使用crypto.subtle.wrapKey以AES-KW包装RSA-PSS私钥报错解决

能不能直接用AES-KW包装RSA-PSS密钥？ #

无法稳定直接使用，核心原因如下：

• AES-KW算法遵循RFC 3394标准，原生没有任何填充机制，强制要求输入数据长度必须是8字节的整数倍，Web Crypto API的实现严格遵循这个规范，本身就没有提供填充相关的配置项，不存在漏找参数的情况。
• RSA-PSS密钥导出为PKCS8格式后的长度不是固定值，会随密钥模长、公钥指数、生成时的随机参数变化，没法保证永远是8字节的整数倍，你遇到的长度不合法错误会概率性出现，靠碰长度对齐的写法完全无法在生产环境使用。
• 不要尝试手动给PKCS8数据补字节凑8的倍数再用AES-KW包装：自定义填充没有统一的校验规则，解包时无法准确识别填充边界，很容易引入解析错误和安全漏洞。

替代方案选择 #

你提到的带IV的加密方案方向是对的，但要选对模式，带认证的AES-GCM是目前Web Crypto环境下的最优替代：

• 带填充的AES-KW变体AES-KWP本身可以解决长度对齐问题，但目前Web Crypto API未原生支持该算法，没有直接调用的入口。
• AES-GCM是认证加密模式，和AES-KW一样能同时保证密钥材料的保密性和完整性，安全等级满足密钥包装的要求，不存在长度限制，不需要凑字节对齐。
• 不要选AES-CBC这类不带身份认证的加密模式，这类模式无法校验密文是否被篡改，不符合密钥包装的安全要求。
• 注意不要复用IV：每次执行包装操作时，都要生成一个新的12字节长度的随机IV，和PBKDF2的salt一起和包装后的密钥存储即可，解包时传入相同的参数就能正常还原密钥。

适配修改后的参考代码 #

export async function wrapKeyAsync(key: CryptoKey, password: string) {
    const keyMaterial = await crypto.subtle.importKey(
        "raw",
        new TextEncoder().encode(password),
        { name: "PBKDF2" },
        false,
        ["deriveBits", "deriveKey"]
    );

    const salt = crypto.getRandomValues(new Uint8Array(16));
    // 每次包装生成新的随机IV，AES-GCM推荐使用12字节长度
    const iv = crypto.getRandomValues(new Uint8Array(12));

    const wrappingKey = await crypto.subtle.deriveKey(
        {
            "name": "PBKDF2",
            salt: salt,
            "iterations": 100_000,
            "hash": "SHA-256"
        },
        keyMaterial,
        // 包装密钥算法替换为AES-GCM
        { "name": "AES-GCM", "length": 256 },
        true,
        ["wrapKey", "unwrapKey"]
    );

    const wrappedKey = new Uint8Array(await crypto.subtle.wrapKey(
        "pkcs8",
        key,
        wrappingKey,
        // 传入AES-GCM参数和生成的IV
        { name: "AES-GCM", iv: iv }
    ));

    // 返回值中同步返回IV，解包时需要使用
    return {
        wrappedKey,
        salt,
        iv
    };
}

// 对应解包函数参考
export async function unwrapKeyAsync(wrappedKey: Uint8Array, password: string, salt: Uint8Array, iv: Uint8Array) {
    const keyMaterial = await crypto.subtle.importKey(
        "raw",
        new TextEncoder().encode(password),
        { name: "PBKDF2" },
        false,
        ["deriveBits", "deriveKey"]
    );

    const wrappingKey = await crypto.subtle.deriveKey(
        {
            "name": "PBKDF2",
            salt: salt,
            "iterations": 100_000,
            "hash": "SHA-256"
        },
        keyMaterial,
        { "name": "AES-GCM", "length": 256 },
        true,
        ["wrapKey", "unwrapKey"]
    );

    return crypto.subtle.unwrapKey(
        "pkcs8",
        wrappedKey,
        wrappingKey,
        { name: "AES-GCM", iv: iv },
        // 下方参数请替换为你生成RSA-PSS密钥时使用的实际配置
        { name: "RSA-PSS", hash: "SHA-256" },
        true,
        ["sign", "verify"]
    );
}

内容的提问来源于stack exchange，提问作者HelloWorld