部署应用程序时如何避免安装“Unlimited Strength”JCE策略文件？

作者: 北极星微控
发布时间: 2024-08-16 01:45:20 (13天前)
转自：

9 条回复

0#
回复此人
布偶的表弟派大星丶 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <P> 这是解决方案： <a href="http://middlesphere-1.blogspot.ru/2014/06/this-code-allows-to-break-limit-if.html"> http://middlesphere-1.blogspot.ru/2014/06/this-code-allows-to-break-limit-if.html </A> </p> <pre> <code> //this code allows to break limit if client jdk/jre has no unlimited policy files for JCE. //it should be run once. So this static section is always execute during the class loading process. //this code is useful when working with Bouncycastle library. static { try { Field field = Class.forName("javax.crypto.JceSecurity").getDeclaredField("isRestricted"); field.setAccessible(true); field.set(null, java.lang.Boolean.FALSE); } catch (Exception ex) { } } </code> </pre> </DIV>

编辑
1#
回复此人
甲基蓝 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <P> 从JDK 8u102开始，依赖于反射的已发布解决方案将不再有效：这些解决方案现在设置的字段 <code> final </code> （ <a href="https://bugs.openjdk.java.net/browse/JDK-8149417"> https://bugs.openjdk.java.net/browse/JDK-8149417 </A> ）。 </p> <P> 看起来它回到（a）使用Bouncy Castle，或（b）安装JCE策略文件。 </p> </DIV>

编辑
2#
回复此人
早岁那知世事艰 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <P> 这是更新版本 <a href="https://stackoverflow.com/a/22492582/1266705"> NTOSKRNL </A> 回答。它还包含一个删除最终修饰符的功能 <a href="https://stackoverflow.com/users/6178459/arjan"> 阿尔扬 </A> 在评论中提到。 </p> <P> 此版本适用于JRE 8u111或更高版本。 </p> <pre> <code> private static void removeCryptographyRestrictions() { if (!isRestrictedCryptography()) { return; } try { /* * Do the following, but with reflection to bypass access checks: * * JceSecurity.isRestricted = false; JceSecurity.defaultPolicy.perms.clear(); * JceSecurity.defaultPolicy.add(CryptoAllPermission.INSTANCE); */ final Class<?> jceSecurity = Class.forName("javax.crypto.JceSecurity"); final Class<?> cryptoPermissions = Class.forName("javax.crypto.CryptoPermissions"); final Class<?> cryptoAllPermission = Class.forName("javax.crypto.CryptoAllPermission"); Field isRestrictedField = jceSecurity.getDeclaredField("isRestricted"); isRestrictedField.setAccessible(true); setFinalStatic(isRestrictedField, true); isRestrictedField.set(null, false); final Field defaultPolicyField = jceSecurity.getDeclaredField("defaultPolicy"); defaultPolicyField.setAccessible(true); final PermissionCollection defaultPolicy = (PermissionCollection) defaultPolicyField.get(null); final Field perms = cryptoPermissions.getDeclaredField("perms"); perms.setAccessible(true); ((Map<?, ?>) perms.get(defaultPolicy)).clear(); final Field instance = cryptoAllPermission.getDeclaredField("INSTANCE"); instance.setAccessible(true); defaultPolicy.add((Permission) instance.get(null)); } catch (final Exception e) { e.printStackTrace(); } } static void setFinalStatic(Field field, Object newValue) throws Exception { field.setAccessible(true); Field modifiersField = Field.class.getDeclaredField("modifiers"); modifiersField.setAccessible(true); modifiersField.setInt(field, field.getModifiers() & ~Modifier.FINAL); field.set(null, newValue); } private static boolean isRestrictedCryptography() { // This simply matches the Oracle JRE, but not OpenJDK. return "Java(TM) SE Runtime Environment".equals(System.getProperty("java.runtime.name")); } </code> </pre> </DIV>

编辑
3#
回复此人
薄情 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <P> 有关替代加密库，请查看 <a href="http://www.bouncycastle.org/" rel="noreferrer"> 充气城堡 </A> 。它具有AES和许多附加功能。它是一个自由的开源库。您将不得不使用轻量级的专有Bouncy Castle API来实现此功能。 </p> </DIV>

编辑
4#
回复此人
大黑骡子王 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <P> 你可以使用方法 </p> <pre> <code> javax.crypto.Cipher.getMaxAllowedKeyLength(String transformation) </code> </pre> <P> 要测试可用的密钥长度，请使用它并告知用户正在进行的操作。例如，由于未安装策略文件，您的应用程序会回退到128位密钥。注重安全的用户将安装策略文件，其他用户将继续使用较弱的密钥。 </p> </DIV>

编辑
5#
回复此人
满目山河 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <P> 对于我们的应用程序，我们有一个客户端服务器架构，我们只允许在服务器级别解密/加密数据。因此只需要那里的JCE文件。 </p> <P> 我们还有另一个问题，我们需要在客户端机器上更新安全jar，通过JNLP，它会覆盖库中的库 <code> ${java.home}/lib/security/ </code> 和JVM首次运行。 </p> <P> 这使它成功了。 </p> </DIV>

编辑
6#
回复此人
一只特立独行的猪 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <P> 据我所知，Bouncy Castle仍然需要安装罐子。 </p> <P> 我做了一点测试，似乎证实了这一点： </p> <P> <a href="http://www.bouncycastle.org/wiki/display/JA1/Frequently+Asked+Questions" rel="noreferrer"> http://www.bouncycastle.org/wiki/display/JA1/Frequently+Asked+Questions </A> </p> </DIV>

编辑
7#
回复此人
哈哈哈哈 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”> <P> 这是@ ntoskrnl代码的修改版本 <code> isRestrictedCryptography </code> 检查 <a href="https://stackoverflow.com/questions/7953567/checking-if-unlimited-cryptography-is-available"> 实际 <code> Cipher.getMaxAllowedKeyLength </code> </A> ，slf4j从应用程序引导程序中记录并支持单例初始化，如下所示： </p> <pre> <code> static { UnlimitedKeyStrengthJurisdictionPolicy.ensure(); } </code> </pre> <P> 正如@ cranphin的答案所预测的那样，默认情况下Java 8u162中的无限制策略可用时，此代码将正确地停止使用反射进行修改。 </p> <HR /> <pre> <code> import org.slf4j.Logger; import org.slf4j.LoggerFactory; import javax.crypto.Cipher; import java.lang.reflect.Field; import java.lang.reflect.Modifier; import java.security.NoSuchAlgorithmException; import java.security.Permission; import java.security.PermissionCollection; import java.util.Map; // https://stackoverflow.com/questions/1179672/how-to-avoid-installing-unlimited-strength-jce-policy-files-when-deploying-an public class UnlimitedKeyStrengthJurisdictionPolicy { private static final Logger log = LoggerFactory.getLogger(UnlimitedKeyStrengthJurisdictionPolicy.class); private static boolean isRestrictedCryptography() throws NoSuchAlgorithmException { return Cipher.getMaxAllowedKeyLength("AES/ECB/NoPadding") <= 128; } private static void removeCryptographyRestrictions() { try { if (!isRestrictedCryptography()) { log.debug("Cryptography restrictions removal not needed"); return; } /* * Do the following, but with reflection to bypass access checks: * * JceSecurity.isRestricted = false; * JceSecurity.defaultPolicy.perms.clear(); * JceSecurity.defaultPolicy.add(CryptoAllPermission.INSTANCE); */ Class<?> jceSecurity = Class.forName("javax.crypto.JceSecurity"); Class<?> cryptoPermissions = Class.forName("javax.crypto.CryptoPermissions"); Class<?> cryptoAllPermission = Class.forName("javax.crypto.CryptoAllPermission"); Field isRestrictedField = jceSecurity.getDeclaredField("isRestricted"); isRestrictedField.setAccessible(true); Field modifiersField = Field.class.getDeclaredField("modifiers"); modifiersField.setAccessible(true); modifiersField.setInt(isRestrictedField, isRestrictedField.getModifiers() & ~Modifier.FINAL); isRestrictedField.set(null, false); Field defaultPolicyField = jceSecurity.getDeclaredField("defaultPolicy"); defaultPolicyField.setAccessible(true); PermissionCollection defaultPolicy = (PermissionCollection) defaultPolicyField.get(null); Field perms = cryptoPermissions.getDeclaredField("perms"); perms.setAccessible(true); ((Map<?, ?>) perms.get(defaultPolicy)).clear(); Field instance = cryptoAllPermission.getDeclaredField("INSTANCE"); instance.setAccessible(true); defaultPolicy.add((Permission) instance.get(null)); log.info("Successfully removed cryptography restrictions"); } catch (Exception e) { log.warn("Failed to remove cryptography restrictions", e); } } static { removeCryptographyRestrictions(); } public static void ensure() { // just force loading of this class } } </code> </pre> </DIV>

编辑

登录后才能参与评论