gpg --symmetric能否生成可复现的输出？

这个问题问得很实际！其实是可以让gpg --symmetric生成完全一致的输出的，但需要调整几个默认会随机变化的参数——不过先提前划重点：这么做在绝大多数场景下都不推荐，因为会严重削弱加密的安全性，后面我会详细说原因。

为什么默认情况下输出不一样？ #

你已经排除了压缩的影响，但GPG对称加密默认还有几个可变因素，导致相同输入+相同密码也会生成不同输出：

• 随机初始化向量（IV）：每次加密都会生成随机的IV，这是加密安全的关键设计——确保相同明文+相同密钥也会得到不同密文，避免攻击者通过密文重复推断明文规律。
• 随机盐值（Salt）：密钥派生过程中会使用随机盐，防止攻击者用彩虹表预先破解密码哈希。
• 加密时间戳：输出的密文包会包含加密时的时间戳，这也是可变元数据。

如何让输出可复现？ #

要固定输出，你需要把这些可变因素都锁死，具体命令如下：

1. 先生成一个固定的随机种子文件（只需要做一次）：

head -c 1024 /dev/urandom > fixed_seed.bin

2. 使用这个固定种子+其他固定参数执行加密：

gpg --symmetric --batch --passphrase test --yes -z0 \
  --no-timestamp \
  --s2k-digest-algo SHA256 \
  --s2k-count 65536 \
  --s2k-mode 3 \
  --cipher-algo AES-256-CBC \
  --random-seed fixed_seed.bin \
  -o out1.gpg input

3. 再运行一次完全相同的命令生成out2.gpg，此时用sha1sum校验会发现两个文件的哈希完全一致。

参数说明：

• --no-timestamp：去掉密文中的时间戳元数据
• --s2k-digest-algo/--s2k-count/--s2k-mode：固定密钥派生的所有参数，确保相同密码生成相同的会话密钥
• --cipher-algo：固定加密算法，避免不同环境默认算法不一致
• --random-seed：指定固定的随机种子，让GPG生成的IV和盐值完全一致

为什么这么做是个坏主意？ #

这种可复现的加密方式完全违背了现代加密的安全设计原则，主要风险包括：

• 失去语义安全性：相同明文+密码总是生成相同密文，攻击者可以通过密文的重复推断出明文的重复（比如加密多次相同的报表，攻击者能立刻知道这是同一内容），甚至可能通过已知明文攻击破解密码。
• 盐值固定易遭彩虹表攻击：固定的盐值相当于给攻击者的彩虹表“定向”了，他们可以预先计算这个盐对应的所有常见密码哈希，大大降低破解难度。
• 固定IV泄露明文结构：对于CBC这类分组加密模式，固定IV会让相同的明文块生成相同的密文块，攻击者能轻易推断出明文的结构信息（比如是否包含重复的段落、固定格式的内容等）。

除非你有非常特殊的场景（比如测试加密逻辑），否则绝对不要在生产环境中这么做。

备注：内容来源于stack exchange，提问作者Gonçalo Ribeiro