如何在Rust-openssl中用密码生成确定性RSA密钥对解决私钥丢失问题？

好问题！这种用用户记忆的密码来派生确定性密钥对的思路，确实能解决私钥丢失后无法恢复的痛点——毕竟比起保管文件，用户更擅长记住密码（只要是足够强的密码）。下面分两部分解答你的疑问：

一、是否存在这样的算法？ #

直接用密码生成RSA密钥对是不现实的，因为RSA密钥对的生成依赖符合数学要求的大素数，而密码本身的熵通常不足以直接生成合规的RSA参数。但我们可以通过**“密码→确定性种子→确定性密钥对”**的路径实现需求：

1. 用KDF（密钥派生函数）从密码生成种子：使用PBKDF2、Argon2或Scrypt这类安全的KDF，结合一个唯一的盐（每个用户对应一个盐，存在服务器数据库），从用户密码中派生出一个足够长的随机种子。这一步的核心是把低熵的密码转化为高熵的种子，同时通过加盐防止彩虹表攻击。
2. 用种子初始化确定性随机数生成器：RSA密钥生成过程本质上依赖随机数生成，只要我们用固定的种子初始化一个确定性RNG（比如HMAC-DRBG），就能生成完全相同的RSA密钥对。

这个方案是完全可行的，也是行业内常见的密钥恢复思路。

二、Rust-OpenSSL中的实现方式 #

Rust-OpenSSL支持通过自定义随机数生成器来生成RSA密钥对，结合KDF就能实现你的需求。下面是一个简化的示例代码：

首先，需要在Cargo.toml中添加依赖：

[dependencies]
openssl = { version = "0.10", features = ["v110"] }
rand = "0.8"
pbkdf2 = "0.11"
sha2 = "0.10"

然后是核心代码：

use openssl::rsa::{Rsa, Private};
use openssl::rand::{SeedableRng, drbg::HmacDrbg};
use pbkdf2::pbkdf2_hmac;
use sha2::Sha256;
use std::vec::Vec;

fn generate_deterministic_rsa(password: &str, salt: &[u8], bits: u32) -> Result<Rsa<Private>, openssl::error::ErrorStack> {
    // 第一步：用PBKDF2从密码派生种子
    const ITERATIONS: u32 = 100_000;
    const SEED_LEN: usize = 32; // 32字节种子足够生成安全的RSA密钥
    let mut seed = vec![0u8; SEED_LEN];
    pbkdf2_hmac::<Sha256>(password.as_bytes(), salt, ITERATIONS, &mut seed);

    // 第二步：用种子初始化HMAC-DRBG随机数生成器
    let mut drbg = HmacDrbg::new(&seed, None, None)?;

    // 第三步：使用确定性RNG生成RSA密钥对
    Rsa::generate_with_rng(bits, &mut drbg)
}

fn main() -> Result<(), openssl::error::ErrorStack> {
    // 示例：用户密码和服务器存储的盐（每个用户唯一，需持久化）
    let password = "MySuperStrongPassword123!";
    let salt = b"user-specific-salt-123"; // 实际应用中应该是随机生成的16-32字节盐

    // 生成密钥对
    let rsa = generate_deterministic_rsa(password, salt, 2048)?;

    // 提取公钥和私钥（可以把公钥存储到服务器数据库）
    let public_key = rsa.public_key_to_pem()?;
    let private_key = rsa.private_key_to_pem_pkcs8()?;

    println!("Public key:\n{}", String::from_utf8_lossy(&public_key));
    println!("Private key:\n{}", String::from_utf8_lossy(&private_key));

    // 验证：用相同密码和盐重新生成，应该得到完全相同的密钥对
    let rsa_again = generate_deterministic_rsa(password, salt, 2048)?;
    let public_key_again = rsa_again.public_key_to_pem()?;
    assert_eq!(public_key, public_key_again);

    Ok(())
}

关键注意事项： #

• 盐的管理：每个用户的盐必须唯一且随机，并且要和用户信息一起存储在服务器数据库中——不能所有用户共用同一个盐，否则会降低KDF的安全性。
• KDF参数选择：示例中用了PBKDF2和100000次迭代，实际生产环境中建议使用更安全的Argon2，并根据服务器性能调整内存成本和迭代次数，确保暴力破解的成本足够高。
• 密码强度：这种方案的安全性完全依赖用户密码的强度，如果用户用弱密码，攻击者可以通过暴力破解密码来派生密钥，所以必须要求用户使用强密码。
• 密钥更新：如果用户修改密码，派生的种子会变化，生成的密钥对也会不同——此时需要将新的公钥更新到服务器数据库中。

内容的提问来源于stack exchange，提问作者炸鱼薯条德里克