В общем случае, кто ближе к пользователю тот и раньше (т.е. сначала CF, потом веб-сервер, потом PHP), но при желании и/или должной кривизне рук наверняка можно наворотить странного.
Ну и неплохо бы понимать как работает http в принципе.
Меня смущают две вещи:
1. что в шифре 34 байта, должно быть что-то длиной 12 + 16k.
2. что generateAESKeyFromPassword использует random. Генерация ключа из пароля должна быть однозначной.
