Java7 安全机制和自签名证书的使用
来源:互联网 发布:android读取串口数据 编辑:程序博客网 时间:2024/05/18 14:46
Java7 安全机制和自签名证书的使用
created on 2013-11-13
updated on 2014-5-8
Java为了增强安全性,到1.7.45已经累计增加了若干安全功能,jar包中的META-INF/MANIFEST.MF文件被用来描述jar文件的配置信息和安全信息,在增加的安全信息中可以显式的定义7个安全属性。
1权限属性Permissions Attribute,它用来验证RIA运行时请求的权限与JAR文件生成中设置的权限一致性情况,它可以阻止别人用已经签名的程序重新部署并在不一样的权限下运行,该属性值可以设置sandbox或all-permissions,签名的Jar默认为all-permissions,未签名的默认为sandbox。
Sandbox:使Applet或Webstart运行在沙箱中,与本地环境隔离。
Manifest-Version: 1.0
…
Permissions: sandbox
….
MANIFEST.MF中定义的Permissions与applet的参数标签permissions保持一致为sandbox
<applet …>
<param name="permissions"value="sandbox" />
<applet>
all-permissions:使签名的Applet或Webstart在本地环境下不受限访问。
Manifest-Version: 1.0
…
Permissions: all-permissions
….
MANIFEST.MF中定义的Permissions与applet的参数标签permissions保持一致为all-permissions
<?xml version="1.0"encoding="utf-8"?>
<!-- JNLP File Application -->
<jnlp …
<security>
<all-permissions/>
</security>
</jnlp>
另外设置的属性值必须与applet标签或者JNLP的安全属性定义一致,当不一致时运行会被阻止,如果没有权限属性,在JAVA控制台安全级别安全级别为高或中时会弹出没有包含“权限”的黄色感叹号警告信息且无法隐藏,在JAVA控制台安全级别为非常高时会被阻止。
通过添加权限属性,可以去掉黄色背景提醒
假设MANIFEST.txt文件在classes下
Permissions: all-permissions
Application-Name: SSC File Transfer
Caller-Allowable-Codebase: https://127.0.0.1
Application-Library-Allowable-Codebase:https://127.0.0.1
Codebase: https://127.0.0.1
Trusted-Only: true
Trusted-Library: true
执行
cdD:\workspaces\eclipse_main\FileBrowserApplet\bin
jar cvfm filebrowser.jar MANIFEST.txtcn
2代码库属性Codebase Attribute
用来限制jar代码库在指定域名上的运行,防止在其他地址上恶意地重新部署未授权的应用。
值
匹配
不匹配
*
All domains
https://*.example.com
https://a.example.com
https://a.b.example.com
http://a.example.com
http://a.b.example.com
www.example.com
https://www.example.com, http://www.example.com
http://example.com
http://example.net
www.example.com:8085
https://www.example.com:8085, http://www.example.com:8085
http://www.example.com
*.example.com
https://a.example.com, http://a.example.com
https://a.b.example.com, http://a.b.example.com
https://example.com, http://example.com
http://example.net
127.0.0.1
http://127.0.0.1
http://127.0.0.1:8080
http://127.0.0.1:80
http://localhost
127.0.0.1:8080
http://127.0.0.1:8080
http://127.0.0.1
http://127.0.0.1:80
代码库属性必须与applet运行的实际地址一致,如果没有代码库属性,则会在控制台中显示警告,applet或者JNLP标签的代码库将会被使用。如果没有定义如HTTPS安全匹配的规则,则可能会被“中间人攻击“方式截取和攻击。
3应用名称属性Application-Name Attribute:用来在安全对话框中显示签名应用的名称。
Application-Name:Hello World
如果没有应用名称属性,则会在控制台中显示警告,并使用入口类(Main-Class)属性替代。
4应用库许可代码库属性Application-Library-Allowable-Codebase Attribute
定义签名的applet可以在哪些地址使用,在安全对话框中的地址栏中将显示给用户applet与jnlp或页面地址不同的地址。为属性设置JAR、JNLP和HTML所在的地址,使用空格分割。
如果applet的JAR文件与JNLP和和HTML在一个地址,就不需要设置。
Application-Library-Allowable-Codebase:https://host.example.com *.samplehost.com/apps
5调用者许可代码库属性Caller-Allowable-Codebase Attribute
决定哪些地址的javascript可以调用applet,为运行javascript调用applet的地址设置属性值,如果javascript调用applet的地址没有定义,则调用会被阻止。
如果没有设置调用者许可代码库属性,当javascript尝试调用applet时,会弹出安全提示,用户根据需要决定是否阻止。
另外,Trusted-Library属性和Caller-Allowable-Codebase属性在兼容性方面存在问题,Trusted-Library的类加载器在Java 7u45成为所有库的父类加载器,而之前版本所有受信库都加载到独立而唯一的类加载器,导致了Java 7u45中不能在加入Caller-Allowable-Codebase 属性的同时加入Trusted-Library属性,否则会弹出警告。
Application-Name: ...
Codebase: *
Caller-Allowable-Codebase: *
Permissions: all-permissions
经过测试JVMs:
- Java 6u20 (OK)
Java 7u21–必须包含Trusted-Library否则 warningJava 7u25-必须包含Trusted-Library否则 warningJava 7u40-必须包含Trusted-Library否则 warning- Java 7u45 (OK)
- Java 7u55 (OK)
另外javascript调用applet时,必须与主要Jar文件位于一个地址上。
Caller-Allowable-Codebase: host.example.com 127.0.0.1
1.7.55中当单独使用*作为Caller-Allowable-Codebase值时,从javascript中调用applet会显示安全警告框,用户可选择允许和阻止,同时提供一个选项来记住用户操作,如果选择记住操作,RIA启动时就不再会显示警告框。
6仅受信属性Trusted-Only Attribute
用来阻止未受信的类文件或资源被applet加载。这个属性设为true可阻止使用未受信的组件,因此需要对所有类文件和组件签名并使用all-permissions。
Trusted-Only:true
7受信库属性Trusted-LibraryAttribute
用来设计applet允许未受信的组件,当applet加载未受信的类文件或资源时不会弹出警告对话框。这个属性设为true可阻止使用未受信的组件,因此需要对所有类文件和组件签名并使用all-permissions。在混合代码的applet中,所有特权类和资源都必须有Trusted-Library属性,这是用来在特权代码和沙盒代码间相互调用。
如果web站点的证书无效,JRE验证web站点不受信任时会弹出警告对话框且无法隐藏,并告知站点证书无效,临时使用时,可点击“继续”按钮。
如果签名文件的证书无效,会弹出警告框且无法隐藏。临时使用时点击我接受风险并希望运行此应用程序。
当证书无效或者Caller-Allowable-Codebase:为*,javascript调用applet时会提示警告框,临时使用时可点击“是”,
1.7.55增加了记住选项可记住默认操作。
经过测试和验证,解决弹框问题有五个方法:
第一个JRE降到1.7.25以前。
第二个java认可的CA数字签名。
效果如http://docs.oracle.com/javase/tutorial/deployment/applet/deployingApplet.html
第三个客户端添加自签名证书库和证书。
添加applet证书到签名者CA,避免未知发行者警告。
第四个windows操作系统下导入证书到受信任的根证书颁发机构,该操作只对IE浏览器有效。
第五个修改用户%APPDATA%的javaSecurity目录下trust.cacert文件。
添加web站点证书到安全站点证书,建议web站点证书与applet证书一致,避免Web站点连接不可信警告。
添加applet证书到可信的证书,可以避免运行提示框。
参考:
1Java与数字签名
http://www.blogjava.net/sylilzy/articles/javaadndigtalsign.html
2oracle官方的java数字签名后的插件
http://docs.oracle.com/javase/tutorial/deployment/applet/deployingApplet.html
3oracle增强的安全属性
http://docs.oracle.com/javase/7/docs/technotes/guides/jweb/manifest.html#codebase
4oracle官方Manifest
http://docs.oracle.com/javase/7/docs/technotes/guides/jweb/manifest.html#codebase
5oracle官方7u45发布
http://www.oracle.com/technetwork/java/javase/7u45-relnotes-2016950.html
- Java7 安全机制和自签名证书的使用
- 创建和使用自签名证书
- 使用自签名证书配置TLS搭建安全的Docker本地私有库
- 自签名的证书
- iOS程序的证书和签名机制
- 多域名证书的签名和自签名流程
- 自签名证书和私有CA签名的证书的区别 创建自签名证书 创建私有CA 证书类型 证书扩展名
- 自签名证书和私有CA签名的证书的区别 创建自签名证书 创建私有CA 证书类型 证书扩展名
- openssl自签名的证书
- 在C#中使用 makecert 创建自签名的证书
- 在C#中使用 makecert 创建自签名的证书
- 使用keytool + openssl 生成自签名的tomcat服务器证书
- 在iOS上使用自签名的SSL证书
- 在iOS上使用自签名的SSL证书
- windows下使用openssl建立自签名证书的过程
- Android使用OkHttp访问自签名证书的Https接口
- apk的证书自签名, 普通证书由证书中心签名, 根证书自签名 (签名者验证证书)
- 漫谈iOS程序的证书和签名机制
- 关于request.getHeader("Referer")的说明
- MongoDB阅读精要分析
- 第十周上机实践项目——乘法口诀表。
- 连连看算法,我的一种实现
- x264 自适应量化模式 (AQ Adaptive Quantization) 初探
- Java7 安全机制和自签名证书的使用
- 引用动态库libxxx.so中的func的方法
- loaded the "BlueView" nib but the view outlet was not set 错误的解决办法。
- linux 输出正确或错误信息到文件 1> 或 2>>
- hierarchyviewer 用法
- clientabortexception:IOException
- c#中public private protected internal 的区别
- 第十二周项目 猜数字游戏
- Android指南针app的实现原理总结