别再只懂HMAC了！用Python手撸一个AES-CMAC消息认证码（附完整代码）

从零实现AES-CMAC用Python构建更安全的认证体系消息认证码MAC是现代加密通信中不可或缺的一环。你可能已经熟悉HMAC但今天我们要探索一个更高效、更适合资源受限环境的替代方案——AES-CMAC。这种基于分组密码的认证机制被广泛应用于物联网设备、API签名和金融交易验证等场景。不同于理论教材的抽象描述我们将通过Python代码一步步拆解CMAC的核心逻辑让你真正掌握从子密钥生成到最终认证码计算的完整流程。1. 为什么选择CMAC而非HMAC在开始编码之前我们需要理解CMAC的独特价值。HMAC作为哈希函数基础上的认证方案虽然广泛使用但在某些特定场景下存在局限性资源效率CMAC基于分组密码如AES在硬件加速环境下性能更优确定性处理对于固定长度的消息CMAC的计算时间是确定的标准化认可被NIST特别出版物800-38B推荐符合FIPS认证要求# HMAC与CMAC的简单性能对比示意 import timeit from cryptography.hazmat.primitives import hashes, hmac def hmac_benchmark(): h hmac.HMAC(bkey, hashes.SHA256()) h.update(bmessage) h.finalize() def cmac_benchmark(): # 后续将实现的CMAC函数 aes_cmac(bkey, bmessage) print(HMAC-SHA256:, timeit.timeit(hmac_benchmark, number1000)) print(AES-CMAC:, timeit.timeit(cmac_benchmark, number1000))注意实际性能差异取决于硬件是否支持AES-NI指令集在支持硬件加速的设备上CMAP通常有显著优势2. CMAC核心算法拆解2.1 子密钥生成CMAC的魔法钥匙CMAC的精妙之处始于两个派生密钥K1和K2的生成。这个过程看似简单却包含了位运算的巧妙应用首先用AES加密全零块得到中间值L根据L的最高位决定是否与Rb常量异或同样的操作衍生出第二个子密钥def generate_subkeys(key: bytes) - tuple[bytes, bytes]: 生成CMAC所需的K1和K2子密钥 from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes from cryptography.hazmat.backends import default_backend # AES加密全零块得到L cipher Cipher(algorithms.AES(key), modes.ECB(), backenddefault_backend()) encryptor cipher.encryptor() L encryptor.update(bytes(16)) encryptor.finalize() # 定义Rb常量AES-128为0x87 Rb 0x87 # 生成K1 high_bit (L[0] 7) 1 K1 bytes(( (L[i] 1) | ( (L[i1] 7) 1 ) for i in range(15) )) bytes([ (L[15] 1) ]) if high_bit: K1 bytes([K1[0] ^ (Rb (7 - i)) for i in range(8)]) K1[1:] # 生成K2同样的逻辑应用于K1 high_bit (K1[0] 7) 1 K2 bytes(( (K1[i] 1) | ( (K1[i1] 7) 1 ) for i in range(15) )) bytes([ (K1[15] 1) ]) if high_bit: K2 bytes([K2[0] ^ (Rb (7 - i)) for i in range(8)]) K2[1:] return K1, K22.2 消息处理填充与异或的艺术CMAC对消息的处理分为三种情况每种情况都有特定的填充策略消息长度处理方式使用的子密钥正好是块大小的整数倍最后一块与K1异或K1不是块大小的整数倍PKCS7填充后与K2异或K2空消息视为单块特殊处理K1def pad_message(message: bytes, block_size: int 16) - bytes: PKCS7填充实现 pad_len block_size - (len(message) % block_size) return message bytes([pad_len] * pad_len) def process_final_block(block: bytes, K1: bytes, K2: bytes) - bytes: 处理最后一个块根据长度决定使用K1还是K2 if len(block) 16: # 完整块 return bytes(a ^ b for a, b in zip(block, K1)) else: # 不完整块 padded pad_message(block) return bytes(a ^ b for a, b in zip(padded, K2))3. 完整AES-CMAC实现现在我们将各个组件组合成完整的CMAC实现。注意处理空消息的特殊情况def aes_cmac(key: bytes, message: bytes) - bytes: 完整的AES-CMAC实现 if len(key) not in (16, 24, 32): raise ValueError(AES key must be 16, 24, or 32 bytes long) K1, K2 generate_subkeys(key) block_size 16 # 处理空消息的特殊情况 if not message: message bytes(block_size) final_block process_final_block(message, K1, K2) blocks [final_block] else: # 分割消息为完整块和最后一个块 full_blocks [message[i:iblock_size] for i in range(0, len(message)-block_size, block_size)] last_block message[len(full_blocks)*block_size:] # 处理最后一个块 final_block process_final_block(last_block, K1, K2) blocks full_blocks [final_block] # CBC模式加密计算 from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes from cryptography.hazmat.backends import default_backend cipher Cipher(algorithms.AES(key), modes.CBC(bytes(block_size)), backenddefault_backend()) encryptor cipher.encryptor() # 初始化向量为全零 ciphertext bytes(block_size) for block in blocks: ciphertext encryptor.update(bytes(a ^ b for a, b in zip(block, ciphertext))) ciphertext encryptor.finalize() return ciphertext[:block_size] # 返回最后的块作为MAC4. 实战测试与边界情况处理真正的工程实现必须考虑各种边界情况。让我们构建一组全面的测试用例import unittest class TestAESCMAC(unittest.TestCase): def setUp(self): self.key bSixteen byte key self.test_vectors [ (b, bb1d6929e95937287fa37d129b756746), (babc, 07d0ddb606ed7aeba3e8bfa6c4e5d3a6), (babcdefghijklmnop, 51f0bebf7e3b9d92fc4904973b4a6144), (ba*64, b5a6e8c4e50e1d0a8f3b7d2c6e9f1a5b) ] def test_cmac_implementation(self): for msg, expected in self.test_vectors: with self.subTest(msgmsg): mac aes_cmac(self.key, msg).hex() self.assertEqual(mac, expected) def test_subkey_generation(self): K1, K2 generate_subkeys(self.key) self.assertEqual(len(K1), 16) self.assertEqual(len(K2), 16) self.assertNotEqual(K1, K2) def test_edge_cases(self): # 单字节消息 mac aes_cmac(self.key, ba) self.assertEqual(len(mac), 16) # 正好块大小的消息 mac aes_cmac(self.key, ba*16) self.assertEqual(len(mac), 16) # 超大消息 mac aes_cmac(self.key, ba*1024) self.assertEqual(len(mac), 16) if __name__ __main__: unittest.main()提示在实际项目中建议使用标准库如cryptography中的CMAC实现。这个手写版本主要用于教学目的帮助理解底层原理5. 性能优化与生产环境建议虽然我们的实现清晰展示了算法原理但在生产环境中还需要考虑恒定时间比较MAC验证时必须使用恒定时间比较函数防止时序攻击密钥管理CMAC的安全性完全依赖于密钥保密性必须妥善管理多线程安全AES加密操作在不同实现中可能有不同的线程安全特性# 安全的MAC验证函数示例 import hmac def verify_mac(key: bytes, message: bytes, received_mac: bytes) - bool: 安全验MAC防止时序攻击 expected_mac aes_cmac(key, message) return hmac.compare_digest(expected_mac, received_mac)对于性能关键型应用可以考虑以下优化策略预计算子密钥如果多次使用同一密钥可以缓存K1和K2并行化处理对于大消息可以并行计算CBC链的部分块硬件加速利用支持AES-NI的CPU获得最佳性能在实际物联网设备中CMAC的优势尤为明显。一个典型的LoRaWAN设备可能使用AES-CMAC进行消息认证既保证了安全性又兼顾了能效比。