Java Crypto Api - 如何选择密码提供者

Question

为了使用 Java 实现加密，我使用了 JCE，它很好玩。 有人告诉我，选择加密提供商比使用默认提供商更好。

我需要为对称 key 生成选择提供商。此代码使用(在 CBC 模式下使用 AES):

 Key sharedKey = (KeyGenerator.getInstance("AES/CBC/PKCS5PADDING", PROVIDER1).generateKey();

对于此代码使用的非对称文本加密(在 ECB 模式下使用 RSA):

Cipher rsaEncryptor = Cipher.getInstance("RSA/ECB/PKCS1Padding",PROVIDER2); 

我的问题是PROVIDER1和PROVIDER2应该如何选择？

例如，我看到“SunJCE”是一个有据可查的供应商，但我认为这不是选择它的“足够好”的理由。

有人吗？

Answer 1

一般来说，除非有令人信服的理由，否则您应该坚持使用默认提供程序。硬编码您的提供者有一个严重的缺点，即您的代码不允许您在不重写代码的情况下更改您的提供者。我认为直接选择供应商的唯一原因是确保满足一些安全限制，而其他供应商则不会。

下面这段是directly from the Oracle documentation :

Reminder: Cryptographic implementations in the JDK are distributed through several different providers ("Sun", "SunJSSE", "SunJCE", "SunRsaSign") for both historical reasons and by the types of services provided. General purpose applications SHOULD NOT request cryptographic services from specific providers. That is:

getInstance("...", "SunJCE");  // not recommended
    vs.
getInstance("...");            // recommended

---

您仍然可以通过在 jre 的 java.security 文件中为它们赋予更高的优先级(较低优先级指示符，1 是最高优先级)来设法允许使用其他提供程序/lib/security 运行时的路径。如果您想使用 getInstance("Algorithm", "Provider") 指定提供者，最好使提供者字符串可配置(例如，使用属性并使用 myConfig.getProperty( “提供者”))。