远程存储密码保护私钥

Question

我想知道是否有这样的协议。

这个想法是在服务器上有一些加密的数据。

现在我想找到满足以下要求的协议。

1. 由于积极的密钥管理是超出了大多数用户愿意忍受，密码保护的密钥存储在服务器上。

2. 服务器应该无法解密数据。即无法学习密码

3. 第三方不应该能够访问密码保护密钥，因为他们不知道密码。

4. 应该只有一个密码。用2个密码解决这个问题是微不足道的。一个下载受保护的密钥，一个解密密钥

该解决方案可能涉及某种知识密码的零知识证明。

Answer 1

使用相同的密码生成多个密钥和身份验证哈希没有任何问题。无论如何，您都不应该将真正的密码发送到服务器。你想先通过PBKDF2发送它。我的认证通常的建议是这样的：

salt = static-per-app-token + username 
key = PBKDF2(salt, password, > 10000 iterations) 
send key to server 
on server: finalkey = SHA512(key) // This step keeps someone who steals your auth database from logging in 
compare finalkey to database 

鉴于该程序，你可以修改PBKDF2一步的两倍，只要你需要生成一个密钥。顶部的X字节用于验证，底部的X字节用于解密。 PKBDF2可以根据需要创建任意数量的字节，并且只有一半的字节不能帮助您找出另一半。

对于您的特定问题，这可能是最方便和最好的表现。您也可以按照您的建议进行，并为PBKDF2使用两种不同的盐。这也很好。计算需要两倍的时间。如果这不是问题，那么这是一个非常简单的解决方案，根据您的代码可能会更方便。

但是我们只是想讨论另一个步骤，假设您没有密码。你有一个（随机）键，并且你想从中创建独立的键。或者你已经有了PBKDF2的输出，并且想把它扩展到更多的键。在这种情况下，您可以使用HKDF来扩展密钥。这个过程很简单（||手段“串连”）：

prk = psuedorandom key (your input key) 
info = some-random-token || username 
T(0) = empty string (zero length) 
T(1) = HMAC-Hash(PRK, T(0) | info | 0x01) 
T(2) = HMAC-Hash(PRK, T(1) | info | 0x02) 
T(3) = HMAC-Hash(PRK, T(2) | info | 0x03) ... 

您继续建立T（n）的，直到你有你所有的按键足够的字节。您将所有T（n）结果粘合在一起，并将其切片以将您的密钥取出。这比PBKDF2快得多，并且可以应用于PBKDF2的输出。

查看RNCryptor v4 spec，了解将单个密码扩展为一堆不同密钥和随机值的过程示例。

密码仍然很糟糕，而且这些都不能修复严重选择的密码，但如果密码合理难以猜测，那么至少会将卡片堆叠在您的偏好之内。