Extensão de criptografia Java

Foi-me dito que, para oferecer suporte à criptografia AES256 dentro do meu aplicativo Java, eu precisaria do JCE com arquivos de políticas de jurisdição de força ilimitada.

Eu baixei isso da Oracle e descompactei e só estou vendo 2 JARs:

• local_policy.jar; e
• US_export_polic.jar

Eu só quero confirmar que não estou perdendo nada aqui! Meu entendimento (depois de ler o README.txt) é que eu simplesmente solto esses dois no meu <JAVA_HOME>/lib/security/diretório e eles devem ser instalados.

Pelos nomes desses JARs, devo assumir que não é a API Java Crypto que não pode lidar com o AES256, mas na verdade é uma questão legal , talvez? E que esses dois JARs basicamente dizem ao JRE " sim, é legalmente aceitável executar esse nível de criptografia (AES256). " Estou correto ou fora da base?

A seguinte postagem no blog responde às suas perguntas:

http://blogs.adobe.com/livecycle/2011/10/configuring-the-jdk-for-rights-management-encryption-using-aes-256-bit-keys.html

Você precisa efetivamente dos dois JARs para poder usar a criptografia AES256 e precisa executar as seguintes etapas, e cito:

Copie os dois arquivos JAR para a pasta / jre / lib / security / do seu JDK, substituindo os arquivos com nomes semelhantes que já estão lá.

Agora, para a segunda parte da sua pergunta: sim, é devido a questões legais:

Devido a restrições de controle de importação pelos governos de alguns países, os arquivos de políticas de jurisdição enviados especificam que criptografia "forte", mas limitada, pode ser usada. Uma versão de “força ilimitada” desses arquivos, indicando que não há restrições sobre as forças criptográficas, está disponível para aqueles que vivem em países elegíveis (que é a maioria dos países). Mas apenas a versão "forte" pode ser importada para os países cujos governos exigem restrições. A estrutura JCE aplicará as restrições especificadas nos arquivos de política de jurisdição instalados.

Além disso, há uma Q / A relacionada na pilha de segurança: leis de exportação na nuvem (tamanho da chave) . Embora a pergunta seja específica da nuvem, a resposta principal cobre mais terreno do que apenas a "nuvem" e lista os países para os quais você não pode obter uma licença para vender seu software e aqueles para os quais você precisa de uma licença de importação.

Por fim, você pode encontrar mais informações na Wikipedia sobre Exportação de criptografia nos Estados Unidos .