Java: SecureRandom.getInstanceStrong() vs noul SecureRandom()

Dat SecureRandom clasa este considerată potrivită pentru utilizarea în criptografie, consider nou SecureRandom() pentru a fi sigur (termen amuzant, nu-i așa?).

Dacă nou SecureRandom() deja este sigur, care ar fi beneficiul utilizării SecureRandom.getInstanceStrong() in schimb?

Este același tip de diferență ca între /dev/urandom și /dev/random?

Dezbat acest lucru în următorul scenariu, în care sunt mai ales preocupat de a face IV aleatoriu (pentru utilizarea cu AES-GCM):

privat final SecureRandom secureRandom = nou SecureRandom();

[...]

octet privat[] getIv() {
    int ivLength = 12;
    byte[] iv = octet nou[ivLength];
    secureRandom.nextBytes(iv);
    întoarcere iv;
}

SecureRandom.getInstanceStrong() se va asigura că va fi utilizat un algoritm puternic (securerandom.strongAlgorithms).

• Este disponibil de atunci Java versiunea 8. Verificați versiunea dvs. înainte de a începe să utilizați.

• Dacă nu este disponibil un astfel de algoritm în rularea VM, va arunca NoSuchAlgorithmException.

• Acest eșec este o practică mai bună, în loc de a trece implicit la securitatea slabă.