使用php加密大文件的最佳方法

Question

我正在开发一个php项目,需要加密用户上传的文件.这个文件可以从1mb到200mb或多或少.在网上搜索,我得出的结论是,最好的方法是将文件分成4096字节的块.所以我加密每个块并将其附加到完整的加密文件.我实际上在CBC模式下使用mcrypt和AES-256加密.

所以,我的问题是:1)我必须为每个块创建一个新的初始向量,或者我可以获得前一个块的最后一个块的最后16个字节作为当前块的第一个块的初始向量？这将导致只有一个iv附加在加密文件的开头,而不是一个iv用于在加密的块之前附加的每个块.

2)为了添加HMAC认证.这个问题与前一个问题有关.我应该为整个文件添加它还是为每个块添加它.在这种情况下,对整个文件执行此操作是一个问题,因为它通常是在文件的开始处添加的,并且在加密文件完成之前我无法计算hmac.

3)与此相关.对于文件下载,最好是解密(以块为单位)并同时向用户发送文件,还是先解密然后再发送？

谢谢

Answer 1

您应该加密文件流并让 PHP 处理一切。特别是加密过滤器与stream_filter_append结合起来可以做你想做的事。然后，您只需读取纯文本文件的块并将它们写入输出文件流。过滤器导致加密发生。

这样，您就不会重新发明轮子，并且使用可能已经过安全问题审核的代码。

对于 hmac，大多数库都允许您不断向 hmac 添加数据，直到调用 Finalize 或类似的操作。然后你会读取密文块，将它们添加到 hmac 中。重复此操作，直到整个密文已添加到 hmac 中并最终确定。

或者，在服务器上安装 openssl 并从 PHP 中调用 openssl 函数。您可以使用经过身份验证的密码模式等。

Answer 2

我有几乎相同的问题。这是我找到的解决方案。

<?php

$filecrypt = new filecrypt();

class filecrypt{

    var $_CHUNK_SIZE;

    function __construct(){
        $this->_CHUNK_SIZE = 100*1024; // 100Kb
    }

    public function encrypt($string, $key){
        $key = pack('H*', $key);
        if (extension_loaded('mcrypt') === true) return mcrypt_encrypt(MCRYPT_BLOWFISH, substr($key, 0, mcrypt_get_key_size(MCRYPT_BLOWFISH, MCRYPT_MODE_ECB)), $string, MCRYPT_MODE_ECB, mcrypt_create_iv(mcrypt_get_iv_size(MCRYPT_BLOWFISH, MCRYPT_MODE_ECB), MCRYPT_RAND));
        return false;
    }

    public function decrypt($string, $key){
        $key = pack('H*', $key);
        if (extension_loaded('mcrypt') === true) return mcrypt_decrypt(MCRYPT_BLOWFISH, substr($key, 0, mcrypt_get_key_size(MCRYPT_BLOWFISH, MCRYPT_MODE_ECB)), $string, MCRYPT_MODE_ECB, mcrypt_create_iv(mcrypt_get_iv_size(MCRYPT_BLOWFISH, MCRYPT_MODE_ECB), MCRYPT_RAND));
        return false;
    }

    public function encryptFileChunks($source, $destination, $key){
        return $this->cryptFileChunks($source, $destination, $key, 'encrypt');
    }

    public function decryptFileChunks($source, $destination, $key){
        return $this->cryptFileChunks($source, $destination, $key, 'decrypt');
    }

    private function cryptFileChunks($source, $destination, $key, $op){

        if($op != "encrypt" and $op != "decrypt") return false;

        $buffer = '';
        $inHandle = fopen($source, 'rb');
        $outHandle = fopen($destination, 'wb+');

        if ($inHandle === false) return false;
        if ($outHandle === false) return false;

        while(!feof($inHandle)){
            $buffer = fread($inHandle, $this->_CHUNK_SIZE);
            if($op == "encrypt") $buffer = $this->encrypt($buffer, $key);
            elseif($op == "decrypt") $buffer = $this->decrypt($buffer, $key);
            fwrite($outHandle, $buffer);
        }
        fclose($inHandle);
        fclose($outHandle);
        return true;
    }

    public function printFileChunks($source, $key){

        $buffer = '';
        $inHandle = fopen($source, 'rb');

        if ($inHandle === false) return false;

        while(!feof($inHandle)){
            $buffer = fread($inHandle, $this->_CHUNK_SIZE);
            $buffer = $this->decrypt($buffer, $key);
            echo $buffer;
        }
        return fclose($inHandle);
    }
}

?>

用法：

<?php
    $key = '3da541559918a808c2402bba5012f6c60b27661c'; // Your encryption key
    $filecrypt->encryptFileChunks('I-still-loooove-hula-hoop.gif', 'encrypted.gif', $key);
    $filecrypt->decryptFileChunks('encrypted.gif', 'decrypted.gif', $key);
?>