Rubyで暗号化してJavaで復号がしたい

Question

前提・実現したいこと

プログラミング初心者です。よろしくお願いします。
Rubyで暗号化して、Javaで復号するプログラムを作りたいのですが上手くいきません…
Javaで復号しようとすると、以下のエラーメッセージが出てしまい、困っています。

発生している問題・エラーメッセージ

Exception in thread "main" javax.crypto.AEADBadTagException: Tag mismatch!
        at com.sun.crypto.provider.GaloisCounterMode.decryptFinal(GaloisCounterMode.java:620)
        at com.sun.crypto.provider.CipherCore.finalNoPadding(CipherCore.java:1116)
        at com.sun.crypto.provider.CipherCore.fillOutputBuffer(CipherCore.java:1053)
        at com.sun.crypto.provider.CipherCore.doFinal(CipherCore.java:853)
        at com.sun.crypto.provider.AESCipher.engineDoFinal(AESCipher.java:446)
        at javax.crypto.Cipher.doFinal(Cipher.java:2168)
        at decrypted2.main(decrypted2.java:25)

該当のソースコード

# 暗号化するRubyファイル

require 'openssl'
require 'base64'

cipher = OpenSSL::Cipher.new('aes-256-gcm')
cipher.encrypt
iv = cipher.random_iv
key = cipher.random_key
auth_tag = 'authtag'
cipher.auth_data = auth_tag
plainText = 'my secret data'

cipherText = cipher.update(plainText) + cipher.final

# Javaに連携するデータを取得
p Base64.strict_encode64(cipherText) # -> "NzCmNt2+BO9xBOkdD6g="
p Base64.strict_encode64(iv) # -> "1xF2aTB8KP9JW4Dl"
p Base64.strict_encode64(cipher.auth_tag) # -> "m0m6f6XX6p+JxsfRtoa4DQ=="
p Base64.strict_encode64(key) # -> "3O3oUShs7SYm92SJGBHY4iwUDppMQctXDWMMzmMYBnU="

// 復号するJavaファイル
import java.util.Base64;
import javax.crypto.*;
import javax.crypto.spec.*;
import java.util.Arrays;

public class decrypted2 {

   public static void main(String[] args) throws Exception {
      byte[] cipherText = Base64.getDecoder().decode("NzCmNt2+BO9xBOkdD6g="); // encrypted data
      byte[] myIv = Base64.getDecoder().decode("1xF2aTB8KP9JW4Dl"); // iv
      byte[] auth_tag = Base64.getDecoder().decode("m0m6f6XX6p+JxsfRtoa4DQ=="); // auth_tag
      int myTLen = 128; // auth_tagビット長（16バイト）
      byte[] secretKey = Base64.getDecoder().decode("3O3oUShs7SYm92SJGBHY4iwUDppMQctXDWMMzmMYBnU"); // secretKey
      SecretKeySpec myKey = new SecretKeySpec(secretKey, "AES");

      // 暗号化後文字列とauth_tagを連結する
      byte[] ciTxt_tag = new byte[cipherText.length + auth_tag.length];
      System.arraycopy(auth_tag, 0, ciTxt_tag, 0, auth_tag.length);
      System.arraycopy(cipherText, 0, ciTxt_tag, auth_tag.length, cipherText.length);

      GCMParameterSpec myParams = new GCMParameterSpec(myTLen, myIv);
      Cipher c = Cipher.getInstance("AES/GCM/NoPadding");
      c.init(Cipher.DECRYPT_MODE, myKey, myParams);

      byte[] recoveredText = c.doFinal(ciTxt_tag);

      System.out.println("復号後の文字列： " + recoveredText);
    }
}

試したこと

ここに問題に対して試したことを記載してください。

補足情報（FW/ツールのバージョンなど）

ruby 2.5.0p0
java version "1.8.0_311"

Comments

[jimbe]

「複合」では無く「復号」では・・・

[jimbe]

コードはファイル毎に分けてそれぞれにマークダウン記法を適用してください。

[yuri_program]

jimbeさん
ご指摘ありがとうございます。
・誤字を訂正しました
・コードをファイル毎に分けて、それぞれマークダウン記法としました

[jimbe]

修正ありがとうございます。

[jimbe]

暗号の各用語から分かっていないのですが(^^;スイマセン) コードの見た目(?) からして、 auth_tag 配列は myTLen 分のバイト数が必要なのではないでしょうか。元の文字列が短かった場合に残りのバイトに何が入るべきなのかは分からないのですが・・・。

[jimbe]

ごめんなさい、 myTLen のコメントに惑わされてしまいました。
GCMParameterSpec の第一パラメータですのでバイトでなくビットでした。

[yuri_program]

jimbeさん
ありがとうございます。
すみません、16バイトですね。コメントが良くなかったです…
復号のときに、doFinalに暗号化後文字列とauth_tagを連結して渡しているのですが、
これが合っているのかよくわからないんです…う〜ん…

[jimbe]

とりあえず java で Ruby と同じ暗号化が出来ればその復号化を書けるかと思って暗号化を試したりしているのですが、如何せん暗号の知識がどうにも^^;

[jimbe]

Ruby のほうですが ( 暗号に続き Ruby も分かりません orz )、如何によると

[[Ruby] AES GCM による暗号化 / 復号化の実装方法](https://noknow.info/it/ruby/implement_encryption_decryption_by_aes_gcm?lang=ja )

auth_tag と auth_data は別物のようなのですが、どうなのでしょうか。

[yuri_program]

jimbeさん
すみません、私もそんなに暗号化詳しくはなくて…
auth_tag と auth_data は別物で、今回は auth_data を使っていないと考えてもらって、たぶん大丈夫だと思います。

[jimbe]

しかし、

> cipher.auth_data = auth_tag

とされていますけど・・・

cipher.auth_tag = auth_tag

なのでしょうか。

[yuri_program]

jimbeさん
申し訳ありません！
jimbeさんが仰る通りでした…
> cipher.auth_data = auth_tag
これは間違いでした…回答頂いた方にコメントいたします。

[jimbe]

この修正で各結果文字列が変わったりはしないでしょうか。

[yuri_program]

jimbeさん
そうですね…変わってしまいます。
取得し直しました><

Answer 1

※まだ回答になっていません。

2 Java暗号化アーキテクチャ(JCA)リファレンス・ガイド の「例2-2 GCMモードでAES Cipherを使用するサンプル・コード」を元に以下のコードで暗号化を試した所、

  static void sampleGcmAesEnctipt() {
    byte[] key = Base64.getDecoder().decode("3O3oUShs7SYm92SJGBHY4iwUDppMQctXDWMMzmMYBnU"); // secretKey
    SecretKey myKey = new SecretKeySpec(key, "AES");

    byte[] plainText = "my secret data".getBytes();
    int myTLen = 128;
    byte[] myIv = Base64.getDecoder().decode("1xF2aTB8KP9JW4Dl"); // iv

    try {
      GCMParameterSpec myParams = new GCMParameterSpec(myTLen, myIv);
      Cipher c = Cipher.getInstance("AES/GCM/NoPadding");
      c.init(Cipher.ENCRYPT_MODE, myKey, myParams);

      byte[] cipherText = new byte[c.getOutputSize(plainText.length)];
      int actualOutputLen = c.doFinal(plainText, 0, plainText.length, cipherText);

      System.out.println("actualOutputLen="+actualOutputLen);
      System.out.println("cipherText="+Arrays.toString(cipherText));
      System.out.println("base64="+new String(Base64.getEncoder().encode(cipherText)));
    } catch (Exception e) {
      e.printStackTrace();
    }
  }

結果

actualOutputLen=30
cipherText=[55, 48, -90, 54, -35, -66, 4, -17, 113, 4, -23, 29, 15, -88, -68, 4, 45, 13, -83, 4, 79, -118, 106, 35, -22, -33, 32, -64, -28, -78]
base64=NzCmNt2+BO9xBOkdD6i8BC0NrQRPimoj6t8gwOSy

となりまして、base64 の前のほうは

p Base64.strict_encode64(cipherText) # -> "NzCmNt2+BO9xBOkdD6g="

とほぼ同じになりました。
auth のデータを(まだ)渡していないはずですが、続く部分は何でしょう。

Comments

[yuri_program]

jimbeさん
ありがとうございますっ！
たぶんですけど、Javaの方は続く部分が auth_tag かもしれません…

dofinalの説明をみたら、暗号化の際は認証タグが追加されると書いてありました（※）
Javaの方は勝手に auth_tag が付いてくるのでしょうか…

※こちらです。
https://docs.oracle.com/javase/jp/8/docs/api/javax/crypto/Cipher.html

Rubyの方は auth_tag が付かないみたいなので、連結してJavaに渡してみましたがダメでした…

[jimbe]

byte[] auth_tag = Base64.getDecoder().decode("m0m6f6XX6p+JxsfRtoa4DQ=="); // auth_tag

を c.updateAAD(auth_tag); として暗号化・base64化してみたのですが、

actualOutputLen=30
cipherText=[55, 48, -90, 54, -35, -66, 4, -17, 113, 4, -23, 29, 15, -88, 97, 65, -67, -38, 71, 55, 76, -16, 2, -115, -5, 115, -103, -112, -3, -13]
base64=NzCmNt2+BO9xBOkdD6hhQb3aRzdM8AKN+3OZkP3z

で、後半が auth_tag なのか分かりません。どうも違うような…^^;;;

[yuri_program]

jimbeさん
jimbeさんのお陰でJavaで復号することができました。
私のコードですが、２箇所間違いがありました…

1つ目のRubyの方ですが、
> auth_tag = 'authtag'
> cipher.auth_data = auth_tag
これは誤りでした。auth_tag と勘違いして auth_dataを設定？していました。
なので、コメントアウトしました。
# auth_tag = 'authtag'
# cipher.auth_data = auth_tag

2つ目のJavaの方ですが、
> System.arraycopy(auth_tag, 0, ciTxt_tag, 0, auth_tag.length);
> System.arraycopy(cipherText, 0, ciTxt_tag, auth_tag.length, cipherText.length);
順番が違いました…
暗号化後の文字列 + auth_tag となるように修正しました。
System.arraycopy(cipherText, 0, ciTxt_tag, 0, cipherText.length);
System.arraycopy(auth_tag, 0, ciTxt_tag, cipherText.length, auth_tag.length);

これで、Rubyで暗号化して、Javaで復号することができました！
本当にありがとうございます。
ベストアンサーとさせていただきます。

[jimbe]

おー、おめでとうございます。
ということは・・・?
暗号化には(見た目) auth が全く関与しないのに java では何か付いているということに?

[yuri_program]

jimbeさん
そうなんです…たぶん、この暗号モード？（aes-256-gcm）だと
auth_tag は勝手に付くみたいです。
Rubyも付いているみたいで、cipher.auth_tag を呼ぶと、付いている auth_tag が取れたので
それをJavaに渡して、暗号化後の文字列と連結して復号してあげると認証されるみたいです。
暗号復号に関しては、理解が浅くてすみません…

jimbeさんのお陰で、本当に助かりました。
ありがとうございます！

[jimbe]

いや、私も全然ですので・・・ま、まぁ、なんとかなったということで今から深堀すると大変そうなので、また機会ありましたら^^;;;
おつかれさまでした。