MD5算法即使在$java_home/lib/security/java.security中禁用后仍能在java中工作

Question

我禁用了MD5算法，使用在$java_home/lib/security/java.security文件中添加以下内容。但是我仍然能够运行使用MD5算法的代码。

jdk.certpath.disabledAlgorithms=MD2, MD5, SHA1 jdkCA & usage TLSServer
jdk.jar.disabledAlgorithms=MD2, MD5, RSA keySize < 1024
jdk.tls.disabledAlgorithms=SSLv3, RC4, DES, MD5withRSA, DH keySize < 1024

但是我仍然能够运行以下使用MD5的代码

import java.math.BigInteger;
import java.security.MessageDigest;
import java.security.NoSuchAlgorithmException;

public class MD5 {
    public static String getMd5(String input)
    {
        try {

            // Static getInstance method is called with hashing MD5
            MessageDigest md = MessageDigest.getInstance("MD5");

            // digest() method is called to calculate message digest
            // of an input digest() return array of byte
            byte[] messageDigest = md.digest(input.getBytes());

            // Convert byte array into signum representation
            BigInteger no = new BigInteger(1, messageDigest);

            // Convert message digest into hex value
            String hashtext = no.toString(16);
            while (hashtext.length() < 32) {
                hashtext = "0" + hashtext;
            }
            return hashtext;
        }

        // For specifying wrong message digest algorithms
        catch (NoSuchAlgorithmException e) {
            throw new RuntimeException(e);
        }
    }

    // Driver code
    public static void main(String args[]) throws NoSuchAlgorithmException
    {
        String s = "TESTFORMD%";
        System.out.println("Your HashCode Generated by MD5 is: " + getMd5(s));
    }
}

Answer 1

$java_home/lib/Security/java.Security中配置的安全策略会影响JVM如何处理与安全相关的功能；它与您在代码中显式（尝试）使用的算法无关。

例如：

• jdk.jar.disabledalgorithms禁用用于验证签名的jar文件的算法
• jdk.certpath.disabledalgorithings禁用用于证书的算法（也影响密钥lenghs)
• jdk.TLS.disabledalgorithms禁用用于TLS密码协商的算法