Cookie加密会话管理的安全漏洞排查与完整性校验必要性咨询

我目前正在为Web应用实现基于Cookie的会话管理，已配置Cookie加密解密方法，将初始化向量（IV）存储在Cookie本身中。cookieEncryptionKey()会返回外部配置文件中存储密钥的32字节哈希。

class Auth 
{

    const COOKIE_TTL = 3600;
    const COOKIE_CIPHER = 'aes-256-cbc';

    private function encryptCookie(string $value)
    {
        $iv_length = openssl_cipher_iv_length(self::COOKIE_CIPHER);
        $iv = openssl_random_pseudo_bytes($iv_length);
        $encrypted = openssl_encrypt($value, self::COOKIE_CIPHER, $this->cookieEncryptionKey(), 0, $iv);

        return base64_encode($encrypted . '::' . $iv);
    }

    
    private function decryptCookie(string $value)
    {
        list($encrypted_data, $iv) = explode('::', base64_decode($value), 2);

        return openssl_decrypt($encrypted_data, self::COOKIE_CIPHER, $this->cookieEncryptionKey(), 0, $iv);
    }

}

请问该实现是否存在重大安全漏洞？是否需要添加如hash_hmac签名这类额外的数据完整性校验？我的理解是无需添加，因为不知道原始加密密钥就无法篡改加密消息。

回答 #

你的实现确实存在安全漏洞，必须添加数据完整性校验（比如HMAC签名），核心原因如下：

• AES-CBC不提供完整性保障：加密仅能防止数据被明文读取，但无法验证数据是否被篡改。攻击者不需要知道加密密钥，就可以通过「比特翻转攻击」篡改密文，进而影响解密后的明文内容。比如，修改密文的某个字节会导致对应明文块乱码，但后续明文块的对应字节会被精准篡改——攻击者可以利用这个特性，修改Cookie中的敏感字段（如用户ID、权限等级），而你无法察觉数据已被改动。

• IV的处理合理，但不解决完整性问题：把IV存储在Cookie中是正确的做法（IV不需要保密，仅需随机唯一），但这和数据完整性是两个独立的安全需求，加密无法替代完整性校验。

• 密钥处理的注意点：cookieEncryptionKey()返回配置密钥的32字节哈希，这个做法本身没问题，但要确保原始配置密钥足够随机、长度不低于16字节，避免被暴力破解。

修复方案示例 #

在加密流程中添加HMAC签名，解密时先验证签名再解密：

class Auth 
{
    const COOKIE_TTL = 3600;
    const COOKIE_CIPHER = 'aes-256-cbc';
    const HMAC_ALGO = 'sha256';

    private function encryptCookie(string $value)
    {
        $iv_length = openssl_cipher_iv_length(self::COOKIE_CIPHER);
        $iv = openssl_random_pseudo_bytes($iv_length);
        $encrypted = openssl_encrypt($value, self::COOKIE_CIPHER, $this->cookieEncryptionKey(), 0, $iv);
        
        // 基于密文+IV生成HMAC签名
        $hmac = hash_hmac(self::HMAC_ALGO, $encrypted . '::' . $iv, $this->cookieEncryptionKey());
        
        // 拼接密文、IV、签名后编码
        return base64_encode($encrypted . '::' . $iv . '::' . $hmac);
    }

    private function decryptCookie(string $value)
    {
        $decoded = base64_decode($value);
        // 拆分密文、IV、签名
        list($encrypted_data, $iv, $hmac) = explode('::', $decoded, 3);
        
        // 验证签名，使用hash_equals避免时序攻击
        $expectedHmac = hash_hmac(self::HMAC_ALGO, $encrypted_data . '::' . $iv, $this->cookieEncryptionKey());
        if (!hash_equals($expectedHmac, $hmac)) {
            // 签名验证失败，数据已篡改，返回null或抛出异常
            return null;
        }

        return openssl_decrypt($encrypted_data, self::COOKIE_CIPHER, $this->cookieEncryptionKey(), 0, $iv);
    }
}

内容的提问来源于stack exchange，提问作者user2531657