Java 暗号化アーキテクチャ
JCA
Java 暗号化アーキテクチャー (JCA) は，Java プラットフォームにおける暗号化機能へのアクセスおよび開発のためのフレームワークであり，Java Security API (暗号化 API) が含まれている．
輸出規制への対応から，歴史的に暗号化 API は java.security パッケージと javax.crypto パッケージの 2 つに分かれている．java.security パッケージは，輸出規制の対象ではないクラス (Signature や MessageDigest など) が含まれ，javax.crypto パッケージには、輸出規制の対象のクラス (Cipher や KeyAgreement など) が含まれている．
JDK の JCA には、次の 2 つのソフトウェアコンポーネントが含まれる．
- プロバイダが実装を提供可能な暗号化サービスを定義および提供するフレームワーク．このフレームワークには，java.security，javax.crypto，javax.crypto.spec，javax.crypto.interfaces などのパッケージが含まれる．
- Sun，SunRsaSign，SunJCE などの標準的に提供される暗号プロバイダであり，各種の暗号化実装が含まれる．
暗号プロバイダの実装
暗号化サービスを独自に実装し組み込むことができる．この場合，以下に示すエンジンクラスを実装し，独自のプロバイダパッケージを作成する必要がある．
エンジンクラスは，特定の暗号化アルゴリズムに依存しない特定の型の暗号化サービス機能へのインタフェースを提供している． エンジンクラスが提供するアプリケーションインタフェースは，Service Provider Interface (SPI) として実装される．すなわち，各エンジンクラスに対応する抽象 SPI クラスが存在し，抽象 SPI クラスによって暗号化サービスプロバイダが実装しなければならない Service Provider Interface のメソッドが定義されている．
SPI クラスの名前は，対応するエンジンクラス名のあとに"Spi" を追加した名前である．例えば，Signature エンジンクラスに対応する SPI クラスは，SignatureSpi クラスである． 各 SPI クラスは，抽象クラスであり，指定したアルゴリズムに対する特定の型のサービスの実装を提供するには，対応する SPI クラスをサブクラス化してすべての抽象メソッドの実装を提供する必要がある．具体的には，engineSign メソッドなどの "engine" で始まる名称のメソッドを全て実装する．
プロバイダによる Cipher，KeyAgreement，KeyGenerator，MAC，または SecretKey ファクトリの実装 (クラス) をインスタンス化する際，JCA フレームワークはプロバイダのコードベース (JAR ファイル) を判定し，その署名を検証する．これにより，JCA はプロバイダを認証して，信頼されたエンティティーにより署名されたプロバイダだけが JCA にプラグインできる．このため，暗号化プロバイダは署名付きにする必要がある．
暗号プロバイダの組み込み
- プロバイダクラスのインストール
プロバイダクラスは Jar (Java Archive) ファイルの形式で提供する． プロバイダクラスのインストール方法には 次の 2 種類がある．- プロバイダクラスを含む JAR ファイルを拡張機能としてインストールする方法
- プロバイダクラスを含む JAR ファイルを CLASSPATH に含める方法
拡張機能としてインストールする場合，プロバイダ JAR ファイルを次に示す標準位置に配置する．$(JAVA_HOME)/lib/ext
ここで，$(JAVA_HOME) は，Java ランタイム (JRE) のインストール先ディレクトリ，または Java JDK の jre ディレクトリを指す． - プロバイダの構成
追加した暗号プロバイダを有効にするには，暗号プロバイダのリストにこのプロバイダを追加する必要がある．次のセキュリティプロパティ (java.security) ファイル を編集することにより行う．$(JAVA_HOME)/lib/security/java.security
このファイルは，プロバイダごとに次の形式の文を保持している．security.provider.n = masterClassName
これはプロバイダを宣言し，その優先順位 n を指定している．優先順位とは，特定プロバイダの指定がないときに要求されたアルゴリズムについてプロバイダを検索する順序である．順位は 1 から始まり，値が小さい方が優先順位が高い．
このファイルには，プロバイダのマスタークラスの完全修飾名を指定する必要がある．このクラスは，常に Provider クラスのサブクラスである．例えば，既に 9 個登録されていて，最後に com.cryptox.provider.CryptoX クラスを追加する場合，security.provider.10 = com.cryptox.provider.CryptoX
と 1 行追加する．
プロバイダは動的に登録することもできる．次のように，Security クラスの addProvider メソッド (または，insertProviderAt メソッド)を呼び出す．この登録は持続的なものではない．java.security.Security.addProvider(new com.cryptox.provider.CryptoX());
なお，実行できるのは次の権限を付与されたコードだけである．java.security.SecurityPermission "insertProvider.name"
ここで，name には実際のプロバイダ名を指定する． - 管理ポリシーファイル
輸出入に関する管理制限のため，デフォルトでは暗号強度に制限が加えられている．例えば，AES 暗号では鍵長が 128ビットしか使えない．しかし，管理ポリシーファイルを書き換えることによりこの制限を外すことができる（日本は可能）．
Java のダウンロードサイトより，以下のファイルJava Cryptography Extension (JCE) Unlimited Strength Jurisdiction Policy Files for JDK/JRE 8
を取得した後，zipファイルを解凍し，ファイル内に入っている US_export_policy.jar と local_policy.jar を以下の場所にコピー(同名ファイルを上書き)する．$(JAVA_HOME)/jre/lib/security
これにより，暗号強度制限は解除される．
Java クラスの検索
- Java クラスの検索順序
- ブートストラップクラスの検索
rt.jar などのコア API が格納された Jar ファイル - インストールド・エクステンションの検索
$(JAVA_HOME)/lib/extに格納された JARファイルの検索 - クラスパスの検索
環境変数 CLASSPATH で指定された場所．CLASSPATH が設定されていない場合は，カレントディレクトリ "." がセットされる．CLASSPATH を設定する場合は，デフォルトの "." は無効となるので必要ならば CLASSPATH で "." を含める必要がある． - ダウンロード・エクステンションの検索
JAR ファイル内の manifest ファイルで指定される JARファイル
- ブートストラップクラスの検索
- Endorsed Standards Override Mechanism (エンドースド・オーバーライド)
JDK 1.4 から加わった機能で，JDK が標準搭載しているクラスライブラリの一部を置き換えるための仕組みである．置き換えたいクラスライブラリが収められた JAR 形式ファイルを次の 2 つのどちらかによって指定する．- 実行時に，システムプロパティ "java.endorsed.dirs" に JAR ファイルの格納されているディレクトリをセットする．
- $(JAVA_HOME)/lib/endorsed ディレクトリの中に，JAR ファイルを格納する (初期状態では，endorsed ディレクトリは存在しないので作成する)．
署名無し暗号プロバイダの利用
GNUプロジェクトが提供している Java版の暗号ライブラリである GNU Crypto では，JCE の javax.crypto の独自のバージョンを javax-crypto.jar として提供している． これをエンドースド・オーバーライド機能を利用して jce.jar に置き換えて利用することにより，暗号プロバイダの署名チェック機能を無効化することができる．
／