Estensione di crittografia Java

Mi è stato detto che per supportare la crittografia AES256 nella mia app Java avrei avuto bisogno del JCE con file di criteri di giurisdizione di forza illimitata.

Ho scaricato questo da Oracle e decompresso e vedo solo 2 JAR:

• local_policy.jar; e
• US_export_polic.jar

Voglio solo confermare che non mi manca nulla qui! La mia comprensione (dopo aver letto il README.txt) è che ho appena lasciato cadere questi due nella mia <JAVA_HOME>/lib/security/directory e dovrebbero essere installati.

Con i nomi di questi JAR devo supporre che non sia l'API Java Crypto che non può gestire AES256, ma in realtà è un problema legale , forse? E che questi due JAR sostanzialmente dicono al JRE " sì, è legalmente accettabile eseguire questo livello di crittografia (AES256). " Sono corretto o off-base?

Il seguente post sul blog risponde alle tue domande:

http://blogs.adobe.com/livecycle/2011/10/configuring-the-jdk-for-rights-management-encryption-using-aes-256-bit-keys.html

Sono effettivamente necessari i due JAR per poter utilizzare la crittografia AES256, ed è necessario eseguire i seguenti passaggi, e cito:

Copia i due file JAR nella cartella / jre / lib / security / del tuo JDK, sostituendo i file con nomi simili già presenti.

Ora, alla seconda parte della tua domanda: sì, è dovuto a problemi legali:

A causa delle restrizioni al controllo delle importazioni da parte dei governi di alcuni paesi, i file delle politiche sulla giurisdizione spediti specificano che è possibile utilizzare una crittografia "forte" ma limitata. È disponibile una versione "illimitata" di questi file che non indica restrizioni sui punti di forza crittografici per coloro che vivono in paesi ammissibili (che è la maggior parte dei paesi). Ma solo la versione "forte" può essere importata in quei paesi i cui governi impongono restrizioni. Il framework JCE applicherà le restrizioni specificate nei file delle politiche di giurisdizione installate.

Inoltre, esiste un Q / A correlato nello stack di sicurezza: leggi sull'esportazione sul cloud (dimensione della chiave) . Sebbene la domanda sia specifica per il cloud, la risposta principale copre più terreno del semplice "cloud" ed elenca i paesi in cui non è possibile ottenere una licenza per la vendita del software e quelli per i quali è richiesta un'autorizzazione di importazione.

Infine, potresti trovare ulteriori informazioni su Wikipedia sull'esportazione della crittografia negli Stati Uniti .