Weak Encryption: Byte Array to String Conversion

Convertir una clave de cifrado en String puede suponer una pérdida significativa de entropía.

Los problemas de Cifrado débil: matriz de bytes a conversión de cadena se producen cuando:

1. Se crea una clave de cifrado como matriz de bytes


2. Los datos se convierten en String.

Ejemplo 1: el siguiente código crea una clave de cifrado y, a continuación, la convierte en String.

import javax.crypto.KeyGenerator;
import javax.crypto.SecretKey;
  ...
  KeyGenerator keygen = KeyGenerator.newInstance("AES");
  ...
  SecretKey cryptoKey = keygen.generateKey();
  byte[] rawCryptoKey = cryptoKey.getEncoded();
  ...
  String key = new String(rawCryptoKey);
  ...

Esto convierte una clave criptográfica en String utilizando el conjunto de caracteres del sistema predeterminado. Sin embargo, no se especifica lo que ocurre cuando se da al constructor bytes fuera del rango válido de este conjunto de caracteres. De esta forma, key ocasionará una pérdida significativa de entropía en comparación con la clave de cifrado original rawCryptoKey.