使用X25519密钥解密Java加密数据时Python解密失败求助

核心问题 #

Java中KeyAgreement.generateSecret("TlsPremasterSecret")并非直接返回X25519原始共享密钥，而是生成TLS预主密钥格式的数据：前2字节是TLS版本号（通常为0x0303，对应TLS 1.2），后面32字节是X25519原始共享密钥。你的Python代码大概率直接使用了原始共享密钥，未添加版本号前缀，导致后续密钥派生与Java不一致，最终解密出乱码。

另外需额外确认两点：对方DER格式公钥的解析是否正确，本地私钥的读取格式是否匹配Mac生成的密钥规范。

分步解决 #

1. 正确解析DER格式的对方公钥 #

DER格式的X25519公钥是SubjectPublicKeyInfo结构，需提取其中的32字节原始公钥数据：

from cryptography.hazmat.primitives import serialization
from cryptography.hazmat.primitives.asymmetric.x25519 import X25519PublicKey

# 读取对方DER公钥文件
with open("peer_public_key.der", "rb") as f:
    der_data = f.read()

# 解析为X25519公钥对象
raw_peer_pub = serialization.load_der_public_key(der_data).public_bytes(
    encoding=serialization.Encoding.Raw,
    format=serialization.PublicFormat.Raw
)
peer_public_key = X25519PublicKey.from_public_bytes(raw_peer_pub)

2. 读取Mac生成的本地X25519私钥 #

Mac生成的密钥多为PKCS#8格式，解析方式如下：

from cryptography.hazmat.primitives.asymmetric.x25519 import X25519PrivateKey

# 读取本地私钥文件（假设为PKCS#8 PEM格式）
with open("local_private_key.pem", "rb") as f:
    private_key_obj = serialization.load_pem_private_key(
        f.read(),
        password=None
    )
    raw_priv = private_key_obj.private_bytes(
        encoding=serialization.Encoding.Raw,
        format=serialization.PrivateFormat.Raw,
        encryption_algorithm=serialization.NoEncryption()
    )
local_private_key = X25519PrivateKey.from_private_bytes(raw_priv)

3. 生成与Java一致的TLS预主密钥 #

计算原始共享密钥后，添加TLS版本号前缀：

# 计算X25519原始共享密钥
raw_shared_secret = local_private_key.exchange(peer_public_key)

# 构造TLS预主密钥：2字节版本号（0x0303 = TLS 1.2） + 原始共享密钥
tls_premaster_secret = b"\x03\x03" + raw_shared_secret

4. 对齐Java的密钥派生逻辑 #

Java通常用TLS PRF（伪随机函数）从预主密钥派生会话密钥，Python实现如下：

import hashlib
import hmac

def tls_prf(secret, label, seed, length):
    """实现TLS 1.2标准PRF"""
    hmac_sha256 = hmac.new(secret, label + seed, hashlib.sha256).digest()
    hmac_sha1 = hmac.new(secret, label + seed, hashlib.sha1).digest()
    result = b""
    current_seed = seed
    while len(result) < length:
        hmac_sha256 = hmac.new(secret, hmac_sha256 + label + current_seed, hashlib.sha256).digest()
        hmac_sha1 = hmac.new(secret, hmac_sha1 + label + current_seed, hashlib.sha1).digest()
        result += hmac_sha256 + hmac_sha1[:20]
        current_seed = hmac_sha256[:20]
    return result[:length]

# 替换为Java中实际使用的label和seed（比如"master secret" + 客户端/服务端随机数）
master_secret = tls_prf(tls_premaster_secret, b"master secret", client_random + server_random, 48)
# 从master secret派生加密密钥、IV等，需与Java逻辑完全一致

5. 用派生密钥解密密文 #

确保对称加密的算法、模式、填充方式与Java完全匹配，比如AES-CBC模式：

from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes
from cryptography.hazmat.backends import default_backend

# 替换为实际派生的加密密钥和IV
cipher = Cipher(algorithms.AES(encryption_key), modes.CBC(iv), backend=default_backend())
decryptor = cipher.decryptor()
plaintext = decryptor.update(ciphertext) + decryptor.finalize()

关键验证点 #

• 确认Java使用的TLS版本号：若为TLS 1.3，预主密钥格式无版本号前缀，需调整逻辑。
• 密钥派生的label和seed必须与Java完全一致，这是密钥不一致的常见原因。
• 对称加密参数（算法、模式、IV、填充）需严格匹配，比如Java用AES/CBC/PKCS5Padding，Python对应使用PKCS7填充（16字节块下与PKCS5等价）。

内容的提问来源于stack exchange，提问作者Nitin Mishra