解決java.security.InvalidKeyException: Illegal key size or default parameters

前言

前面說到DES對稱加解密算法的安全係數不是很高,企業項目中一般不會使用的。所以衍生了後續的3DES和AES算法,和DES一樣,這兩者都是對稱加密算法。但是安全性比DES高很多,最近項目中集成的第三方兌換券就是用AES加密算法的,這裏來和大家一起學習下AES加密算法。

AES加密算法Demo

直接上代碼

import org.apache.tomcat.util.codec.binary.Base64;
import javax.crypto.Cipher;
import javax.crypto.KeyGenerator;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
import java.security.NoSuchAlgorithmException;
import java.security.SecureRandom;
import java.util.logging.Level;
import java.util.logging.Logger;

/**
 * @author 蔣墨風
 * @title: AesTest
 * @projectName study
 * @description: AES加解密demo
 * @date 2019/12/15 21:19
 */
public class AesTest {


    /**
     * @version V1.0
     * @desc AES 加密工具類
     */
    private static final String KEY_ALGORITHM = "AES";
    private static final String DEFAULT_CIPHER_ALGORITHM = "AES/ECB/PKCS5Padding";//默認的加密算法

    /**
     * AES 加密操作
     *
     * @param content  待加密內容
     * @param password 加密密碼
     * @return 返回Base64轉碼後的加密數據
     */
    public static String encrypt(String content, String password) {

        try {
            Cipher cipher = Cipher.getInstance(DEFAULT_CIPHER_ALGORITHM);// 創建密碼器
            byte[] byteContent = content.getBytes("utf-8");
            cipher.init(Cipher.ENCRYPT_MODE, getSecretKey(password));// 初始化爲加密模式的密碼器
            byte[] result = cipher.doFinal(byteContent);// 加密
            return Base64.encodeBase64String(result);//通過Base64轉碼返回
        } catch (Exception ex) {
            Logger.getLogger(AesTest.class.getName()).log(Level.SEVERE, null, ex);
        }
        return null;

    }

    /**
     * AES 解密操作
     *
     * @param content
     * @param password
     * @return
     */
    public static String decrypt(String content, String password) {
        try {
            //實例化
            Cipher cipher = Cipher.getInstance(DEFAULT_CIPHER_ALGORITHM);
            //使用密鑰初始化,設置爲解密模式
            cipher.init(Cipher.DECRYPT_MODE, getSecretKey(password));
            //執行操作
            byte[] result = cipher.doFinal(Base64.decodeBase64(content));
            return new String(result, "utf-8");
        } catch (Exception ex) {
            Logger.getLogger(AesTest.class.getName()).log(Level.SEVERE, null, ex);
        }
        return null;

    }

    /**
     * 生成加密祕鑰
     *
     * @return
     */
    private static SecretKeySpec getSecretKey(final String password) {
        //返回生成指定算法密鑰生成器的 KeyGenerator 對象
        KeyGenerator kg = null;
        try {
            kg = KeyGenerator.getInstance(KEY_ALGORITHM);
            //AES 要求密鑰長度爲 128
            kg.init(128, new SecureRandom(password.getBytes()));
            //生成一個密鑰
            SecretKey secretKey = kg.generateKey();
            return new SecretKeySpec(secretKey.getEncoded(), KEY_ALGORITHM);// 轉換爲AES專用密鑰
        } catch (NoSuchAlgorithmException ex) {
            Logger.getLogger(AesTest.class.getName()).log(Level.SEVERE, null, ex);
        }
        return null;
    }


    public static void main(String[] args) {
        String s = "愛琴孩的博客";
        System.out.println("原始明文:" + s);
        String s1 = AesTest.encrypt(s, "1236541");
        System.out.println("加密之後的密文:" + s1);
        System.out.println("解密之後的明文:" + AesTest.decrypt(s1, "123654"));
    }
}

測試效果如下

密鑰長度超過128

上面可以看到,我們代碼密鑰長度是128。如果想提高密鑰長度爲256,那麼代碼會報錯的

kg.init(256, new SecureRandom(password.getBytes()));

報錯信息如下

替換JCE類庫

在Java的核心類庫中有一個JCE(Java Cryptography Extension),JCE是一組包,它們提供用於加密、密鑰生成和協商以及 Message Authentication Code(MAC)算法的框架和實現,所以這個是實現加密解密的重要類庫。在我們安裝的JRE目錄下有這樣一個文件夾:%JAVE_HOME%\jre\lib\security,其中包含有兩個.jar文件:“local_policy.jar ”和“US_export_policy.jar”,也就是我們平時說的jar包,這兩個jar包就是我們JCE中的核心類庫了。JRE中自帶的“local_policy.jar ”和“US_export_policy.jar”是支持128位密鑰的加密算法,而當我們要使用256位密鑰算法的時候,已經超出它的範圍,無法支持,所以纔會報上面的錯誤。

解決方案:去官方下載JCE無限制權限策略文件。下載後解壓,可以看到local_policy.jar和US_export_policy.jar以及readme.txt。如果安裝了JRE,將兩個jar文件放到%JRE_HOME%\lib\security目錄下覆蓋原來的文件。如果安裝了JDK,還要將兩個jar文件也放到%JDK_HOME%\jre\lib\security目錄下覆蓋原來文件。目前項目用是jdk8,下面附上下載地址
JDK8的下載地址: http://www.oracle.com/technetwork/java/javase/downloads/jce8-download-2133166.html

通過反射修改屬性放開限制

    /**
     * 去除JCE限制
     */
    private static void removeJceLimit() {
        // 去除JCE加密限制,只限於Java1.8
        try {
            Field field = Class.forName("javax.crypto.JceSecurity").getDeclaredField("isRestricted");
            field.setAccessible(true);
            Field modifiersField = Field.class.getDeclaredField("modifiers");
            modifiersField.setAccessible(true);
            modifiersField.setInt(field, field.getModifiers() & ~Modifier.FINAL);
            field.set(null, false);
        } catch (ClassNotFoundException | NoSuchFieldException | 
            SecurityException | IllegalArgumentException | IllegalAccessException ex) {
            LOGGER.error("removeJceLimit e:", ex);
        }
    }

在服務啓動類中執行這個方法放開限制,這樣就不會報錯了。

山不轉水轉

上面兩種方式都有一定的缺陷,第一種如果直接替換生產環境jdk服務器上的jar,這樣無疑影響了該服務器上的所有服務,哪怕是沒有用到AES加密的服務,誰能擔保這樣換jar包不會對其他服務有影響。當然如果公司是土豪一臺服務器只部署一個服務,這樣就另當別論了。對於第二種方式,在啓動類中通過反射放開限制,這樣的風險也是不可預估的。總之生產環境還是要謹慎點比較好。除非你可以拍胸脯說,我對jdk瞭如指掌,就是這麼自信。

那麼最保險的方式是什麼呢,我們可以將需要用到AES256加密的服務,指定一個單獨的jdk啓動,只替換這個jdk的local_policy.jar和US_export_policy.jar,這個單獨的jdk不要在環境變量中配置,服務啓動的時候我們指定這個jdk的路徑。比如說說nohup /usr/server/jdk1.8.0_111/bin/java -jar test.jar &。這樣就避免了因爲替換Jar包影響了其他服務。

 

 

 

 

 

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章