Weak Encryption: Byte Array to String Conversion

暗号鍵を String に変換するとエントロピを大幅に失います。

Weak Encryption: Byte Array to String Conversion の問題は、次の場合に発生します。

1. 暗号鍵がバイト配列で作成されている


2. データが String に変換されている

例 1: 次の例では、暗号鍵を作成して String に変換しています。

import javax.crypto.KeyGenerator;
import javax.crypto.SecretKey;
  ...
  KeyGenerator keygen = KeyGenerator.newInstance("AES");
  ...
  SecretKey cryptoKey = keygen.generateKey();
  byte[] rawCryptoKey = cryptoKey.getEncoded();
  ...
  String key = new String(rawCryptoKey);
  ...

暗号鍵をデフォルトのシステム文字セットを使って String に変換していますが、コンストラクターに文字セットの有効な範囲外のバイトを加えた場合、何が起こるかは不明です。そのままでは、key は元の暗号鍵 rawCryptoKey と比べて大幅にエントロピを失う可能性があります。