Extensión de criptografía de Java

Me dijeron que para admitir el cifrado AES256 dentro de mi aplicación Java necesitaría el JCE con archivos de política de jurisdicción de fuerza ilimitada.

Descargué esto de Oracle y lo descomprimí y solo estoy viendo 2 JAR:

• local_policy.jar; y
• US_export_polic.jar

¡Solo quiero confirmar que no me falta nada aquí! Entiendo (después de leer el README.txt) es que simplemente dejo caer estos dos en mi <JAVA_HOME>/lib/security/directorio y deberían instalarse.

Por los nombres de estos JAR, debo suponer que no es la API Crypto de Java la que no puede manejar AES256, pero ¿es un problema legal , tal vez? Y que estos dos JAR básicamente le dicen al JRE " sí, es legalmente aceptable ejecutar este nivel de cifrado (AES256) " . ¿Estoy en lo correcto o fuera de la base?

La siguiente publicación de blog responde sus preguntas:

http://blogs.adobe.com/livecycle/2011/10/configuring-the-jdk-for-rights-management-encryption-using-aes-256-bit-keys.html

Realmente necesita los dos JAR para poder utilizar el cifrado AES256, y debe realizar los siguientes pasos, y cito:

Copie los dos archivos JAR en la carpeta / jre / lib / security / de su JDK, reemplazando los archivos con nombres similares que ya están allí.

Ahora, a la segunda parte de su pregunta: sí, se debe a problemas legales:

Debido a las restricciones de control de importación por parte de los gobiernos de algunos países, los archivos de política de jurisdicción enviados especifican que se puede utilizar una criptografía "fuerte" pero limitada. Una versión de "fortaleza ilimitada" de estos archivos que indica que no hay restricciones en las fortalezas criptográficas está disponible para aquellos que viven en países elegibles (que es la mayoría de los países). Pero solo la versión "fuerte" puede importarse a aquellos países cuyos gobiernos imponen restricciones. El marco JCE impondrá las restricciones especificadas en los archivos de política de jurisdicción instalados.

Además, hay un Q / A relacionado en la Pila de seguridad: leyes de exportación en la nube (tamaño de la clave) . Aunque la pregunta es específica de la nube, la respuesta principal cubre más terreno que solo la "nube" y enumera los países a los que no puede obtener una licencia para vender su software y aquellos para los que necesita un permiso de importación.

Finalmente, puede encontrar más información en Wikipedia sobre la exportación de criptografía en los Estados Unidos .