ключи Diffie-Hellman

Это важно

В этой статье используется API Cryptography: Next Generation (CNG), который является рекомендуемым API для новых Windows криптографических приложений. Для большинства новых приложений рекомендуется использовать эллиптические кривые Диффи-Хеллмана (ECDH) с именованной стандартной кривой, такой как P-256 или P-384, которая обеспечивает эквивалентную или более надежную безопасность с более короткими ключами и меньшими затратами на управление параметрами.

Устаревшие функции CryptoAPI (CAPI1) (CryptGenKey, CryptExportKey, CryptAcquireContext и т. д.) больше не поддерживаются. Не используйте их в новых приложениях.

Создание ключей Diffie-Hellman
Обмен ключами Diffie-Hellman
Экспорт закрытого ключа Diffie-Hellman
Пример кода
Связанный контент

Создание ключей Diffie-Hellman

Чтобы создать пару ключей Diffie-Hellman с помощью CNG, выполните следующие действия:

Вызовите BCryptOpenAlgorithmProvider, BCRYPT_DH_ALGORITHM чтобы получить дескриптор поставщика алгоритмов.
Вызовите BCryptGenerateKeyPair , чтобы создать пару ключей, указав размер ключа в битах. Используйте по крайней мере 2048 бит для обеспечения надлежащей безопасности; 512-разрядные ключи (используемые в устаревших примерах CAPI1) являются криптографически слабыми и не должны использоваться в новом коде.
Задайте параметры DH (prime P и генератор G), вызвав BCryptSetProperty со свойством BCRYPT_DH_PARAMETERS перед вызовом BCryptFinalizeKeyPair. Значение свойства должно быть структурой BCRYPT_DH_PARAMETER_HEADER, за которой следует сразу же значение P, а затем значение G, каждое длиной cbKeyLength байтов, в порядке байтов большого порядка.

Обе стороны должны использовать одинаковые значения P и G . Для нового кода используйте общеизвестную стандартизованную группу, а не создание пользовательских параметров, например 2048-разрядную группу MODP 14 из RFC 3526 (используемой в приведенном ниже примере), обеспечивает хороший баланс безопасности и совместимости. Формат BCRYPT_DH_PUBLIC_BLOB экспорта включает P и G, чтобы получатель смог извлечь их из полученного большого двоичного объекта, когда две стороны находятся на отдельных компьютерах или процессах. В автономном примере, где обе стороны совместно используют один и тот же процесс, один и тот же большой двоичный объект параметров можно повторно использовать напрямую.
Вызовите BCryptFinalizeKeyPair , чтобы завершить создание ключей. Эта функция должна вызываться перед использованием или экспортом ключа.
Если ключ больше не нужен, вызовите BCryptDestroyKey, чтобы освободить дескриптор ключа, и BCryptCloseAlgorithmProvider, чтобы освободить дескриптор поставщика.

Обмен ключами Diffie-Hellman

Целью алгоритма Diffie-Hellman является возможность создания и совместного использования двух или нескольких сторон идентичных секретных значений путем обмена информацией по сети, которая не является безопасной. Информация, которая передается через сеть, это открытый ключ Диффи-Хеллмана каждой стороны. Процесс, используемый двумя сторонами обмена ключами, выглядит следующим образом:

Обе стороны согласны с Diffie-Hellman параметрами: простое число (P) и номер генератора (G).
Сторона 1 отправляет свой открытый ключ Диффи-Хеллмана Стороне 2.
Сторона 2 вычисляет общий секрет с помощью собственного закрытого ключа и открытого ключа стороны 1.
Сторона 2 отправляет свой открытый ключ Диффи-Хеллмана стороне 1.
Сторона 1 вычисляет общий секрет с помощью собственного закрытого ключа и открытого ключа партии 2.
Обе стороны теперь имеют один и тот же общий секрет, который можно использовать для получения симметричного ключа шифрования.

Чтобы подготовить открытый ключ Diffie-Hellman для передачи:

После генерации и завершения пары ключей вызовите BCryptExportKey с BCRYPT_DH_PUBLIC_BLOB в качестве типа BLOB, чтобы извлечь байты открытого ключа. Блоб включает значения P, G и открытый ключ Y, все в старшем байтовом порядке.
Передайте эти байты другой стороне через сеть.

Замечание

Ключевой материал в фрагментах DH CNG (BCRYPT_DH_PUBLIC_BLOB, BCRYPT_DH_PRIVATE_BLOB) находится в порядке старшего байта. Это противоположность формату с младшим байтом впереди, используемому устаревшим CryptoAPI (CAPI1). Обратите внимание на работу с ключевым материалом, закодированным в формате CAPI1.

Чтобы импортировать открытый ключ Diffie-Hellman и получить общий секрет:

Вызовите BCryptImportKeyPair с помощью BCRYPT_DH_PUBLIC_BLOB для импорта открытого ключа другой стороны. Для этого требуется дескриптор поставщика алгоритмов, открытый с помощью BCRYPT_DH_ALGORITHM.
Вызовите BCryptSecretAgreement с помощью собственного дескриптора закрытого ключа и дескриптора импортированного открытого ключа. Это создает дескриптор секретного соглашения , представляющий необработанное значение общего секрета (Y^X) mod P.
Вызовите BCryptDeriveKey, чтобы получить пригодный для использования ключевой материал из общего секрета. Используйте функцию деривации ключей (KDF), соответствующую вашему сценарию; BCRYPT_KDF_HASH с SHA-256 является подходящим выбором общего назначения.
Используйте байты производного ключа для создания симметричного ключа (например, вызова BCryptGenerateSymmetricKey с BCRYPT_AES_ALGORITHM) для последующего шифрования или расшифровки.
По завершении вызовите BCryptDestroySecret, чтобы освободить дескриптор секретного соглашения, и BCryptDestroyKey, чтобы освободить все дескрипторы ключей.

Экспорт закрытого ключа Diffie-Hellman

Предостережение

Экспорт закрытых ключей — это операция с учетом безопасности. Экспортируйте материал закрытого ключа только если это абсолютно необходимо, и защитите его надлежащим образом. Для ключей, хранящихся в поставщике хранилища ключей (KSP), поставщик может ограничить экспорт на основе политики ключей.

Чтобы экспортировать закрытый ключ Diffie-Hellman в виде блока памяти, вызовите BCryptExportKey с BCRYPT_DH_PRIVATE_BLOB. Результирующий blob содержит заголовок BCRYPT_DH_KEY_BLOB, за которым следуют значения P, G, публичное Y и приватное X, каждый из которых представлен в порядке старших байтов (big-endian).

Чтобы позже импортировать закрытый ключ, вызовите BCryptImportKeyPair.BCRYPT_DH_PRIVATE_BLOB

Пример кода

В следующем примере продемонстрирован обмен ключами по протоколу Диффи-Хеллмана между двумя участниками с использованием CNG. Обе стороны получают один и тот же ключевой материал из общего секрета и сравнивают производные байты.

Замечание

В этом примере используются явные Diffie-Hellman-параметры, и извлекается материал ключа из общего секрета с помощью BCryptDeriveKey и BCRYPT_KDF_HASH. При адаптации этого примера убедитесь, что формат параметров, параметры на основе ключа и результирующее использование ключей соответствуют требованиям к безопасности и взаимодействию приложения.

#include <windows.h>
#include <bcrypt.h>
#include <stdio.h>
#include <cstring>
#pragma comment(lib, "bcrypt.lib")

#define NT_SUCCESS(Status) (((NTSTATUS)(Status)) >= 0)
#define CHECK(s, fn) if (!NT_SUCCESS(s)) { wprintf(L"Error in %s: 0x%08x\n", fn, s); goto cleanup; }

// 2048-bit MODP Group 14 prime (RFC 3526), big-endian.
// Uses the 2048-bit MODP Group 14 standardized prime.
static const BYTE g_Prime2048[] =
{
    0xFF,0xFF,0xFF,0xFF,0xFF,0xFF,0xFF,0xFF,0xC9,0x0F,0xDA,0xA2,0x21,0x68,0xC2,0x34,
    0xC4,0xC6,0x62,0x8B,0x80,0xDC,0x1C,0xD1,0x29,0x02,0x4E,0x08,0x8A,0x67,0xCC,0x74,
    0x02,0x0B,0xBE,0xA6,0x3B,0x13,0x9B,0x22,0x51,0x4A,0x08,0x79,0x8E,0x34,0x04,0xDD,
    0xEF,0x95,0x19,0xB3,0xCD,0x3A,0x43,0x1B,0x30,0x2B,0x0A,0x6D,0xF2,0x5F,0x14,0x37,
    0x4F,0xE1,0x35,0x6D,0x6D,0x51,0xC2,0x45,0xE4,0x85,0xB5,0x76,0x62,0x5E,0x7E,0xC6,
    0xF4,0x4C,0x42,0xE9,0xA6,0x37,0xED,0x6B,0x0B,0xFF,0x5C,0xB6,0xF4,0x06,0xB7,0xED,
    0xEE,0x38,0x6B,0xFB,0x5A,0x89,0x9F,0xA5,0xAE,0x9F,0x24,0x11,0x7C,0x4B,0x1F,0xE6,
    0x49,0x28,0x66,0x51,0xEC,0xE4,0x5B,0x3D,0xC2,0x00,0x7C,0xB8,0xA1,0x63,0xBF,0x05,
    0x98,0xDA,0x48,0x36,0x1C,0x55,0xD3,0x9A,0x69,0x16,0x3F,0xA8,0xFD,0x24,0xCF,0x5F,
    0x83,0x65,0x5D,0x23,0xDC,0xA3,0xAD,0x96,0x1C,0x62,0xF3,0x56,0x20,0x85,0x52,0xBB,
    0x9E,0xD5,0x29,0x07,0x70,0x96,0x96,0x6D,0x67,0x0C,0x35,0x4E,0x4A,0xBC,0x98,0x04,
    0xF1,0x74,0x6C,0x08,0xCA,0x18,0x21,0x7C,0x32,0x90,0x5E,0x46,0x2E,0x36,0xCE,0x3B,
    0xE3,0x9E,0x77,0x2C,0x18,0x0E,0x86,0x03,0x9B,0x27,0x83,0xA2,0xEC,0x07,0xA2,0x8F,
    0xB5,0xC5,0x5D,0xF0,0x6F,0x4C,0x52,0xC9,0xDE,0x2B,0xCB,0xF6,0x95,0x58,0x17,0x18,
    0x39,0x95,0x49,0x7C,0xEA,0x95,0x6A,0xE5,0x15,0xD2,0x26,0x18,0x98,0xFA,0x05,0x10,
    0x15,0x72,0x8E,0x5A,0x8A,0xAC,0xAA,0x68,0xFF,0xFF,0xFF,0xFF,0xFF,0xFF,0xFF,0xFF
};

// Generator for MODP Group 14 (g = 2), big-endian, zero-padded to 256 bytes.
static BYTE g_Generator2048[256] = { 0 };  // initialized to zero; set g_Generator2048[255] = 2 below

#define KEY_SIZE_BITS  2048
#define KEY_SIZE_BYTES (KEY_SIZE_BITS / 8)

int wmain()
{
    int ret = 1;

    // Set generator value (g = 2)
    g_Generator2048[KEY_SIZE_BYTES - 1] = 2;

    NTSTATUS status;
    BCRYPT_ALG_HANDLE hAlg1 = NULL, hAlg2 = NULL;
    BCRYPT_KEY_HANDLE hKey1 = NULL, hKey2 = NULL;
    BCRYPT_KEY_HANDLE hPubKey1 = NULL, hPubKey2 = NULL;
    BCRYPT_SECRET_HANDLE hSecret1 = NULL, hSecret2 = NULL;
    PBYTE pbPubBlob1 = NULL, pbPubBlob2 = NULL;
    PBYTE pbParams = NULL;
    PBYTE pbDerivedKey1 = NULL, pbDerivedKey2 = NULL;
    ULONG cbPubBlob1 = 0, cbPubBlob2 = 0;
    ULONG cbDerivedKey = 0;

    // Build the BCRYPT_DH_PARAMETERS blob: header + P + G (all big-endian).
    ULONG cbParams = sizeof(BCRYPT_DH_PARAMETER_HEADER) + 2 * KEY_SIZE_BYTES;
    pbParams = (PBYTE)HeapAlloc(GetProcessHeap(), HEAP_ZERO_MEMORY, cbParams);
    if (!pbParams) { wprintf(L"Out of memory\n"); goto cleanup; }

    BCRYPT_DH_PARAMETER_HEADER* pHeader = (BCRYPT_DH_PARAMETER_HEADER*)pbParams;
    pHeader->cbLength    = cbParams;
    pHeader->dwMagic     = BCRYPT_DH_PARAMETERS_MAGIC;
    pHeader->cbKeyLength = KEY_SIZE_BYTES;
    memcpy(pbParams + sizeof(BCRYPT_DH_PARAMETER_HEADER),                   g_Prime2048,     KEY_SIZE_BYTES); // P
    memcpy(pbParams + sizeof(BCRYPT_DH_PARAMETER_HEADER) + KEY_SIZE_BYTES,  g_Generator2048, KEY_SIZE_BYTES); // G

    //
    // --- Party 1: generate key pair ---
    //
    status = BCryptOpenAlgorithmProvider(&hAlg1, BCRYPT_DH_ALGORITHM, NULL, 0);
    CHECK(status, L"BCryptOpenAlgorithmProvider (Party 1)");

    status = BCryptGenerateKeyPair(hAlg1, &hKey1, KEY_SIZE_BITS, 0);
    CHECK(status, L"BCryptGenerateKeyPair (Party 1)");

    status = BCryptSetProperty(hKey1, BCRYPT_DH_PARAMETERS, pbParams, cbParams, 0);
    CHECK(status, L"BCryptSetProperty BCRYPT_DH_PARAMETERS (Party 1)");

    status = BCryptFinalizeKeyPair(hKey1, 0);
    CHECK(status, L"BCryptFinalizeKeyPair (Party 1)");

    // Export Party 1's public key blob (includes P, G, Y).
    status = BCryptExportKey(hKey1, NULL, BCRYPT_DH_PUBLIC_BLOB, NULL, 0, &cbPubBlob1, 0);
    CHECK(status, L"BCryptExportKey size (Party 1)");

    pbPubBlob1 = (PBYTE)HeapAlloc(GetProcessHeap(), 0, cbPubBlob1);
    if (!pbPubBlob1) { wprintf(L"Out of memory\n"); goto cleanup; }

    status = BCryptExportKey(hKey1, NULL, BCRYPT_DH_PUBLIC_BLOB, pbPubBlob1, cbPubBlob1, &cbPubBlob1, 0);
    CHECK(status, L"BCryptExportKey (Party 1)");

    //
    // --- Party 2: generate key pair using same P and G ---
    //
    status = BCryptOpenAlgorithmProvider(&hAlg2, BCRYPT_DH_ALGORITHM, NULL, 0);
    CHECK(status, L"BCryptOpenAlgorithmProvider (Party 2)");

    status = BCryptGenerateKeyPair(hAlg2, &hKey2, KEY_SIZE_BITS, 0);
    CHECK(status, L"BCryptGenerateKeyPair (Party 2)");

    // Party 2 reuses the same DH parameters as Party 1.
    status = BCryptSetProperty(hKey2, BCRYPT_DH_PARAMETERS, pbParams, cbParams, 0);
    CHECK(status, L"BCryptSetProperty BCRYPT_DH_PARAMETERS (Party 2)");

    status = BCryptFinalizeKeyPair(hKey2, 0);
    CHECK(status, L"BCryptFinalizeKeyPair (Party 2)");

    // Export Party 2's public key blob.
    status = BCryptExportKey(hKey2, NULL, BCRYPT_DH_PUBLIC_BLOB, NULL, 0, &cbPubBlob2, 0);
    CHECK(status, L"BCryptExportKey size (Party 2)");

    pbPubBlob2 = (PBYTE)HeapAlloc(GetProcessHeap(), 0, cbPubBlob2);
    if (!pbPubBlob2) { wprintf(L"Out of memory\n"); goto cleanup; }

    status = BCryptExportKey(hKey2, NULL, BCRYPT_DH_PUBLIC_BLOB, pbPubBlob2, cbPubBlob2, &cbPubBlob2, 0);
    CHECK(status, L"BCryptExportKey (Party 2)");

    //
    // --- Party 1: import Party 2's public key, compute shared secret ---
    //
    status = BCryptImportKeyPair(hAlg1, NULL, BCRYPT_DH_PUBLIC_BLOB, &hPubKey2, pbPubBlob2, cbPubBlob2, 0);
    CHECK(status, L"BCryptImportKeyPair Party 2 public key (into Party 1)");

    status = BCryptSecretAgreement(hKey1, hPubKey2, &hSecret1, 0);
    CHECK(status, L"BCryptSecretAgreement (Party 1)");

    // Derive 32 bytes of key material using SHA-256.
    BCryptBufferDesc kdfParams = { 0 };
    BCryptBuffer kdfBuffer = { 0 };
    WCHAR szHashAlg[] = BCRYPT_SHA256_ALGORITHM;
    kdfBuffer.BufferType = KDF_HASH_ALGORITHM;
    kdfBuffer.cbBuffer   = sizeof(szHashAlg);
    kdfBuffer.pvBuffer   = szHashAlg;
    kdfParams.ulVersion  = BCRYPTBUFFER_VERSION;
    kdfParams.cBuffers   = 1;
    kdfParams.pBuffers   = &kdfBuffer;

    status = BCryptDeriveKey(hSecret1, BCRYPT_KDF_HASH, &kdfParams, NULL, 0, &cbDerivedKey, 0);
    CHECK(status, L"BCryptDeriveKey size (Party 1)");

    pbDerivedKey1 = (PBYTE)HeapAlloc(GetProcessHeap(), HEAP_ZERO_MEMORY, cbDerivedKey);
    if (!pbDerivedKey1) { wprintf(L"Out of memory\n"); goto cleanup; }

    status = BCryptDeriveKey(hSecret1, BCRYPT_KDF_HASH, &kdfParams, pbDerivedKey1, cbDerivedKey, &cbDerivedKey, 0);
    CHECK(status, L"BCryptDeriveKey (Party 1)");

    //
    // --- Party 2: import Party 1's public key, compute shared secret ---
    //
    status = BCryptImportKeyPair(hAlg2, NULL, BCRYPT_DH_PUBLIC_BLOB, &hPubKey1, pbPubBlob1, cbPubBlob1, 0);
    CHECK(status, L"BCryptImportKeyPair Party 1 public key (into Party 2)");

    status = BCryptSecretAgreement(hKey2, hPubKey1, &hSecret2, 0);
    CHECK(status, L"BCryptSecretAgreement (Party 2)");

    pbDerivedKey2 = (PBYTE)HeapAlloc(GetProcessHeap(), HEAP_ZERO_MEMORY, cbDerivedKey);
    if (!pbDerivedKey2) { wprintf(L"Out of memory\n"); goto cleanup; }

    ULONG cbDerivedKey2 = cbDerivedKey;
    status = BCryptDeriveKey(hSecret2, BCRYPT_KDF_HASH, &kdfParams, pbDerivedKey2, cbDerivedKey2, &cbDerivedKey2, 0);
    CHECK(status, L"BCryptDeriveKey (Party 2)");

    //
    // Verify both parties derived the same key material.
    //
    if (cbDerivedKey == cbDerivedKey2 && memcmp(pbDerivedKey1, pbDerivedKey2, cbDerivedKey) == 0)
    {
        wprintf(L"Success: both parties derived the same %u-byte key material.\n", cbDerivedKey);
        ret = 0;
    }
    else
    {
        wprintf(L"Error: derived keys do not match.\n");
    }

cleanup:
    if (pbDerivedKey2)  { SecureZeroMemory(pbDerivedKey2, cbDerivedKey); HeapFree(GetProcessHeap(), 0, pbDerivedKey2); }
    if (pbDerivedKey1)  { SecureZeroMemory(pbDerivedKey1, cbDerivedKey); HeapFree(GetProcessHeap(), 0, pbDerivedKey1); }
    if (hSecret2)       BCryptDestroySecret(hSecret2);
    if (hSecret1)       BCryptDestroySecret(hSecret1);
    if (hPubKey1)       BCryptDestroyKey(hPubKey1);
    if (hPubKey2)       BCryptDestroyKey(hPubKey2);
    if (pbPubBlob2)     HeapFree(GetProcessHeap(), 0, pbPubBlob2);
    if (pbPubBlob1)     HeapFree(GetProcessHeap(), 0, pbPubBlob1);
    if (hKey2)          BCryptDestroyKey(hKey2);
    if (hKey1)          BCryptDestroyKey(hKey1);
    if (hAlg2)          BCryptCloseAlgorithmProvider(hAlg2, 0);
    if (hAlg1)          BCryptCloseAlgorithmProvider(hAlg1, 0);
    if (pbParams)       HeapFree(GetProcessHeap(), 0, pbParams);

    return ret;
}

Обратная связь

Были ли сведения на этой странице полезными?

Last updated on 2026-04-15