MongoDB Java - CMK 如何工作？/不同的密钥产生相同的结果

Question

MongoDB 提供称为客户端字段级加密(CSFLE) 的功能，允许应用程序在将数据存储到数据库之前对其进行加密。 顾名思义，如果需要，您可以为每个字段使用不同的数据加密密钥 (DEK) 单独控制文档的每个字段的加密。 这些 DEK 存储在名为 Key Vault 的集合中，其中实际的密钥材料使用名为客户主密钥 (CMK) 的密钥进行加密。 CMK 具有 96 字节的固定大小。 要从文档中读取加密字段，应用程序必须

1. 从数据库中获取文档
2. 从 Key Vault 中获取相应的 DEK
3. 使用 CMK 解密 DEK
4. 使用解密的 DEK 解密文档中的加密字段

存储加密字段使用相同的机制。 关键要素是 CMK，尤其是MongoDB 指出的安全性。
到目前为止，我对加密的理解是，较大的密钥通常会提供更高的安全性，并且您必须使用相同的密钥来解密已加密的内容。
但是，在使用 CSFLE 处理 Java 项目时，我注意到 MongoDB 的行为与我的预期不同：我可以使用不同的 CMK，但仍然可以获得有效的解密。 更准确地说，原始 CMK 的最后 32 个字节的任何更改都不会引发异常。 这怎么可能？ 这是故意的吗？ 我不明白这一点，所以我期待任何形式的解释。

如何复制

您可以从 MongoDB 复制示例代码来复制它。 我对代码做了一些调整（例如身份验证）

MongoClientSettings clientSettings = MongoClientSettings.builder()
        .uuidRepresentation(UuidRepresentation.STANDARD)
        .applyToClusterSettings(builder -> builder.hosts(Arrays.asList(new ServerAddress("localhost", 27017))))
        .credential(...).build();
ClientEncryptionSettings clientEncryptionSettings = ClientEncryptionSettings.builder()
        .keyVaultMongoClientSettings(MongoClientSettings.builder()
            .applyToClusterSettings(builder -> builder.hosts(Arrays.asList(new ServerAddress("localhost", 27017))))
            .credential(...).build())
        .keyVaultNamespace(keyVaultNamespace.getFullName()).kmsProviders(kmsProviders).build();

在后续运行中保留 DEK

BsonBinary dataKeyId = null;
List<String> keyAltNames = List.of("testCMK");
MongoCursor<Document> cursor = keyVaultCollection.find().iterator();
try {
    while (cursor.hasNext() && dataKeyId == null) {
        Document key = cursor.next();
        List<String> altNames = key.getList("keyAltNames", String.class);
        if (altNames != null) {
            for (String name : altNames) {
                if (name.contentEquals("testCMK")) {
                    dataKeyId = new BsonBinary(key.get("_id", UUID.class));
                    break;
                }
            }
        }
    }
    if (dataKeyId == null)
        dataKeyId = clientEncryption.createDataKey("local", new DataKeyOptions().keyAltNames(keyAltNames));
} finally {
    cursor.close();
}

并且只插入一次文档

if (collection.find().first() == null)
    collection.insertOne(new Document("encryptedField", encryptedFieldValue));
Document doc = collection.find().first();
// Explicitly decrypt the field
BsonValue decrypted = clientEncryption.decrypt(
        new BsonBinary(BsonBinarySubType.ENCRYPTED, doc.get("encryptedField", Binary.class).getData()));
System.out.println("decrypted: " + decrypted);

原始示例代码没有设置BsonBinarySubType导致clientEncryption.decrypt()什么都不做，因为传递的BsonBinary是类型 0（通用二进制）而不是 6（加密）。

生成主密钥
CMK 始终按如下方式生成

final byte[] localMasterKey = new byte[96];
for (int i = 0; i < localMasterKey.length; i++)
    localMasterKey[i] = (byte) (i + 1);

多次运行程序总是会产生相同的 output：

raw value: BsonString{value='123456789'}
decrypted: BsonString{value='123456789'}

现在通过添加localMasterKey[0] = 0; 在生成密钥的for循环之后。 运行程序将导致java.lang.reflect.InvocationTargetException com.mongodb.crypt.capi.MongoCryptException: HMAC validation failure
但是，如果我们改为添加localMasterKey[localMasterKey.length - 1] = 0; ，程序将再次产生

raw value: BsonString{value='123456789'}
decrypted: BsonString{value='123456789'}

我本以为会引发异常，但它会使用正确的值解密该字段。

总而言之，如果生成的主密钥在前 64 个字节中的任何一个与原始（第一个）主密钥不同，但在最后 32 个字节中的差异时成功，则加密/解密失败。 这不仅限于一个字节的差异——即使所有 32 个字节都不同，解密也有效。
这是为什么？