使用HSM私钥解密：无填充解密后如何还原OAEP加密明文？

当你的HSM不支持RSA/ECB/OAEPPadding解密模式，只能用无填充解密得到OAEP的中间结果时，你需要按照OAEP的规范手动解析解密后的字节数组，还原出原始明文。核心是逆向OAEP的填充逻辑，步骤如下：

前提确认 #

必须先搞清楚加密时使用的OAEP参数，这些参数必须和加密端完全一致，否则无法正确还原明文：

• 主哈希算法（如SHA-1、SHA-256、SHA-512）
• MGF1掩码生成函数使用的哈希算法（通常和主哈希算法一致）
• 可选的编码参数（PS，绝大多数场景为空）

手动解析步骤（以PS为空、SHA-256为例） #

OAEP无填充解密后的字节数组结构为：0x00 || 种子掩码(seedMask) || 掩码化数据库(maskedDB)，总长度等于你的RSA密钥长度（比如2048位密钥对应256字节）。

1. 验证起始字节：解密后的数组第一个字节必须是0x00，否则说明数据损坏或参数不匹配。
2. 拆分种子掩码和掩码化数据库：
   • 种子掩码长度 = 哈希算法的输出长度（SHA-256对应32字节）
   • 从索引1开始取对应长度的字节作为seedMask，剩下的部分为maskedDB
3. 生成DB的掩码：用MGF1函数，以seedMask为输入，生成长度等于maskedDB的掩码dbMask
4. 还原原始DB：将maskedDB和dbMask逐字节异或，得到原始DB数组
5. 提取明文：原始DB的结构是全0填充字节 || 0x01 || 明文，找到第一个0x01的位置，其后的所有字节就是原始明文

Java代码实现 #

下面是基于BouncyCastle工具类的实现（也可以用JDK自带工具，但BouncyCastle逻辑更直观）：

import java.security.MessageDigest;
import org.bouncycastle.crypto.digests.SHA256Digest;
import org.bouncycastle.crypto.generators.MGF1BytesGenerator;
import org.bouncycastle.crypto.params.MGFParameters;

public byte[] recoverOAEPPlaintext(byte[] noPaddingDecrypted, String hashAlgorithm) throws Exception {
    MessageDigest md = MessageDigest.getInstance(hashAlgorithm);
    int hashLen = md.getDigestLength();

    // 验证OAEP起始标识
    if (noPaddingDecrypted[0] != 0x00) {
        throw new IllegalArgumentException("解密数据不符合OAEP格式：起始字节不是0x00");
    }

    // 拆分seedMask和maskedDB
    byte[] seedMask = new byte[hashLen];
    System.arraycopy(noPaddingDecrypted, 1, seedMask, 0, hashLen);
    byte[] maskedDB = new byte[noPaddingDecrypted.length - 1 - hashLen];
    System.arraycopy(noPaddingDecrypted, 1 + hashLen, maskedDB, 0, maskedDB.length);

    // 用MGF1生成DB的掩码（注意MGF的哈希算法要和加密端一致）
    MGF1BytesGenerator mgf1 = new MGF1BytesGenerator(new SHA256Digest());
    mgf1.init(new MGFParameters(seedMask));
    byte[] dbMask = new byte[maskedDB.length];
    mgf1.generateBytes(dbMask, 0, dbMask.length);

    // 异或还原DB
    byte[] db = new byte[maskedDB.length];
    for (int i = 0; i < maskedDB.length; i++) {
        db[i] = (byte) (maskedDB[i] ^ dbMask[i]);
    }

    // 定位明文起始位置：找第一个0x01分隔符
    int plaintextStart = -1;
    for (int i = 0; i < db.length; i++) {
        if (db[i] == 0x01) {
            plaintextStart = i + 1;
            break;
        }
    }
    if (plaintextStart == -1) {
        throw new IllegalArgumentException("OAEP数据无效：未找到0x01分隔符");
    }

    // 提取明文
    byte[] plaintext = new byte[db.length - plaintextStart];
    System.arraycopy(db, plaintextStart, plaintext, 0, plaintext.length);
    return plaintext;
}

关键注意事项 #

• 如果加密用的是SHA-1，把代码中的SHA256Digest换成SHA1Digest即可，其他哈希算法同理。
• 若加密时指定了非空的PS参数，需要先验证DB开头的哈希值是否匹配PS的哈希，再找0x01分隔符（具体可参考RFC 8017规范）。
• 一定要处理异常情况，比如数据损坏、参数不匹配导致的解析失败，避免程序崩溃。

内容的提问来源于stack exchange，提问作者An Anita