PBKDF2加密主键的密码丢失恢复方法及实现机制咨询

针对你当前的客户端加密架构（AES-GCM主键 + PBKDF2派生密钥加密存储），以下是几种可落地的主键恢复方案，均遵循服务器无法获取明文主键的安全原则：

方案一：独立恢复短语/密钥 #

实现思路 #

在用户初始化主键时，额外生成一个独立的恢复短语（比如BIP-39标准的12/24词助记词），用该短语派生一个恢复密钥，加密主键的副本后和原加密主键一起存储到服务器。当用户丢失密码时，通过输入恢复短语派生密钥，解密备份的主键副本。

关键代码示例 #

// 生成密码学安全的恢复短语（实际可使用成熟的BIP-39库实现）
function generateRecoveryPhrase() {
  const wordList = ["abandon", "ability", "able", ...]; // 采用BIP-39标准词库
  const randomBytes = window.crypto.getRandomValues(new Uint8Array(16));
  // 简化的词索引生成逻辑，实际需严格遵循BIP-39规范
  const indices = Array.from(randomBytes).map(byte => byte % wordList.length);
  return indices.map(i => wordList[i]).join(" ");
}

// 用恢复短语派生恢复密钥（复用现有deriveKey逻辑）
async function deriveRecoveryKey(recoveryPhrase, salt) {
  return deriveKey(salt, recoveryPhrase);
}

// 备份加密主键
async function backupPrimaryKey(primaryKey, recoveryPhrase) {
  const recoverySalt = window.crypto.getRandomValues(new Uint8Array(16));
  const { derivedKey } = await deriveRecoveryKey(recoveryPhrase, recoverySalt);
  const iv = window.crypto.getRandomValues(new Uint8Array(12)); // AES-GCM标准IV长度
  const encryptedBackupKey = await encryptPrimaryKey(primaryKey, derivedKey, iv);
  // 将备份加密密钥、salt、iv与原加密主键一同存储到服务器
  return { encryptedBackupKey, recoverySalt, iv };
}

// 通过恢复短语恢复主键
async function recoverPrimaryKey(encryptedBackupKey, recoverySalt, iv, recoveryPhrase) {
  const { derivedKey } = await deriveRecoveryKey(recoveryPhrase, recoverySalt);
  const primaryKey = await window.crypto.subtle.decrypt(
    { name: "AES-GCM", iv: iv },
    derivedKey,
    encryptedBackupKey
  );
  return primaryKey;
}

注意事项 #

• 恢复短语必须由用户自行妥善保管（如手写存档、存入硬件钱包），绝对不能上传至服务器。
• 恢复短语的生成必须依赖window.crypto.getRandomValues这类密码学安全的随机数生成器，避免可预测性。

方案二：多因子加密备份 #

实现思路 #

利用用户的可信身份因子（如邮箱验证码、手机号验证码）作为辅助密钥材料，派生备份密钥加密主键副本存储到服务器。用户丢失密码时，通过验证辅助因子获取备份密钥，解密主键。

关键实现要点 #

1. 客户端向服务器请求辅助因子验证码，验证通过后获取一次性验证字符串。
2. 将验证字符串作为PBKDF2的输入材料，派生备份密钥（可单独使用验证字符串，或与用户预留的辅助信息拼接）。
3. 用备份密钥加密主键副本，上传至服务器存储。
4. 恢复时，重新验证辅助因子获取验证字符串，派生备份密钥解密主键。

安全提示 #

• 所有加密操作必须在客户端完成，服务器仅负责发送验证码和存储加密后的备份数据。
• 辅助因子验证需设置严格的防暴力破解规则（如请求次数限制、验证码过期时间）。

方案三：Shamir秘密共享（分片恢复） #

实现思路 #

使用Shamir秘密共享算法将明文主键拆分为N个分片，用户自行保存K个分片（K < N），服务器存储剩余的N-K个分片。用户丢失密码时，凑齐至少K个分片即可在客户端还原出明文主键。

关键实现要点 #

1. 将生成的AES主键转换为二进制数据，通过Shamir算法拆分为多片（例如拆成3片，需至少2片恢复）。
2. 用户本地保存1片，服务器存储另外2片（单独的服务器分片无法还原主键）。
3. 恢复时，用户提供本地分片，从服务器获取其余所需分片，在客户端合并还原出主键。

注意事项 #

• 必须使用经安全审计的Shamir实现库，避免算法漏洞。
• 服务器存储的分片需单独加密，防止被非法窃取后结合其他分片还原主键。

内容的提问来源于stack exchange，提问作者xoro_anti