Инструмент расшифровки AES — совместим с OpenSSL и CryptoJS

Как работает расшифровка AES

// AES-256-GCM decrypt with a passphrase (PBKDF2-HMAC-SHA256, 600,000 iterations).
// Identical code runs in the browser and in Node.js 20+ via Web Crypto.
async function aesGcmDecrypt(base64, passphrase) {
  const enc = new TextEncoder();
  const packed = Uint8Array.from(atob(base64), (c) => c.charCodeAt(0));
  const salt = packed.slice(0, 16), iv = packed.slice(16, 28); // salt(16) | iv(12)
  const ct = packed.slice(28);                                 // ciphertext + tag
  const baseKey = await crypto.subtle.importKey(
    'raw', enc.encode(passphrase), 'PBKDF2', false, ['deriveKey']);
  const key = await crypto.subtle.deriveKey(
    { name: 'PBKDF2', salt, iterations: 600000, hash: 'SHA-256' },
    baseKey, { name: 'AES-GCM', length: 256 }, false, ['decrypt']);
  const plain = await crypto.subtle.decrypt(
    { name: 'AES-GCM', iv }, key, ct);        // throws if the tag fails
  return new TextDecoder().decode(plain);     // recovered plaintext
}

Ключевые возможности

Примеры расшифровки AES

соль(16) ‖ IV(12) ‖ шифротекст ‖ тег(16), Base64 — со страницы шифрования

Быстрая бурая лиса перепрыгивает через ленивого пса.

U2FsdGVkX18AESIzRFVmd1PBwxIFQpF+VgIhTK0aDHQ=

Attack at dawn!

Как расшифровать шифротекст AES

1. 1

   Вставьте шифротекст

   Поместите ваш шифротекст в Base64 или Hex в поле ввода. Если он начинается с U2FsdGVkX1, инструмент помечает его как формат OpenSSL/CryptoJS и предлагает переключиться в нужный режим.

2. 2

   Задайте формат и режим

   Для самодостаточной строки из этого инструмента оставьте режим «Парольная фраза» и подходящий GCM/CBC/CTR. Для вывода OpenSSL/CryptoJS примите переключение (CBC + парольная фраза). Для данных с необработанным ключом выберите «Необработанный ключ» и кодировку, а также укажите IV, если он не добавлен впереди.

3. 3

   Выберите функцию формирования ключа

   В режиме OpenSSL выберите PBKDF2 (и число его итераций), EVP-SHA256 или EVP-MD5 в соответствии с тем, как был выведен ключ. EVP-MD5 — это тот, который использует CryptoJS.

4. 4

   Введите парольную фразу или ключ

   Введите точную парольную фразу или вставьте точный необработанный ключ в hex или Base64. Открытый текст появится справа, как только всё совпадёт.

5. 5

   Прочитайте диагностику при неудаче

   Если расшифровка завершается ошибкой, панель называет вероятную причину — неверный IV, неверный ключ, ошибку дополнения, засорение base64 или несовпадение KDF, — чтобы вы могли менять по одной настройке за раз вместо угадывания.

Почему расшифровка AES не удаётся — и как это исправить

mode: CBC        // but the data was encrypted with GCM
=> Authentication failed

mode: GCM, same passphrase and key size as encryption
=> plaintext

iv: 00000000000000000000000000000000   (wrong IV)
=> first block corrupt, rest readable

iv: (the exact IV used to encrypt)
=> Attack at dawn!

passphrase: hunter3   // one character off
=> padding error

passphrase: hunter2   // exact
=> plaintext

“U2FsdGVkX1...”   (curly quotes and trailing junk copied in)

U2FsdGVkX18AESIzRFVmd1PBwxIFQpF+VgIhTK0aDHQ=   (clean Base64)

OpenSSL compatible: off
input: U2FsdGVkX1...
=> cannot parse

OpenSSL compatible: on, KDF chosen
=> plaintext

KDF: PBKDF2       // CryptoJS ciphertext
=> padding error

KDF: EVP-MD5      // matches CryptoJS
=> plaintext

Что можно делать с расшифровкой AES

Расшифровка вывода openssl enc

Прочитайте блок Salted__, созданный openssl enc -aes-256-cbc, без обращения к терминалу: вставьте Base64, введите парольную фразу, выберите KDF и получите открытый текст.

Расшифровка шифротекста CryptoJS

Восстановите данные из устаревшего приложения, использовавшего CryptoJS AES.encrypt(text, passphrase). Выберите EVP-MD5, чтобы соответствовать его однопроходному формированию ключа на MD5 — шаг, который упускают большинство людей.

Отладка постоянно неудачной расшифровки

Когда ваш собственный код не может что-то расшифровать, вставьте это сюда, чтобы с помощью панели диагностики выяснить, в чём проблема — в ключе, IV, режиме, кодировке или KDF.

Проверка цикла шифрования

Убедитесь, что шифротекст со страницы шифрования AES или из вашего приложения расшифровывается обратно в точности в исходные байты.

Разобраться в неизвестном шифротексте

Определите формат по его виду — префикс U2FsdGVkX1 или префикс фиксированной длины, похожий на IV, — и выясните, как он был получен, прежде чем пробовать ключ.

Внутреннее устройство и форматы расшифровки AES

Расшифровка GCM — аутентифицированная

GCM заново вычисляет 128-битный тег по шифротексту и сравнивает его перед тем, как вернуть открытый текст; при несовпадении происходит ошибка вместо утечки повреждённых данных. Используется 96-битный IV, добавленный впереди. Ошибка GCM означает, что неверен ключ, режим, IV или шифротекст — шифр не может сказать, что именно, только то, что аутентификация не прошла.

Расшифровка CBC — следите за первым блоком и дополнением

У CBC есть два различимых признака ошибки. Если испорчен только первый 16-байтовый блок, а остальное выглядит корректно, значит, неверен IV. Если бессмысленны все блоки, неверен ключ. Ошибка дополнения PKCS#7 обычно означает, что неверен ключ, либо шифротекст был повреждён или обрезан. У CBC нет тега (в отличие от аутентифицированной конструкции вроде HMAC), поэтому неверный ключ может даже расшифроваться в правдоподобно выглядящие байты.

Расшифровка CTR — молчаливая при ошибке

CTR никогда не выдаёт ошибку: неверный ключ просто даёт бессмысленные данные, что обычно проявляется как ошибка «недопустимый UTF-8» при попытке декодировать байты в текст. Точно сопоставляйте счётчик/IV. Поскольку проверки целостности нет, относитесь с подозрением к любому выводу CTR, который вы не аутентифицировали отдельно.

Раскладки шифротекста (F1 / F2 / F3)

Формат 1 (парольная фраза) — это соль(16), затем IV, затем шифротекст, с добавленным 16-байтовым тегом GCM в режиме GCM. Формат 2 (необработанный ключ) — это IV, затем шифротекст, либо «голый» шифротекст с отдельно указанным IV. Формат 3 (OpenSSL) — это ASCII-заголовок Salted__, затем 8-байтовая соль, затем шифротекст. Знание того, какая у вас раскладка, подсказывает инструменту, где находятся соль и IV, а сам необработанный ключ должен поступать из CSPRNG — см. генератор секретных ключей.

Формирование ключа: соответствие тому, чем данные были зашифрованы

Для самодостаточного шифротекста с парольной фразой этот инструмент использует PBKDF2-HMAC-SHA256 при 600 000 итераций. Для шифротекста OpenSSL/CryptoJS нужно выбрать использованный KDF: PBKDF2 (значение по умолчанию для openssl -pbkdf2 — 10 000 итераций — задайте точное число), EVP_BytesToKey с SHA-256 (openssl 1.1+ без -pbkdf2), либо EVP_BytesToKey с MD5 и одним проходом (CryptoJS и openssl 1.0.2 и более ранние версии). Классическая ошибка «не расшифровывается» — это шифротекст CryptoJS или старого openssl, испробованный с SHA-256, — переключитесь на EVP-MD5, и всё сработает.

Лучшие практики расшифровки AES

Начните с определения формата

Прежде чем менять настройки, посмотрите на шифротекст. Префикс U2FsdGVkX1 означает OpenSSL/CryptoJS; самодостаточная строка из этого инструмента — формат парольной фразы; «голый» блок обычно требует необработанного ключа и отдельного IV.

Точно подберите функцию формирования ключа

Для шифротекста OpenSSL/CryptoJS KDF так же важен, как и парольная фраза. Если PBKDF2 не срабатывает, попробуйте EVP-MD5 (CryptoJS, старый openssl); число итераций тоже должно совпадать, а не только алгоритм.

Вставляйте шифротекст без искажений

Случайные переносы строк или пробелы при копировании могут повредить Base64. Этот инструмент удаляет пробельные символы, но если декодирование всё равно не удаётся, проверьте фигурные кавычки, пропущенные символы или обрезанную копию. Наш инструмент Base64 поможет проверить подозрительную строку.

Честно оценивайте результат с неверным ключом

С CTR или CBC неверный ключ может выдать байты вместо ошибки. Если результат выглядит бессмысленным или не проходит проверку UTF-8, значит, неверен ключ или IV — не доверяйте частично правдоподобному результату.

Никогда не отправляйте секретный шифротекст или ключи на сервер

Смысл расшифровки в браузере в том, что ничего не покидает страницу. Избегайте инструментов, которые что-то загружают; этот использует Web Crypto локально, и вы можете убедиться в этом через вкладку «Сеть» или отключившись от интернета. AES-256 надёжен — одобрен CNSA 2.0 для уровня TOP SECRET, — поэтому если расшифровка не удаётся, проблема в параметрах, а не в шифре.

FAQ по расшифровке AES