int i = 0; i < 80; i+=4)
    {
        [text appendFormat:@"ABCD"];
    }
    _data = [text dataUsingEncoding:NSUTF8StringEncoding];

    NSString *key = @"password";
    NSString *iv = @"12345678";
    NSData *encrypted = [self AES128Operation:kCCEncrypt key:key iv:iv];
    NSLog(@"encrypted: %@", encrypted);

    _data = encrypted;
    NSData *decrypted = [self AES128Operation:kCCDecrypt key:key iv:iv];
    NSLog(@"decrypted: %@ (%@)", decrypted, [[NSString alloc] initWithData:decrypted encoding:NSUTF8StringEncoding]);
}

- (NSData *)AES128Operation:(CCOperation)operation key:(NSString *)key iv:(NSString *)iv
{
    char keyPtr[kCCKeySizeAES128 + 1];
    bzero(keyPtr, sizeof(keyPtr));
    [key getCString:keyPtr maxLength:sizeof(keyPtr) encoding:NSUTF8StringEncoding];

    char ivPtr[kCCBlockSizeAES128 + 1];
    bzero(ivPtr, sizeof(ivPtr));
    if (iv) {
        [iv getCString:ivPtr maxLength:sizeof(ivPtr) encoding:NSUTF8StringEncoding];
    }

    NSUInteger dataLength = [_data length];
    size_t bufferSize = dataLength + kCCBlockSizeAES128;
    void *buffer = malloc(bufferSize);

    size_t numBytesEncrypted = 0;
    CCCryptorStatus cryptStatus = CCCrypt(operation,
                                          kCCAlgorithmAES128,
                                          kCCOptionPKCS7Padding | kCCOptionECBMode,
                                          keyPtr,
                                          kCCBlockSizeAES128,
                                          ivPtr,
                                          [_data bytes],
                                          dataLength,
                                          buffer,
                                          bufferSize,
                                          &numBytesEncrypted);
    if (cryptStatus == kCCSuccess) {
        return [NSData dataWithBytesNoCopy:buffer length:numBytesEncrypted];
    }
    free(buffer);
    return nil;
}

Вот результаты:

2015-08-06 12:39:29.716 Test[37788:13220246] system version: 8.4
2015-08-06 12:39:29.717 Test[37788:13220246] encrypted: <17445b45 da8b6f93 7787e80a 3feb6948 17445b45 da8b6f93 7787e80a 3feb6948 17445b45 da8b6f93 7787e80a 3feb6948 17445b45 da8b6f93 7787e80a 3feb6948 17445b45 da8b6f93 7787e80a 3feb6948 c6b4234e 1d0709c9 45113e4f 2a9607f7>
2015-08-06 12:39:29.717 Test[37788:13220246] decrypted: <41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344> (ABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCD)


2015-08-06 13:39:50.270 Test[37841:607] system version: 7.1
2015-08-06 13:39:50.272 Test[37841:607] encrypted: <17445b45 da8b6f93 7787e80a 3feb6948 17445b45 da8b6f93 7787e80a 3feb6948 17445b45 da8b6f93 7787e80a 3feb6948 17445b45 da8b6f93 7787e80a 3feb6948 17445b45 da8b6f93 7787e80a 3feb6948 c6b4234e 1d0709c9 45113e4f 2a9607f7>
2015-08-06 13:39:50.273 Test[37841:607] decrypted: <41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344 41424344> (ABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCDABCD)

Также из документации:

Вектор инициализации, необязательный. Используется для режима цепочки блоков шифрования (CBC). Если присутствует, то должен быть такой же длины, как и размер блока выбранного алгоритма. Если выбран режим CBC (из-за отсутствия каких-либо битов режима в флагах опций) и IV не присутствует, IV будет использоваться NULL (все нули). Это игнорируется, если используется режим ECB или если выбран алгоритм потокового шифрования.

Таким образом, IV бесполезен в режиме ECB.

Правильно оказывается, что в ручном дополнении PKCS#7 есть небольшой недостаток подпрограмма, примененная до PHP mcrypt.

хорошо известно, что mcrypt использует нулевое заполнение, поэтому чтобы сделать его совместимым с PKCS7, mcrypt потребовалось вручную выровнять данные по байтам, добавив n количество байтов, содержащих значение n в каждом из них. В случае этого вопроса это было сделано с помощью этого драгоценного кода:

// Add PKCS#7 Padding
$block = mcrypt_get_block_size(MCRYPT_RIJNDAEL_128);
$pad = $block - (mb_strlen($message, '8bit') % $block);
$message .= str_repeat(chr($pad), $pad);

$ciphertext = mcrypt_encrypt(
    MCRYPT_RIJNDAEL_128,
    $key,
    $message,
    MCRYPT_MODE_ECB
);

Мы поступаем правильно, не так ли? Мне нужно было сосредоточиться на проблеме iOS 7/8. Однако оказывается

$block = mcrypt_get_block_size(MCRYPT_RIJNDAEL_128); // null

ничего не делает при компоновке с более новыми версиями libmcrypt >= 2.4 (ref), но

$block = mcrypt_get_block_size(MCRYPT_RIJNDAEL_128, 'ecb'); // 16

правильно возвращает размер блока. По сути, заполнение не применяется, и заполнение возвращается к нулевому заполнению а-ля mcrypt. Кредит принадлежит zaph для демонстрации

Ясно, что тестовые данные не были дополнены PKCS#7, потому что они содержат пустые байты заполнения. PKCS#7 проходит с байтами, равными длине заполнения. fullData будет: 74686520 71756963 6b206272 6f776e20 666f7820 6a756d70 6564206f 76657220 74686520 66656e63 65070707 07070707

Теперь было упомянуто, что iOS 7 обрабатывает «плохое заполнение» иначе, чем iOS 8. Мне абсолютно нужна ссылка на это, но эти две ошибки вместе объясняют поведение, наблюдаемое в OP.