Java: SecureRandom.getInstanceStrong() so với SecureRandom() mới

Được cho Bảo mật Ngẫu nhiên lớp được coi là phù hợp để sử dụng trong mật mã, tôi cho rằng SecureRandom mới() để được an toàn (thuật ngữ buồn cười, phải không?).

Nếu SecureRandom mới() đã được bảo mật, lợi ích của việc sử dụng là gì SecureRandom.getInstanceStrong() thay thế?

Đây có phải là loại khác biệt giống như giữa /dev/urandom và /dev/ngẫu nhiên?

Tôi đang tranh luận về vấn đề này trong trường hợp sau, trong đó tôi chủ yếu quan tâm đến việc tạo IV ngẫu nhiên (để sử dụng với AES-GCM):

riêng tư cuối cùng SecureRandom secureRandom = new SecureRandom();

[…]

byte riêng [] getIv() {
    int ivLength = 12;
    byte[] iv = byte mới[ivLength];
    safeRandom.nextBytes(iv);
    trở lại iv;
}

SecureRandom.getInstanceStrong() sẽ đảm bảo rằng thuật toán mạnh (securerandom.strongAlgorithms) sẽ được sử dụng.

• Nó có sẵn từ Java phiên bản 8. Kiểm tra phiên bản của bạn trước khi bắt đầu sử dụng.

• Nếu không có thuật toán như vậy có sẵn khi chạy VM, nó sẽ ném NoSuchAlgorithmException.

• Lỗi này là một cách thực hành tốt hơn thay vì mặc định là bảo mật yếu.