Extension de cryptographie Java

On m'a dit que pour prendre en charge le cryptage AES256 dans mon application Java, j'aurais besoin du JCE avec les fichiers de stratégie de juridiction de force illimitée.

J'ai téléchargé ceci depuis Oracle et l'ai décompressé et je ne vois que 2 fichiers JAR:

• local_policy.jar; et
• US_export_polic.jar

Je veux juste confirmer que je ne manque de rien ici! Ma compréhension (après avoir lu le README.txt) est que je viens de déposer ces deux dans mon <JAVA_HOME>/lib/security/répertoire et ils devraient être installés.

D'après les noms de ces fichiers JAR, je dois supposer que ce n'est pas l'API Java Crypto qui ne peut pas gérer AES256, mais c'est en fait un problème juridique , peut-être? Et que ces deux fichiers JAR indiquent essentiellement au JRE " oui, il est légalement acceptable d'exécuter ce niveau de cryptographie (AES256). " Suis-je correct ou hors de la base?

Le billet de blog suivant répond à vos questions:

http://blogs.adobe.com/livecycle/2011/10/configuring-the-jdk-for-rights-management-encryption-using-aes-256-bit-keys.html

Vous avez effectivement besoin des deux JAR pour pouvoir utiliser le cryptage AES256, et vous devez effectuer les étapes suivantes, et je cite:

Copiez les deux fichiers JAR dans le dossier / jre / lib / security / de votre JDK, en remplaçant les fichiers de même nom qui s'y trouvent déjà.

Passons maintenant à la deuxième partie de votre question: oui, il s'agit de droits juridiques:

En raison des restrictions de contrôle à l'importation imposées par les gouvernements de quelques pays, les fichiers de politique de juridiction expédiés spécifient qu'une cryptographie «forte» mais limitée peut être utilisée. Une version «à force illimitée» de ces fichiers indiquant qu'il n'y a aucune restriction sur les forces cryptographiques est disponible pour ceux qui vivent dans les pays éligibles (qui sont la plupart des pays). Mais seule la version «forte» peut être importée dans les pays dont les gouvernements imposent des restrictions. Le cadre JCE appliquera les restrictions spécifiées dans les fichiers de stratégie de juridiction installés.

En outre, il existe un Q / A sur la pile de sécurité: lois d'exportation sur le cloud (taille de la clé) . Bien que la question soit spécifique au cloud, la réponse principale couvre plus que le «cloud» et répertorie les pays pour lesquels vous ne pouvez pas obtenir de licence pour vendre votre logiciel et ceux pour lesquels vous avez besoin d'un permis d'importation.

Enfin, vous pouvez trouver plus d'informations sur Wikipedia sur l' exportation de la cryptographie aux États-Unis .