Day 31: std.crypto模块：加密基础

1. 引言

欢迎来到第三十一天，我们正式开启标准库深入学习的第二阶段！今天，我们将涉足一个至关重要的领域：加密（Cryptography）。std.crypto 模块为Zig开发者提供了一系列经过验证的、安全的加密原语。在现代软件开发中，无论是保护用户数据、验证信息完整性，还是确保安全通信，加密都扮演着核心角色。std.crypto 的目标不是提供所有可能的加密算法，而是提供一组经过精心挑选的、被广泛认为是安全和高效的基础工具。今天，我们将学习其中的哈希函数和对称加密基础。

警告：加密是一个极其复杂的领域。除非你是该领域的专家，否则强烈建议不要自己“发明”加密协议。应始终使用经过公开审查和广泛接受的标准算法和库。std.crypto 提供了这些安全的积木，但如何正确地将它们组合起来同样至关重要。

2. 密码学哈希函数

我们在第29天学习 std.hash 时已经接触过哈希。std.crypto 提供了专门为密码学安全设计的哈希函数。与普通哈希函数不同，密码学哈希函数有更强的特性：

抗碰撞性：极难找到两个不同的输入，它们能产生相同的哈希值。
抗原像性：从一个哈希值，极难反推出原始的输入数据。

std.crypto.hash 提供了多种标准算法，如 Sha256, Sha512 等。

const std = @import("std");

const data = "hello world";
var hash: [32]u8 = undefined; // SHA-256的输出是32字节

std.crypto.hash.Sha256.hash(data, &hash, .{});

std.debug.print("{h}\n", .{hash}); // {h} 格式化为十六进制字符串

3. 对称加密

对称加密使用同一个密钥进行加密和解密。它速度快，适合加密大量数据。std.crypto.auth.aes 提供了高级加密标准（AES）的实现，这是目前最流行和最安全的对称加密算法之一。

AES是一个分组密码，它将数据分成固定大小的块（AES是16字节）进行加密。为了加密任意长度的数据，需要使用一种“工作模式”，如 GCM (Galois/Counter Mode)。GCM 是一种认证加密模式，它在加密的同时还能生成一个认证标签（tag），用于验证数据的完整性和真实性，能有效防止数据被篡改。

const std = @import("std");

// 密钥必须是16, 24, 或 32 字节
const key: [32]u8 = ...;
// nonce (number used once) 每次加密都必须是唯一的！
const nonce: [12]u8 = ...;

const plaintext = "my secret data";
var ciphertext: [plaintext.len]u8 = undefined;
var tag: [16]u8 = undefined;

// 加密
std.crypto.auth.aes.gcm_encrypt(&tag, &ciphertext, plaintext, nonce, key, null);

// 解密
var decrypted: [plaintext.len]u8 = undefined;
if (std.crypto.auth.aes.gcm_decrypt(&decrypted, &ciphertext, tag, nonce, key, null)) {
    // 解密成功且认证通过
} else {
    // 认证失败！数据可能被篡改
}

4. 安全的随机数

加密操作（如生成密钥、nonce）绝对依赖于高质量的、不可预测的随机数。std.crypto.random 模块提供了从操作系统获取密码学安全随机数的接口。

var key: [32]u8 = undefined;
std.crypto.random.bytes(&key);

绝不要使用 std.rand 中的伪随机数生成器（如 DefaultPrng）来生成用于加密的密钥或nonce，因为它们的输出是可预测的。

5. 示例：安全的密码哈希

直接存储用户密码是极其危险的。正确的做法是存储密码的哈希值。为了防止彩虹表攻击，我们还需要为每个密码添加一个唯一的“盐”（salt）。std.crypto.pwhash 提供了专门用于密码哈希的算法，如 Argon2。

const std = @import("std");

const password = "pa55w0rd";
const salt: [16]u8 = undefined;
std.crypto.random.bytes(&salt);

var hash: [32]u8 = undefined;

// 使用Argon2id进行密码哈希
try std.crypto.pwhash.argon2.argon2id(&hash, password, salt, .{
    .t_cost = 1,
    .m_cost = 1 << 16, // 64MB
    .parallelism = 1,
});

// 在验证时，使用相同的salt和参数重新计算哈希，然后比较结果

6. 实践练习：使用AES-GCM加密一个文件

编写一个程序，完成以下任务：

生成一个随机的32字节密钥和一个12字节的nonce。
将密钥和nonce保存到文件中（在真实应用中，密钥管理要复杂得多！）。
读取一个输入文件 plaintext.txt。
使用AES-256-GCM模式加密文件内容。
将加密后的 ciphertext 和 tag 写入到 encrypted.bin 文件中。

7. 常见问题

问：我应该如何管理我的密钥？

答：密钥管理是加密中最困难的部分。将密钥硬编码在代码中是绝对不安全的。在生产环境中，通常会使用专门的密钥管理服务（KMS），如 AWS KMS 或 HashiCorp Vault。对于本地应用，可以使用操作系统的安全存储（如macOS的Keychain或Windows的DPAPI）。

问：什么是侧信道攻击（Side-Channel Attack）？

答：侧信道攻击是一种通过观察加密算法在执行过程中的物理表现（如功耗、执行时间、电磁辐射）来推断密钥信息的攻击方式。std.crypto 中的一些实现被设计为“恒定时间”（constant-time）执行，这意味着它们的执行时间不依赖于输入数据的内容，这有助于抵抗基于时间的侧信道攻击。

8. 总结

今天，我们对 std.crypto 模块进行了初步探索。我们学习了密码学哈希、对称加密（特别是AES-GCM）和安全随机数生成的基本概念和用法。我们还了解了安全的密码哈希实践。加密是一个需要极其谨慎对待的领域，Zig标准库为我们提供了坚实、安全的基础。请记住，安全不仅仅是使用正确的算法，更在于如何正确、安全地使用和管理它们。

明天，我们将学习如何在Zig中处理一种非常常见的数据格式：std.json模块：JSON解析。