Namespace: WvdS.System.Security.Cryptography.Encryption

Statička klasa za AES-GCM šifriranje s podrškom za Post-Quantum ključeve. Podržava klasično, hibridno i čisto PQ šifriranje.

Ova klasa nudi tri pristupa šifriranju:

Šifrira podatke pomoću AES-GCM koristeći ML-KEM dijeljeni tajni ključ.

// Dijeljeni tajni ključ iz ML-KEM Key Exchange
byte[] sharedSecret = session.SharedSecret;
 
// Šifriranje
byte[] plaintext = Encoding.UTF8.GetBytes("Tajna poruka");
byte[] encrypted = SymmetricEncryptionExtensions.EncryptWithPqKey(
    plaintext,
    sharedSecret);
 
// S Additional Authenticated Data (AAD)
byte[] aad = Encoding.UTF8.GetBytes("Kontekst-Info");
byte[] encryptedWithAad = SymmetricEncryptionExtensions.EncryptWithPqKey(
    plaintext,
    sharedSecret,
    associatedData: aad);

byte[] decrypted = SymmetricEncryptionExtensions.DecryptWithPqKey(
    encrypted,
    sharedSecret,
    associatedData: aad);  // Ako je korišteno pri šifriranju
 
string message = Encoding.UTF8.GetString(decrypted);

Kombinira RSA-OAEP Key Encapsulation s ML-KEM za kvantno sigurno hibridno šifriranje.

using var rsa = RSA.Create(4096);
var (mlKemPublicKey, mlKemPrivateKey) = PqCrypto.GenerateKeyPair();
 
byte[] plaintext = GetSecretData();
 
// Hibridno šifriranje (RSA + ML-KEM)
HybridEncryptedData encrypted = SymmetricEncryptionExtensions.EncryptHybrid(
    plaintext,
    rsa,  // RSA javni ključ primatelja
    mlKemPublicKey,  // ML-KEM javni ključ primatelja
    CryptoMode.Hybrid);
 
// Serijalizacija za prijenos
byte[] serialized = encrypted.ToBytes();

// Deserijalizacija
HybridEncryptedData encrypted = HybridEncryptedData.FromBytes(serialized);
 
// Dešifriranje
byte[] plaintext = SymmetricEncryptionExtensions.DecryptHybrid(
    encrypted,
    rsaPrivateKey,  // RSA privatni ključ
    mlKemPrivateKey);  // ML-KEM privatni ključ

ECIES-stil šifriranje s efemerni ECDH i ML-KEM.

using var recipientEcdh = ECDiffieHellman.Create(ECCurve.NamedCurves.nistP384);
var (mlKemPublicKey, mlKemPrivateKey) = PqCrypto.GenerateKeyPair();
 
byte[] plaintext = GetSecretData();
 
// ECDH + ML-KEM hibridno šifriranje
HybridEncryptedData encrypted = SymmetricEncryptionExtensions.EncryptEcdhPq(
    plaintext,
    recipientEcdh,  // ECDH javni ključ primatelja
    mlKemPublicKey,  // ML-KEM javni ključ
    CryptoMode.Hybrid);
 
// Efemerni ECDH javni ključ sadržan je u encrypted.EphemeralPublicKey

byte[] plaintext = SymmetricEncryptionExtensions.DecryptEcdhPq(
    encrypted,
    recipientEcdhPrivateKey,
    mlKemPrivateKey);

Direktno AES-256-GCM šifriranje bez Key Encapsulation.

byte[] key = RandomNumberGenerator.GetBytes(32);  // 256-bitni ključ
byte[] plaintext = GetData();
 
// Standardni AES-GCM
byte[] encrypted = SymmetricEncryptionExtensions.EncryptAesGcm(
    plaintext,
    key);
 
// S AAD
byte[] aad = Encoding.UTF8.GetBytes("message-context");
byte[] encryptedWithAad = SymmetricEncryptionExtensions.EncryptAesGcm(
    plaintext,
    key,
    associatedData: aad);

Izlazni format:

┌─────────────────────────────────────────┐
│ [12 bajtova] Nonce (nasumično generirano) │
│ [n bajtova]  Šifrirani tekst             │
│ [16 bajtova] GCM Authentication Tag      │
└─────────────────────────────────────────┘

byte[] plaintext = SymmetricEncryptionExtensions.DecryptAesGcm(
    encrypted,
    key,
    associatedData: aad);  // Ako je korišteno

Za velike datoteke s obradom po dijelovima (chunk).

byte[] key = RandomNumberGenerator.GetBytes(32);
 
using var inputStream = File.OpenRead("large-file.dat");
using var outputStream = File.Create("large-file.enc");
 
SymmetricEncryptionExtensions.EncryptStream(
    inputStream,
    outputStream,
    key,
    chunkSize: 64 * 1024);  // 64 KB dijelovi (standard)

Format dijelova:

┌────────────────────────────────────────────┐
│ [12 bajtova] Bazni Nonce                    │
├────────────────────────────────────────────┤
│ Dio 0:                                      │
│   [4 bajta] Duljina dijela                  │
│   [n bajtova] Šifrirani podaci              │
│   [16 bajtova] GCM Tag                      │
├────────────────────────────────────────────┤
│ Dio 1: (Nonce = Bazni + 1)                  │
│   [4 bajta] Duljina dijela                  │
│   [n bajtova] Šifrirani podaci              │
│   [16 bajtova] GCM Tag                      │
├────────────────────────────────────────────┤
│ ... daljnji dijelovi ...                    │
├────────────────────────────────────────────┤
│ [4 bajta] Završni marker (0x00000000)       │
└────────────────────────────────────────────┘

using var inputStream = File.OpenRead("large-file.enc");
using var outputStream = File.Create("large-file.decrypted");
 
SymmetricEncryptionExtensions.DecryptStream(
    inputStream,
    outputStream,
    key);

Derivira AES-256 ključ iz dijeljenog tajnog ključa.

byte[] sharedSecret = GetMlKemSharedSecret();
 
// Standardna derivacija
byte[] aesKey = SymmetricEncryptionExtensions.DeriveAesKey(sharedSecret);
 
// Sa salt i info
byte[] salt = RandomNumberGenerator.GetBytes(32);
byte[] info = Encoding.UTF8.GetBytes("MyApp-Encryption-Key");
 
byte[] aesKeyCustom = SymmetricEncryptionExtensions.DeriveAesKey(
    sharedSecret,
    salt: salt,
    info: info);

Interna implementacija: HKDF-SHA256 s info=„WvdS-PQ-AES-Key“

Derivira više ključeva za različite namjene.

byte[] sharedSecret = GetMlKemSharedSecret();
 
var (encryptionKey, macKey, iv) = SymmetricEncryptionExtensions.DeriveMultipleKeys(
    sharedSecret,
    salt: optionalSalt);
 
// encryptionKey: 32 bajta (AES-256)
// macKey: 32 bajta (HMAC)
// iv: 16 bajtova (inicijalizacijski vektor)

Kontejner za hibridno šifrirane podatke sa serijalizacijom.

HybridEncryptedData encrypted = EncryptData();
 
// U byte niz
byte[] serialized = encrypted.ToBytes();
 
// Iz byte niza
HybridEncryptedData restored = HybridEncryptedData.FromBytes(serialized);

Pojednostavljen API za čisto PQ šifriranje.

// Generiranje para ključeva
var (publicKey, privateKey) = PqCrypto.GenerateKeyPair();
 
// Šifriranje
byte[] plaintext = Encoding.UTF8.GetBytes("Tajna poruka");
var (ciphertext, encryptedData) = PqCrypto.Encrypt(plaintext, publicKey);
 
// Dešifriranje
byte[] decrypted = PqCrypto.Decrypt(ciphertext, encryptedData, privateKey);

using WvdS.System.Security.Cryptography;
using WvdS.System.Security.Cryptography.Encryption;
 
// 1. Generiranje ključeva (primatelj)
using var rsa = RSA.Create(4096);
var (mlKemPublicKey, mlKemPrivateKey) = PqCrypto.GenerateKeyPair();
 
// 2. Slanje javnih ključeva pošiljatelju
// (U praksi: certifikat s ugrađenim PQ ključevima)
 
// --- Pošiljatelj ---
 
// 3. Šifriranje poruke
byte[] message = File.ReadAllBytes("document.pdf");
 
HybridEncryptedData encrypted = SymmetricEncryptionExtensions.EncryptHybrid(
    message,
    rsa,  // RSA javni ključ primatelja
    mlKemPublicKey,  // ML-KEM javni ključ primatelja
    CryptoMode.Hybrid);
 
// 4. Serijalizacija i slanje
byte[] package = encrypted.ToBytes();
File.WriteAllBytes("document.encrypted", package);
 
// --- Primatelj ---
 
// 5. Primanje i deserijalizacija
byte[] receivedPackage = File.ReadAllBytes("document.encrypted");
HybridEncryptedData receivedData = HybridEncryptedData.FromBytes(receivedPackage);
 
// 6. Dešifriranje
byte[] decrypted = SymmetricEncryptionExtensions.DecryptHybrid(
    receivedData,
    rsa,  // Vlastiti RSA privatni ključ
    mlKemPrivateKey);  // Vlastiti ML-KEM privatni ključ
 
File.WriteAllBytes("document.decrypted.pdf", decrypted);

• Encryption prostor imena
• HybridEncryptedData
• PqCrypto
• KeyExchange prostor imena
• KeyDerivation prostor imena
• ML-KEM algoritam

Wolfgang van der Stille @ EMSR DATA d.o.o. - Post-Quantum Cryptography Professional