java - 使用Java简化加密库有哪些安全风险？

Question

我继承了使用 Java 简化加密 (Jasypt) Java 库的代码。特别是 StandardPBEStringEncryptor 类。

import org.jasypt.encryption.pbe.StandardPBEStringEncryptor;

使用 StandardPBEStringEncryptor 类 是否存在任何安全风险？有没有更安全的选择？

Answer 1

使用 StandardPBEStringEncryptor 类是否存在任何安全风险

Jasypt 实际上并没有实现任何安全或加密算法，而是委托(delegate)给其他加密提供商。因此，无论您在下面实际使用哪个库，都不会存在任何其他安全风险。我认为默认情况下，Jasypt 使用 Java 附带的 JCE(Java 加密扩展)。

是否有更安全的替代方案？

Jasypt API 可以使用其他安全提供程序，包括 Bouncy Castle . Bouncy CaSTLe 具有比 JCE 附带的更多算法。

如 jasypt example 中所述

StandardPBEStringEncryptor myFirstEncryptor = new StandardPBEStringEncryptor();
myFirstEncryptor.setProvider(new BouncyCastleProvider());
myFirstEncryptor.setAlgorithm("PBEWITHSHA256AND128BITAES-CBC-BC");
myFirstEncryptor.setPassword(myPassword);

String myFirstEncryptedText = myFirstEncryptor.encrypt(myText);