Jipherを最も優先するプロバイダとして、セキュリティ・プロバイダのリストの位置1に登録することをお薦めします。

アプリケーションが実装を提供するプロバイダを指定せずにアルゴリズムのインスタンスをリクエストすると、JCAは登録済プロバイダのリストを優先順位で検索します。 JCAは、アルゴリズムを提供する最初のプロバイダから実装を返します。 Jipherを最も優先されるプロバイダとして登録すると、JCAは、FIPS 140標準で許可されるアルゴリズムの認定された実装を提供するためにそれを選択します。

次の方法で、Jipherなどのプロバイダを登録します:

• java.securityファイルの登録済プロバイダのリストに指定して、静的に実行
• アプリケーション・コードのjava.security.SecurityクラスでaddProviderまたはinsertProviderAtメソッドを動的にコール

これを行うステップについては、「Java Platform, Standard Editionセキュリティ開発者ガイド」の「Java暗号化アーキテクチャでのプロバイダの実装方法」の「ステップ8.1: プロバイダの構成」を参照してください。

次の例は、java.securityファイルの抜粋です。 プロバイダ・クラスcom.oracle.jipher.provider.JipherJCEを指定して、位置1にJipherを登録します。 また、位置2のSUNプロバイダ、位置3のSunRsaSignおよび位置4のSunJSSEも登録します:

security.provider.1=JipherJCE
security.provider.2=SUN
security.provider.3=SunRsaSign
security.provider.4=SunJSSE
# Other registered providers follow...

この例では、Jipherが位置1に登録されているため、JCAは暗号エンジン・クラスのアルゴリズム実装を最初に取得します。 JCAがJipherからリクエストされたアルゴリズムの実装を取得できない場合、他の登録済プロバイダの1つから実装を取得しようとします。 たとえば、MD5メッセージ・ダイジェスト・アルゴリズムに対するリクエストは、FIPS 140で許可されているアルゴリズムではなく、SUNプロバイダによって提供される実装をJCAが取得します。

SUNおよびSunRsaSignプロバイダは、JARファイルのシグネチャ検証に必要なアルゴリズム(Jipherでは提供されない)を提供するため、登録する必要があります。

javax.cryptoパッケージのエンジン・クラスにアルゴリズムを提供するJipherなどのセキュリティ・プロバイダは、署名付きJARファイルに存在する必要があります。 JARファイルのシグネチャの検証は、javax.cryptoパッケージのクラスからアルゴリズム・インスタンスを取得するときに行われます。 JARファイルのシグネチャの検証に失敗した場合、実装を提供するプロバイダは選択されません。

JARファイルのシグネチャの検証には、Jipherが提供しない2つのアルゴリズムが必要です:

これらのアルゴリズムは、JipherのJARファイル・シグネチャを検証する前に、登録済プロバイダから提供される必要があります。 これを行うには、SUNプロバイダとSunRsaSignプロバイダを登録します。

アプリケーション内の登録済プロバイダの数を最小化する場合は、JARファイルのシグネチャ検証に必要なプロバイダを静的に登録し、JipherのJARファイルのシグネチャが検証されると、それらのプロバイダを動的に登録解除できます。 その方法を示すサンプル・コードを次に示します。

static {
    // Dynamically register the "JipherJCE" provider if it has not already been statically registered.
    if (Security.getProvider("JipherJCE") == null) Security.insertProviderAt(new JipherJCE(), 1);

    // Trigger the javax.crypto.JarVerifier's certificate verification self-test.
    // This assumes that the "SUN" and "SunRsaSign" providers have been statically registered.
    Cipher.getInstance("AES", "JipherJCE");
 
    // Dynamically unregister the "SUN" and "SunRsaSign" providers
    Security.removeProvider("SUN");
    Security.removeProvider("SunRsaSign");
}

「Java暗号化アーキテクチャ(JCA)、エンジン・クラスおよびプロバイダ」で説明されているように、JDKに含まれる一部のプロバイダは、暗号化エンジン・クラス・アルゴリズムと非暗号化エンジン・クラス・アルゴリズムの両方を提供します。 ただし、Jipherでは、暗号化エンジン・クラス以外のアルゴリズムは提供されません。

また、プロバイダJARファイルのシグネチャ検証には、SUNプロバイダとSunRsaSignプロバイダが必要です。 JDKでは、最初にプロバイダを使用して暗号化操作を実行するときにこれが必要です。 「JARファイル・シグネチャ検証用のSUNおよびSunRsaSignプロバイダの登録」を参照してください。

ただし、登録されているセキュリティ・プロバイダが少ないほど、Jipherがサポートしない暗号化エンジン・クラス・アルゴリズムを提供するためにJipher以外のプロバイダが選択される可能性は低くなります(FIPSのため)。140の制限)または、遅延プロバイダ選択の場合(「遅延プロバイダ選択」を参照)、Jipherがサポートしていない「キー」で初期化される暗号化エンジン・クラス・アルゴリズム(FIPS 140の制限により)。

SUNプロバイダはオプションで、次の非暗号化エンジン・クラス・アルゴリズムのサポートを提供する必要があります:

• 証明書のロードと証明書パスの構築/検証:
  • X.509 CertificateFactoryアルゴリズム
  • PKIX CertPathBuilderおよびCertPathValidatorアルゴリズム
  • Collection CertStoreアルゴリズム
• キーストアおよびトラスト・ストアのロード:
  • PKCS12 KeyStoreアルゴリズム

SunJSSEプロバイダは、必要に応じて、次の非暗号化エンジン・クラス・アルゴリズムを介してTLSサポートを提供する必要があります:

• PKIX KeyManagerFactoryおよびTrustManagerFactoryアルゴリズム
• すべてのSSLContextアルゴリズム

SUNおよびSunRsaSunプロバイダは、Jipherでサポートされている暗号化エンジン・クラス・アルゴリズムをサポートしています。 したがって、これらのプロバイダを登録する場合は、「最も優先されるプロバイダとしてのJipherの登録」で説明されているように、Jipherがより高いプリファレンスで登録されることが重要です。

SUNプロバイダは、Jipherでサポートされていない次の暗号化エンジン・クラス・アルゴリズムをサポートしています:

• KeyFactory:
  • HSS/LMS
• MessageDigest:
  • MD2
  • MD5
  • SHA-512/224
  • SHA-512/256
• 署名:
  • HSS/LMS
  • NONEwithDSAinP1363Format
  • SHA1withDSAinP1363Format
  • SHA224withDSAinP1363Format
  • SHA256withDSAinP1363Format
  • SHA384withDSAinP1363Format
  • SHA512withDSAinP1363Format
  • SHA3-224withDSA
  • SHA3-256withDSA
  • SHA3-384withDSA
  • SHA3-512withDSA
  • SHA3-224withDSAinP1363Format
  • SHA3-256withDSAinP1363Format
  • SHA3-384withDSAinP1363Format
  • SHA3-512withDSAinP1363Format

SunRsaSignプロバイダは、Jipherでサポートされていない次のシグネチャエンジン・クラス・アルゴリズムをサポートしています:

• MD2withRSA
• MD5withRSA
• SHA512/224withRSA
• SHA512/256withRSA
• SHA3-224withRSA
• SHA3-256withRSA
• SHA3-384withRSA
• SHA3-512withRSA

SunJSSEプロバイダは、Jipherでサポートされていない暗号化エンジン・クラス・アルゴリズムをサポートしていません。

セキュリティ・プロバイダは、TLSv1.2を提供するためにSunJSSEが必要とする暗号化を提供する場合、内部JDK APIクラスにアクセスする必要があります。

Jipherがそれらにアクセスしようとすると、IllegalAccessExceptionがスローされます。 これを回避するには、Jipher JARファイルの指定場所に応じて、Javaアプリケーションを実行するときに次のいずれかのコマンドライン・オプションを追加

• クラス・パス:

  --add-exports=java.base/sun.security.internal.spec=ALL-UNNAMED

• モジュール・パスで:

  --add-exports=java.base/sun.security.internal.spec=com.oracle.jipher

この項では、Jipherと同じレベルおよび値に制限するSunJSSEパラメータおよびプロパティについて説明します。 これにより、SunJSSEプロバイダは、Jipherがサポートしていない暗号化をリクエストしません。

Jipherは、アルゴリズムおよびキーの使用方法に応じて、FIPS 140アルゴリズムの使用状況およびキー・サイズの強制を実行できます。

jipher.fips.enforcementシステム・プロパティを使用して、FIPS 140強制ポリシーを指定できます。 「システム・プロパティを介したJipherの構成」を参照してください。 デフォルト・ポリシーFIPSは、レガシーの使用を許可します。 つまり、「レガシー使用」ステータスのアルゴリズムまたはキー長を使用できますが、暗号テキスト・データの復号化やデジタル・シグネチャの検証など、すでに保護されている情報を処理するためにのみ使用できます。 FIPS_STRICTポリシーでは、承認ステータスが「許容可能」のアルゴリズムおよびキーの長さのみが許可されます。 これはより制限的ですが、時間の経過とともに安定する可能性が高くなります。 詳細は、「NIST SP 800-131A改訂2: 暗号化アルゴリズムとキー長の使用の移行」を参照してください。

通常、デフォルトのFIPSポリシーはFIPS_STRICTポリシーと似ていますが、FIPS_STRICTポリシーでは、デジタル・シグネチャ検証に長いキー長が必要で、様々なアルゴリズムにMACが必要になる点が異なります。 次の表に、boldのこれらの違いを示します。