KeyFactory.generatePublic()在RHEL 6中耗时久/无响应问题咨询

这确实是个在RHEL 6环境下使用Bouncy Castle FIPS（BCFIPS）库执行KeyFactory.generatePublic()操作时会碰到的已知性能问题，不少开发者都反馈过类似的现象——操作耗时波动极大，从1分钟到十几分钟不等，但在RHEL 7+上完全正常。

背后的核心原因 #

主要和RHEL 6的老旧系统环境与BCFIPS的设计逻辑不兼容有关：

• 底层加密组件版本过低：RHEL 6默认的OpenSSL、NSS等加密库版本远落后于RHEL 7，而BCFIPS在解析RSA公钥时依赖这些底层组件的数学运算能力。旧版本组件缺乏现代优化，导致公钥合规性验证、大数运算等步骤耗时剧增。
• FIPS合规检查的额外开销：BCFIPS为了满足FIPS 140合规要求，会对密钥材料执行多轮严格验证。这些验证逻辑在RHEL 6的老旧内核和硬件环境下，无法发挥优化效果，最终演变成长时间阻塞。

可行的解决办法 #

根据实际场景，可以尝试以下几种方案：

• 升级系统加密库：把RHEL 6上的OpenSSL升级到兼容的较新版本（建议先在测试环境验证稳定性），这能直接提升底层运算效率，缓解卡顿问题。
• 调整BCFIPS配置：如果业务场景允许放松部分FIPS合规要求，可以修改BCFIPS的配置参数，关闭非必要的合规检查（比如调整org.bouncycastle.fips.approved_only参数），但这么做会影响FIPS合规性，务必谨慎评估。
• 切换到非FIPS版BC库：如果不需要严格的FIPS合规，临时改用普通版本的Bouncy Castle库（bcprov-jdkXX系列）来解析公钥，非FIPS版本在老旧系统上的性能表现通常友好很多。
• 检查系统熵池状态：虽然生成公钥不像生成密钥对那样依赖熵源，但某些极端情况下系统熵池不足也会拖慢加密操作。可以用cat /proc/sys/kernel/random/entropy_avail查看熵值，要是低于1000，建议安装rngd服务补充熵源。

额外提一句：这个问题在Bouncy Castle的社区讨论里被多次提到，最彻底的解决方式还是升级到RHEL 7及以上版本——毕竟RHEL 6已经停止官方支持，老旧环境本身就会带来各种兼容性隐患。

内容的提问来源于stack exchange，提问作者Bidya