检查无限加密是否可用

Question

如何在 Java 代码中检查当前 JVM 是否具有无限强度的加密可用？

Answer 1

本着与 Dan Cruz 的答案相同的精神，但只有一行代码并且不会出现异常：

boolean limit = Cipher.getMaxAllowedKeyLength("RC5")<256;

所以一个完整的程序可能是：

import javax.crypto.Cipher;

public class TestUCE {
  public static void main(String args[]) throws Exception {
    boolean unlimited =
      Cipher.getMaxAllowedKeyLength("RC5") >= 256;
    System.out.println("Unlimited cryptography enabled: " + unlimited);
  }
}

Answer 2

如果您使用的是Linux并且已经安装了JDK（但Beanshell不可用），您可以使用JDK附带的runscript命令进行检查。

jrunscript -e 'exit (javax.crypto.Cipher.getMaxAllowedKeyLength("RC5") >= 256 ? 0 : 1);'; echo $?

如果无限加密可用，则返回 0 状态代码；如果不可用，则返回 1 。零是 shell 函数的正确“成功”返回值，非零表示失败。

Answer 3

我想你可能会使用 Cipher.getMaxAllowedKeyLength()，同时还将您使用的密码与已知的“良好”安全密码列表（例如 AES）进行比较。

这是一篇参考文章列出了自 Java 1.4 起现行的最大密钥大小管辖限制（这些限制可能没有改变，除非法律也发生了改变 - 见下文）。

如果您在有加密进出口限制的国家/地区运营，则必须查阅您所在国家/地区的法律，但可以安全地假设在这些情况下您没有无限制的JVM 中可用的强度加密（默认情况下）。换句话说，假设您正在使用 Oracle 的官方 JVM，并且您碰巧生活在在美国对密码学实施出口限制的国家（由于 Oracle 是一家美国公司，因此它会受到这些限制），那么在这种情况下您也可以假设您没有无限的可用实力。

当然，这并不阻止您构建自己的，从而赋予自己无限的力量，但根据您当地的法律，这可能是非法的。

本文概述了从美国向其他国家/地区出口的限制。

Answer 4

如何检查限制是否适用的方法记录在方法 Cipher.getMaxAllowedKeyLength：

如果安装了 JCE 无限强度管辖策略文件，将返回 Integer.MAX_VALUE。

这意味着，如果返回除（或确实低于）Integer.MAX_VALUE 以外的任何值，则限制确实适用。

更多信息请参见以下方法的 JavaDoc：

/**
 * Determines if cryptography restrictions apply.
 * Restrictions apply if the value of {@link Cipher#getMaxAllowedKeyLength(String)} returns a value smaller than {@link Integer#MAX_VALUE} if there are any restrictions according to the JavaDoc of the method.
 * This method is used with the transform <code>"AES/CBC/PKCS5Padding"</code> as this is an often used algorithm that is <a href="https://docs.oracle.com/javase/8/docs/technotes/guides/security/StandardNames.html#impl">an implementation requirement for Java SE</a>.
 * 
 * @return <code>true</code> if restrictions apply, <code>false</code> otherwise
 */
public static boolean restrictedCryptography() {
    try {
        return Cipher.getMaxAllowedKeyLength("AES/CBC/PKCS5Padding") < Integer.MAX_VALUE;
    } catch (final NoSuchAlgorithmException e) {
        throw new IllegalStateException("The transform \"AES/CBC/PKCS5Padding\" is not available (the availability of this algorithm is mandatory for Java SE implementations)", e);
    }
}

---

请注意，自 Java 9 起，默认情况下会安装无限制的加密策略（受导入/导出法规影响的用户必须安装有限加密策略） 。因此，此代码主要是为了向后兼容性和/或其他运行时所必需的。

Answer 5

这是一个完整的复制粘贴版本，允许进行测试

import javax.crypto.Cipher;
import java.security.NoSuchAlgorithmException;

class Test {
    public static void main(String[] args) {
        int allowedKeyLength = 0;

        try {
            allowedKeyLength = Cipher.getMaxAllowedKeyLength("AES");
        } catch (NoSuchAlgorithmException e) {
            e.printStackTrace();
        }

        System.out.println("The allowed key length for AES is: " + allowedKeyLength);
    }
}

运行

javac Test.java

java Test

如果 JCE 不起作用输出：128
JCE 的工作类似于：2147483647

Answer 6

如果您使用的是 Linux，则可以使用此命令轻松检查

java -version ; \
echo 'System.err.println(javax.crypto.Cipher.getInstance("AES/CBC/PKCS5Padding").getMaxAllowedKeyLength("AES"));'  \
| java -cp /usr/share/java/bsh-*.jar bsh.Interpreter >/dev/null

如果输出是类似的内容，则无限强度加密不可用

java version "1.7.0_76"
Java(TM) SE Runtime Environment (build 1.7.0_76-b13)
Java HotSpot(TM) 64-Bit Server VM (build 24.76-b04, mixed mode)
128

Answer 7

您可以使用 groovy 从命令行一步检查它：

groovysh -e 'javax.crypto.Cipher.getMaxAllowedKeyLength("AES")'

如果结果是 2147483647，则您拥有无限的加密。

在旧版本的 groovy 上，您必须删除 -e ：

groovysh 'javax.crypto.Cipher.getMaxAllowedKeyLength("AES")'

Answer 8

注意：请使用jefflunt的答案或康斯坦丁·斯皮罗夫的回答。该答案不是有效答案，因为它始终返回 true。我将这个答案留在这里只是因为它在答案和评论中的其他地方引用，并且仅供参考。

---

您可以使用以下代码在某个地方初始化一个static final boolean，然后您可以使用它来测试无限的加密支持（因为仅在安装了无限制策略的情况下才支持 AES 256 位）。

boolean isUnlimitedSupported = false;
try {
    KeyGenerator kgen = KeyGenerator.getInstance("AES", "SunJCE");
    kgen.init(256);
    isUnlimitedSupported = true;
} catch (NoSuchAlgorithmException e) {
    isUnlimitedSupported = false;
} catch (NoSuchProviderException e) {
    isUnlimitedSupported = false;
}
System.out.println("isUnlimitedSupported=" + isUnlimitedSupported);
// set static final variable = isUnlimitedSupported;

Answer 9

我最近不得不添加 JCE 检查，我的解决方案演变为以下代码片段。这是一个 groovy 脚本，但应该很容易通过 try catch 转换为标准 java 方法。这已经用 Java 7 和 Java 7 进行了测试。 Java 8。

import javax.crypto.Cipher;
import javax.crypto.spec.SecretKeySpec;
import javax.crypto.SecretKey;

// Make a blank 256 Bit AES Key
final SecretKey secretKey = new SecretKeySpec(new byte[32], "AES");
final Cipher encryptCipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
// This line will throw a invalid key length exception if you don't have
// JCE Unlimited strength installed
encryptCipher.init(Cipher.ENCRYPT_MODE, secretKey);
// If it makes it here, you have JCE installed