Java Crypto Api - 如何选择密码提供者

Question

为了使用Java实现加密，我使用的是JCE，很好玩。 有人告诉我，最好选择加密提供者而不是使用默认提供者。

我需要为对称密钥生成选择两个提供商。此代码使用（在 CBC 模式下使用 AES）：

 Key sharedKey = (KeyGenerator.getInstance("AES/CBC/PKCS5PADDING", PROVIDER1).generateKey();

对于此代码使用的非对称文本加密（在 ECB 模式下使用 RSA）：

Cipher rsaEncryptor = Cipher.getInstance("RSA/ECB/PKCS1Padding",PROVIDER2); 

我的问题是如何选择PROVIDER1和PROVIDER2？

例如，我看到“SunJCE”是一个有据可查的提供商，但我认为这不是选择它的“足够好”的理由。

有人吗？

Answer 1

一般来说，您应该坚持使用默认提供程序，除非有令人信服的理由不这样做。对您的提供程序进行硬编码有一个严重的缺点，即您的代码不允许您在不重写代码的情况下更改您的提供程序。我认为直接选择提供商的唯一原因是确保满足某些安全约束，而其他提供商不会出现这些约束。

以下段落为directly from the Oracle documentation：

提醒：由于历史原因和所提供的服务类型，JDK 中的加密实现是通过几个不同的提供者（“Sun”、“SunJSSE”、“SunJCE”、“SunRsaSign”）分发的。通用应用程序不应向特定提供者请求加密服务。那就是：

getInstance("...", "SunJCE");  // not recommended
    vs.
getInstance("...");            // recommended

---

您仍然可以通过在运行时的jre/lib/security 路径中的java.security 文件中为它们赋予更高的优先级（较低的优先级指示符，1 是最高优先级）来设法允许使用其他提供程序。如果您想使用getInstance("Algorithm", "Provider") 指定提供程序，最好使提供程序字符串可配置（例如，使用属性和使用myConfig.getProperty("Provider")）。