serde-encrypt

🔐 加密所有可序列化数据。

               Alice                                         Bob
+-----------------------------------+        +-----------------------------------+
| #[derive(Serialize, Deserialize)] |        | #[derive(Serialize, Deserialize)] |
| struct Message                    |        | struct Message                    |
+-----------------------------------+        +-----------------------------------+
                 | .encrypt()                                  ^
                 v                                             | ::decrypt()
+-----------------------------------+        +-----------------------------------+
| struct EncryptedMessage           |        | struct EncryptedMessage           |
+-----------------------------------+        +-----------------------------------+
                 | .serialize()                                ^
                 v                                             | ::deserialize()
+-----------------------------------+        +-----------------------------------+
| struct Vec<u8>                    | -----> | struct Vec<u8>                    |
+-----------------------------------+        +-----------------------------------+

概述

serde-encrypt 加密/解密任何实现 serde::{Serialize, Deserialize} 的 struct 和 enum。

serde-encrypt 支持两种加密方式：共享密钥加密（XChaCha20-Poly1305）和 公钥加密（使用 X25519 密钥交换的 XChaCha20-Poly1305），两者都被认为是足够安全的。

serde-encrypt 可在 no_std 环境中使用。

[dependencies]
serde-encrypt = "(version)"  # If you use std
serde-encrypt = {version = "(version)", default-features = false}  # If you need no_std

示例

来自 共享密钥加密测试 的良好入门示例。

如果你和你的同伴已经有了共享密钥，只需将 SerdeEncryptSharedKey 特征实现到你的 Serialize 和 Deserialize 数据类型中。

#[derive(Debug, Serialize, Deserialize)]
struct Message {
    content: String,
    sender: String,
}

impl SerdeEncryptSharedKey for Message {
    type S = BincodeSerializer<Self>;  // you can specify serializer implementation (or implement it by yourself).
}

然后，你可以将 Message 序列化为加密形式的 Vec<u8>。

    // Alternative:
    // const SHARED_KEY: SharedKey = SharedKey::new_const([0u8; 32]); 
    let shared_key = SharedKey::new([0u8; 32]); // or your peer reads from elsewhere.

    let msg = Message {
        content: "I ❤️ you.".to_string(),
        sender: "Alice".to_string(),
    };
    let encrypted_message = msg.encrypt(&shared_key)?;
    let serialized_encrypted_message: Vec<u8> = encrypted_message.serialize();

你的同伴收到二进制文件后，可以解密并反序列化为 Message。

    let shared_key = SharedKey::new([0u8; 32]);

    let encrypted_message = EncryptedMessage::deserialize(serialized_encrypted_message)?;
    let msg = Message::decrypt_owned(&encrypted_message, &shared_key);

更多示例...

• 👀 加密包含引用字段的 struct
• 🔑 生成共享密钥并安全地与同伴交换。然后，使用共享密钥加密/解密消息。
• 📚 加密/解密复杂的 serde 类型

功能和用例

功能比较

(*1) 确定性加密总是从给定的明文生成相同的密文。虽然更易受攻击但可用于密文中的相等匹配（例如，RDBMS的加密索引等搜索）。

加密算法

(*2) "一次使用数字"：使加密非确定性。虽然每次加密的nonce不是秘密的，但为了使攻击者更难猜测明文，不同加密之间的nonce必须不同。

(*3) 随机数生成器。

序列化器

Crate用户可以选择并自己实现设计中的序列化表示。

目前，以下序列化器是内置的。

• BincodeSerializer（仅std功能）
  • 对于大多数情况，是std的最佳选择，可以减少消息大小。
• PostcardSerializer
  • 对于大多数情况，是no_std的最佳选择，可以减少消息大小。
• CborSerializer
  • 具有较大的消息大小，但可以处理复杂的serde类型。请参阅加密/解密复杂serde类型的示例，以检查只有CborSerializer可以序列化的serde类型。
  • 在serde-encrypt-sgx中唯一的可用选择。
    • bincode和postcard crate都无法与Rust SGX SDK编译

用例

• SerdeEncryptSharedKey
  • 消息发送者和接收者都已经持有共享密钥。
  • 需要通过任何安全方式交换共享密钥，但希望加密/解密速度快（例如，交换大量消息）。
• SerdeEncryptSharedKeyDeterministic
  • 只有当您需要用于密文中相等匹配的确定性加密时。
  • 请注意，这比SerdeEncryptSharedKey更易受攻击，因为攻击者可以在密文中找到重复的模式，然后猜测明文中的重复模式。
• SerdeEncryptPublicKey
  • 用于交换SharedKey。
  • 快速发送/接收少量消息，无需秘密共享密钥。

Rust SGX SDK支持

使用serde-encrypt-sgx crate。

功能标志

• std（serde-encrypt [默认] ; serde-encrypt-core [默认]）
  • std::error::Error trait实现到serde_encrypt::Error。
  • 随机数生成器通过SeedableRng::from_entropy()创建，这在OS可用环境中被认为更安全。
  • BincodeSerializer可用。