如何解密SoftHSM中通过pkcs11interop生成的AES wrappedKey？

问题原因 #

你得到40字节封装结果是正常的，CKM_AES_KEY_WRAP机制遵循RFC 3394 高级加密标准 (AES) 密钥封装算法规范，该算法封装后的输出长度固定为原始明文长度 + 8字节，你原始是32字节的AES-256密钥，32+8=40，符合预期。额外的8字节是算法内置的完整性校验字段，用于验证封装数据是否被篡改，不能直接丢弃。

解密（解封装）方案 #

有两种常见实现方式，你可以根据业务需求选择：

方案1：通过HSM原生接口解封装（推荐） #

直接用PKCS#11的UnwrapKey接口在HSM内完成解封装，不需要暴露封装密钥的明文，安全性更高，示例代码如下：

// 1. 定义与封装时一致的解封装机制
var unwrapMechanism = session.Factories.MechanismFactory.Create(CKM.CKM_AES_KEY_WRAP);

// 2. 定义解封装后生成的新密钥属性
var unwrappedKeyAttrs = new List<IObjectAttribute>
{
    session.Factories.ObjectAttributeFactory.Create(CKA.CKA_CLASS, CKO.CKO_SECRET_KEY),
    session.Factories.ObjectAttributeFactory.Create(CKA.CKA_KEY_TYPE, CKK.CKK_AES),
    session.Factories.ObjectAttributeFactory.Create(CKA.CKA_VALUE_LEN, 32),
    session.Factories.ObjectAttributeFactory.Create(CKA.CKA_TOKEN, false), // 临时密钥不需要持久化存储可设为false
    session.Factories.ObjectAttributeFactory.Create(CKA.CKA_EXTRACTABLE, true),
    session.Factories.ObjectAttributeFactory.Create(CKA.CKA_SENSITIVE, false), // 允许读取密钥明文值必须设为false
    session.Factories.ObjectAttributeFactory.Create(CKA.CKA_ENCRYPT, true),
    session.Factories.ObjectAttributeFactory.Create(CKA.CKA_DECRYPT, true)
};

// 3. 执行解封装操作，第二个参数为当时执行封装的密钥（你这里就是原来的generatedKey）
IObjectHandle unwrappedKey = session.UnwrapKey(unwrapMechanism, generatedKey, wrappedKey, unwrappedKeyAttrs);

// 4. 读取原始32字节AES密钥明文
byte[] originalAesKey = session.GetAttributeValue(unwrappedKey, new List<CKA> { CKA.CKA_VALUE })[0].GetValueAsByteArray();

// 5. 可选：销毁不用的临时密钥对象，释放HSM资源
session.DestroyObject(unwrappedKey);

方案2：HSM外部软件解封装 #

如果你需要脱离HSM完成解封装，可以用密码库实现RFC3394算法，示例用BouncyCastle库实现：

using Org.BouncyCastle.Crypto.Engines;
using Org.BouncyCastle.Crypto.Parameters;

// 传入封装密钥的明文（32字节）和40字节的封装结果
public byte[] UnwrapAesKey(byte[] wrappingKeyValue, byte[] wrappedKey)
{
    var aesWrapEngine = new AesWrapEngine();
    // 第一个参数false表示执行解封装操作
    aesWrapEngine.Init(false, new KeyParameter(wrappingKeyValue));
    return aesWrapEngine.Unwrap(wrappedKey, 0, wrappedKey.Length);
}

注意事项 #

• 不要手动截取40字节封装结果的后32位作为原始密钥，必须走标准解封装流程，否则不仅可能得到错误的密钥，还无法校验数据完整性
• 解封装使用的密钥必须和当时执行封装操作的密钥完全一致

内容的提问来源于stack exchange，提问作者Damian