PHP 使用 TripleDES (3DES) 實現加密解密：完整實作、坑位避雷與現代替代方案

原文範例使用 ECB 且 IV 固定/隨機但未儲存，**無法正確解密**，且洩露明文模式。

3. 填充機制：PKCS#7 (標準) vs Zero Padding

• PKCS#7：填充 N 個值為 N 的位元組 (1~8)，OpenSSL 預設支援
• Zero Padding：填充 0x00，**無法區分原始資料結尾的 0x00**，不推薦
• 手動填充時：OPENSSL_ZERO_PADDING 標誌需自行處理

4. IV 管理鐵律

1. 每次加密唯一隨機：random_bytes(8)
2. 不需保密，但**不可預測、不可重複**
3. 隨密文儲存/傳輸：通常作為密文前綴 (如本實作)
4. 解密時精確分離：固定長度切割

三、常見相容性坑位對照表

四、現代化遷移路徑：棄用 3DES，擁抱 AES-GCM / ChaCha20-Poly1305

為什麼棄用 3DES？

• Sweet32 攻擊 (CVE-2016-2183)：64-bit 區塊大小導致生日攻擊可行 (TLS/VPN 長連線)
• 效能低：3 次 DES 運算，比 AES 慢 10-20 倍 (無 AES-NI 時)
• NIST SP 800-131A Rev. 2：2023 年後禁用 3DES 加密保護敏感資料
• PCI DSS 4.0：禁止使用 3DES 作為加密演算法

AES-GCM 現代實作 (PHP 7.1+ OpenSSL, PHP 8.1+ 原生支援)

<?php
/**
 * 現代認證加密：AES-256-GCM (PHP 7.1+)
 * 優點：AEAD、高效能 (AES-NI)、標準化、無填充神諭攻擊
 */
class ModernAeadCipher
{
    private string $cipher = 'aes-256-gcm';
    private int $keyLength = 32;  // 256 bits
    private int $ivLength = 12;   // GCM 建議 96 bits (12 bytes)
    private int $tagLength = 16;  // 認證標籤 128 bits

    /** 從密碼派生金鑰 (生產請用 Argon2ID/PBKDF2 + 儲存鹽值) */
    private function deriveKey(string $password, string $salt = ''): string
    {
        if ($salt === '') $salt = random_bytes(16);
        // PBKDF2: 100,000 迭代，SHA-256
        return hash_pbkdf2('sha256', $password, $salt, 100_000, $this->keyLength, true);
    }

    public function encrypt(string $plaintext, string $password, string $associatedData = ''): string
    {
        $salt = random_bytes(16);
        $key = $this->deriveKey($password, $salt);
        $iv = random_bytes($this->ivLength);
        
        $ciphertext = openssl_encrypt(
            $plaintext,
            $this->cipher,
            $key,
            OPENSSL_RAW_DATA,
            $iv,
            $tag,           // 由引用返回認證標籤
            $associatedData, // AAD: 關聯資料 (如用戶ID、時間戳)，不加密但驗證完整性
            $this->tagLength
        );
        
        if ($ciphertext === false) throw new Exception('AES-GCM encryption failed');
        
        // 組合：Salt(16) + IV(12) + Tag(16) + Ciphertext
        $combined = $salt . $iv . $tag . $ciphertext;
        return base64_encode($combined);
    }

    public function decrypt(string $payloadBase64, string $password, string $associatedData = ''): string
    {
        $combined = base64_decode($payloadBase64, true);
        if ($combined === false) throw new Exception('Invalid Base64');
        
        $minLen = 16 + 12 + 16; // Salt + IV + Tag
        if (strlen($combined) < $minLen) throw new Exception('Payload too short');
        
        $salt = substr($combined, 0, 16);
        $iv = substr($combined, 16, 12);
        $tag = substr($combined, 28, 16);
        $ciphertext = substr($combined, 44);
        
        $key = $this->deriveKey($password, $salt);
        
        $plaintext = openssl_decrypt(
            $ciphertext,
            $this->cipher,
            $key,
            OPENSSL_RAW_DATA,
            $iv,
            $tag,
            $associatedData
        );
        
        if ($plaintext === false) throw new Exception('Decryption failed: authentication tag mismatch or key error');
        
        return $plaintext;
    }
}

// Sodium 更簡潔 (PHP 7.2+), 內建 Argon2ID 金鑰派生 + XChaCha20-Poly1305
// sodium_crypto_aead_xchacha20poly1305_ietf_encrypt/decrypt
?>

五、遷移檢查清單

• [ ] 盤點所有使用 3DES/DES/RC4/MD5/SHA1 的加密場景
• [ ] 評估相容性需求：是否需解密舊資料 (雙向遷移) 或僅新資料用新演算法
• [ ] 選定新演算法：AES-256-GCM (硬體加速) 或 XChaCha20-Poly1305 (軟體高速、抗旁路)
• [ ] 設計金鑰管理：主金鑰輪換、資料加密金鑰 (DEK) 包裹、KMS/HSM 整合
• [ ] 實作版本化載荷：v1|base64(salt|iv|tag|ct)，支援多演算法並存平滑遷移
• [ ] 完整測試：正向/反向、錯誤金鑰、截斷資料、重放攻擊、效能基準
• [ ] 合規驗證：PCI DSS、GDPR、ISO 27001、國密標準 (SM4-GCM)

六、總結

1. **停止使用 mcrypt**，全面遷移至 OpenSSL 或 Sodium
2. **棄用 ECB 模式**，強制使用 **CBC + 隨機 IV** 或 **GCM/CCM (AEAD)**
3. **3DES 已淘汰**，新專案直接採用 **AES-256-GCM** 或 **ChaCha20-Poly1305**
4. 金鑰派生使用 **Argon2ID / PBKDF2 + 高迭代 + 隨機鹽值**，而非簡單雜湊截取
5. 密文格式**版本化、自描述** (含鹽值、IV、Tag、演算法標識)，利於未來升級

加密是系統安全的基石，演算法選型與金鑰管理同樣重要。定期審視密碼學組件，跟進標準演進，是守護資料資產的長期策略。