Библиотека Шифрования 

Инициализация класса 

Как и большинство классов CodeIgniter, библиотека шифрования инициализируется в контроллере с помощью $this->load->library() метода:

$this->load->library('encryption');

После загрузки библиотеки шифрования, объект будет доступен через:

$this->encryption

Поведение по умолчанию 

По умолчанию, Библиотека шифрования будет использовать AES-128 шифр в CBC режиме, с помощью настроенного encryption_key и SHA512 HMAC проверки подлинности (аутентификации).

Однако encryption_key не используется "как есть".

Если вы немного знакомы с криптографией, то уже должны знать, что код HMAC также требует секретный ключ, и что использование одного и того же ключа для шифрования и аутентификации является плохой практикой.

Исходя из этого, два отдельных ключа созданы от уже настроенного encryption_key: один для шифрования и один для аутентификации. Это делается с помощью метода, называемого HMAC-функции формирования ключа (HKDF).

Установка encryption_key 

Ключ шифрования - это фрагмент информации, который управляет криптографическими процессом и позволяет зашифровать строку с обычным текстом, и потом - расшифровать. Этот секретный “ингредиент”, на протяжении всего процесса позволяет быть единственным, кто способен расшифровать данные, которые вы решили скрыть от глаз общественности. Ключ, который используется для шифрования данных, обеспечивает единственные средства для их расшифровки, поэтому вы должны не только внимательно его выбирать, но и не должны потерять его, что приведет к потере доступа к данным.

Следует отметить, что для обеспечения максимальной безопасности, такой ключ должен быть не только максимально прочными, но и также часто меняться. Такое поведение, конечно редко практикуется или есть возможность его реализовать, и именно поэтому у CodeIgniter дает вам возможность настроить один ключ, который будет использоваться (почти) каждый раз.

Само собой разумеется, что вы должны хранять ключ тщательно. Стоит кому-либо получить доступ к вашему ключу и данные будет легко расшифровать. Если ваш сервер не полностью под вашим контролем, невозможно обезопасить ключ безопасности, так что будьте внимательны перед использованием его для всего, что требует высокого уровня безопасности, например хранение номеров кредитных карт.

Ваш ключ шифрованиядолжен быть длинным, на сколько позволяет это алгоритм шифрования. Для AES-128 это 128 бит или 16 байт (символов) длина. В таблице ниже вы найдете поддерживаемые длины ключей различных шифров.

Ключ должен быть как можно более произвольным и НЕ ДОЛЖЕН быть ни обычной текстовой строкой ни результатом функции кеширования. В целях создания надлежащего ключа, необходимо использовать метод create_key() библиотеки шифрования.

// $key будет назначен 16-байтовым (128-бит) случайным ключом
$key = $this->encryption->create_key(16);

Ключ может храниться в application/config/config.php или вы можете создать свой собственный механизм хранения и передачи ключа динамически при шифровании/расшифровке.

Чтобы сохранить ваш ключ в application/config/config.php откройте файл и установите:

$config['encryption_key'] = 'ВАШ КЛЮЧ';

Вы заметите, что create_key() метод выводит двоичные данные, с которыми трудно иметь дело (т.е. копирование/вставка может привести к его повреждению), поэтому вы можете использовать bin2hex(), hex2bin() или Base64 кодирование для работы с ключом в более дружественной манере. Например:

// Получить hex-закодированное представление ключа:
$key = bin2hex($this->encryption->create_key(16));

// Установить одинаковые значения с конфигурацией и hex2bin(),
// так, что до сих пор данные передаются в библиотеку как двоичные:
$config['encryption_key'] = hex2bin(<your hex-encoded key>);

Поддерживаемые шифры и режимы шифрования 

Длина сообщения 

Важно знать, что зашифрованная строка, как правило, длинее, чем простая оригинальная текстовая строка (в зависимости от шифра).

Это влияет на сам алгоритм шифрования, IV пресоединяемый шифр-текст и the HMAC проверка подлинности сообщений, которые тоже присоединяются. Кроме того, зашифрованное сообщение тоже в base64 кодировке, так что оно безопасно для хранения и передачи, независимо от используемого набора символов.

Имейте эту информацию в виду при выборе механизма хранения данных. Куки, например, могут содержать только 4К информации.

Настройка библиотеки 

Для удобства использования, производительности, а также историческим причинам привязан к нашему старому классу шифрования, библиотека шифрования позволяет использовать многократно одни и те же драйвера, шифрование шифра, режим и ключ.

Как отмечалось в раздел выше “Поведение по умолчанию” означает использование автоопределение драйвера (OpenSSL имеет более высокий приоритет), AES-128 шифра в CBC режиме и $config['encryption_key'] значения.

Если вы хотите изменить это, то должны использовать initialize() метод. Он принимает ассоциативный массив параметров, каждый из которых являются необязательными:

Например, если вы решили изменить алгоритм шифрования и режим на AES-256 в CTR режиме, вот что вы должны сделать:

$this->encryption->initialize(
        array(
                'cipher' => 'aes-256',
                'mode' => 'ctr',
                'key' => '<a 32-character random string>'
        )
);

Обратите внимание, мы только предположили, что вы хотите изменить шифр и режим, но мы также добавили ключ в примере. Как отмечалось ранее, важно выбрать ключ с правильным размером для используемого алгоритма.

Есть также возможность менять драйвера, если по какой-то причине они у вас оба, но хотите использовать MCrypt вместо OpenSSL:

// Переключится на MCrypt драйвер
$this->encryption->initialize(array('driver' => 'mcrypt'));

// Переключится обратно на OpenSSL драйвер
$this->encryption->initialize(array('driver' => 'openssl'));

Шифрование и расшифровка данных 

Шифрование и расшифровка данных с уже настроенными параметрами библиотеки проста.Достаточно просто передать строку в encrypt() и/или decrypt() методы:

$plain_text = 'This is a plain-text message!';
$ciphertext = $this->encryption->encrypt($plain_text);

// Выводит: простые текстовые сообщения!
echo $this->encryption->decrypt($ciphertext);

И это всё! Библиотека шифрования сделает все необходимое на протяжении всего процесса, чтобы быть криптографически стойкой "из коробки". Вам не нужно беспокоиться об этом.

// Предположим, что мы имеем $ciphertext, $key и $hmac_key
// из внешнего источника

$message = $this->encryption->decrypt(
        $ciphertext,
        array(
                'cipher' => 'blowfish',
                'mode' => 'cbc',
                'key' => $key,
                'hmac_digest' => 'sha256',
                'hmac_key' => $hmac_key
        )
);