Question

我正在尝试调试部署在Tomcat上的应用程序提供的一些慢响应。现在我专注于SecureRandom和/dev/random（其他一些可能的原因已被调查并排除在外）。模式如下：

Tomcat重新启动后第一次调用完全 30.0 xy秒（即使请求在启动后4分钟到达）
稍后，一些调用采用 15.0 pq秒（没有我可以建立的特定模式， pq 是TP99中花费的时间）

服务电话涉及加密和解密（ AES / ECB / PKCS5Padding ）。

SecureRandom init / repopulating有可能导致这种情况吗？

（虽然有一个用catalina.log写的日志，上面写着"Creation of SecureRandom instance for session ID generation using [SHA1PRNG] took [28,760] milliseconds."）

另外，为了检查是否正在使用/dev/random或/dev/urandom，我使用了this question中的测试。令我惊讶的是，我没有看到其中任何一个的读取，这与它在链接问题中的发生方式不同。这些是strace日志的最后几行：

3561  lstat("/usr/lib/jvm/java-1.6.0-openjdk-1.6.0.0.x86_64/jre/lib/jsse.jar", {st_mode=S_IFREG|0644, st_size=258525, ...}) = 0
3561  open("/usr/lib/jvm/java-1.6.0-openjdk-1.6.0.0.x86_64/jre/lib/jsse.jar", O_RDONLY) = 6
3561  stat("/dev/random", {st_mode=S_IFCHR|0666, st_rdev=makedev(1, 8), ...}) = 0
3561  stat("/dev/urandom", {st_mode=S_IFCHR|0666, st_rdev=makedev(1, 9), ...}) = 0
3561  open("/dev/random", O_RDONLY)     = 7
3561  open("/dev/urandom", O_RDONLY)    = 8
3561  unlink("/tmp/hsperfdata_xxxx/3560") = 0

然后用什么来播种SecureRandom？

fyi， java -version

java version "1.6.0_32"
OpenJDK Runtime Environment (IcedTea6 1.13.4) (rhel-7.1.13.4.el6_5-x86_64)
OpenJDK 64-Bit Server VM (build 23.25-b01, mixed mode)

Answer 1

我无法检查您的OpenJDK具体版本，但我可以查看jdk6-b33。

SecureRandom使用SeedGenerator获取种子字节

public byte[] engineGenerateSeed(int numBytes) {
    byte[] b = new byte[numBytes];
    SeedGenerator.generateSeed(b);
    return b;
}

SeedGenerator从SunEntries

获取seedSource（字符串）

String egdSource = SunEntries.getSeedSource();

SunEntries首先尝试从系统属性java.security.egd获取源代码，如果未找到，则尝试从securerandom.source属性文件中获取属性java.security，如果未找到属性返回空字符串。

// name of the *System* property, takes precedence over PROP_RNDSOURCE
private final static String PROP_EGD = "java.security.egd";
// name of the *Security* property
private final static String PROP_RNDSOURCE = "securerandom.source";

final static String URL_DEV_RANDOM = "file:/dev/random";
final static String URL_DEV_URANDOM = "file:/dev/urandom";

private static final String seedSource;

static {
    seedSource = AccessController.doPrivileged(
            new PrivilegedAction<String>() {

        public String run() {
            String egdSource = System.getProperty(PROP_EGD, "");
            if (egdSource.length() != 0) {
                return egdSource;
            }
            egdSource = Security.getProperty(PROP_RNDSOURCE);
            if (egdSource == null) {
                return "";
            }
            return egdSource;
        }
    });
}

SeedGenerator检查此值以初始化实例

// Static instance is created at link time
private static SeedGenerator instance;

private static final Debug debug = Debug.getInstance("provider");

final static String URL_DEV_RANDOM = SunEntries.URL_DEV_RANDOM;
final static String URL_DEV_URANDOM = SunEntries.URL_DEV_URANDOM;

// Static initializer to hook in selected or best performing generator
static {
    String egdSource = SunEntries.getSeedSource();

    // Try the URL specifying the source
    // e.g. file:/dev/random
    //
    // The URL file:/dev/random or file:/dev/urandom is used to indicate
    // the SeedGenerator using OS support, if available.
    // On Windows, the causes MS CryptoAPI to be used.
    // On Solaris and Linux, this is the identical to using
    // URLSeedGenerator to read from /dev/random

    if (egdSource.equals(URL_DEV_RANDOM) || egdSource.equals(URL_DEV_URANDOM)) {
        try {
            instance = new NativeSeedGenerator();
            if (debug != null) {
                debug.println("Using operating system seed generator");
            }
        } catch (IOException e) {
            if (debug != null) {
                debug.println("Failed to use operating system seed "
                              + "generator: " + e.toString());
            }
        }
    } else if (egdSource.length() != 0) {
        try {
            instance = new URLSeedGenerator(egdSource);
            if (debug != null) {
                debug.println("Using URL seed generator reading from "
                              + egdSource);
            }
        } catch (IOException e) {
            if (debug != null)
                debug.println("Failed to create seed generator with "
                              + egdSource + ": " + e.toString());
        }
    }

    // Fall back to ThreadedSeedGenerator
    if (instance == null) {
        if (debug != null) {
            debug.println("Using default threaded seed generator");
        }
        instance = new ThreadedSeedGenerator();
    }
}

如果来源是

final static String URL_DEV_RANDOM = "file:/dev/random";

或

final static String URL_DEV_URANDOM = "file:/dev/urandom"

使用NativeSeedGenerator，在Windows上尝试在Linux上使用本机CryptoAPI，该类只是扩展SeedGenerator.URLSeedGenerator

package sun.security.provider;

import java.io.IOException;

/**
 * Native seed generator for Unix systems. Inherit everything from
 * URLSeedGenerator.
 *
 */
class NativeSeedGenerator extends SeedGenerator.URLSeedGenerator {

    NativeSeedGenerator() throws IOException {
        super();
    }

}

并调用默认情况下加载/dev/random的超类构造函数

URLSeedGenerator() throws IOException {
    this(SeedGenerator.URL_DEV_RANDOM);
}

因此，OpenJDK默认使用/dev/random，直到您没有在系统属性java.security.egd或安全属性文件的属性securerandom.source中设置其他值。

如果您想使用strace查看阅读结果，可以更改命令行并添加trace=open,read表达式

sudo strace -o a.strace -f -e trace=open,read java class

你可以看到这样的东西（我用Oracle JDK 6进行了测试）

13225 open("/dev/random", O_RDONLY)     = 8
13225 read(8, "@", 1)                   = 1
13225 read(3, "PK\3\4\n\0\0\0\0\0RyzB\36\320\267\325u\4\0\0u\4\0\0 \0\0\0", 30) = 30
....
....

如果您在启动期间遇到延迟，那么启动速度更快的Tomcat Wiki部分建议使用非阻塞熵源，例如/ dev / urandom

更多信息：https://wiki.apache.org/tomcat/HowTo/FasterStartUp#Entropy_Source

希望这有帮助。

Answer 2

问题不是SecureRandom本身，而是/ dev / random阻塞，如果它没有足够的数据。您可以使用urandom，但如果您需要加密强大的随机种子，这可能不是一个好主意。在无头Linux系统上，您可以安装hasged守护进程。这使得/ dev / random保持足够的数据，以便调用不必等待生成所需的熵。我在Debian Aws实例上做了这个，看着SecureRandom generateBytes调用从25秒下降到亚毫秒（Openjdk 1.7的东西，不记得具体是什么版本）。

服务响应缓慢时间：Java SecureRandom＆amp;的/ dev /随机

2 个答案: