java - 署名されたjarの作成者は不明です

Question

Javaでjarに署名し、これらの3つのステップに従って署名しました

1. keytool -genkey -keystore myKeyStore -alias me
2. keytool -selfcert -keystore myKeyStore -alias me
3. jarsigner -keystore myKeyStore jarfile.jar me

私の質問は次のとおりです。

1. その後、アプレットを実行しましたが、なぜ作成者が不明であることが示されているのですか？
2. -validity私は私の瓶に何日も与えることができません、私が与えることができる最大の日数は何ですか？

Answer 1

1. 作成した証明書は自己署名証明書です。「検証済み作成者」として表示されるのは、Java設定で信頼済みとしてマークされたトラストセンターの1つによって署名された証明書のみです。

2. 有効性は、JARファイルが機能する期間には何の影響もありません。有効期間は、署名に証明書（または証明書に属する秘密鍵）を使用できる期間のみを示します。

Answer 2

1. デジタル証明書がVerisignなどのCA（認証局）に戻るキーチェーンによって認証されていない限り、「作成者不明」と表示されます。「自己署名」証明書の問題は、自分が本人であると主張する証明書を作成できる一方で、他の人も自分が本人であると主張する証明書を作成できることです。
   1つの「自己署名」証明書は次の証明書と同じくらい優れているため（IEは無価値）、JREは「作成者不明」と述べています。
2. 以前の証明書で5000日を使用したことを思い出しますが、よくわかりません。おそらく本当の問題は、JREが身元を示すのに十分なほど信頼することは決してないという証明書で、あなたが誰であるかを主張する価値があるかどうかです。これが商用製品の場合は、検証を行うことを強くお勧めします（高額になる可能性があります）。広く配布されている無料の製品でも問題はありません。

Answer 3

keytool 有効期間に記載されているように、

各証明書は、限られた期間のみ有効です。この期間は、開始日時と終了日時で表され、最短で数秒、最長で1世紀になります。

@Andrewと@Robertの両方が指摘しているように、プロのソフトウェアにはプロが署名した証明書が必要です。カジュアルな使用の場合、自己署名証明書は、別の信頼チャネルを共有する人々の間で使用できます。また、誤った偽りの主張を拒否するのにも役立ちます。

• Aは、署名されたAのオープンソースプログラムを作成します。
• Bはマルウェアを追加し、Aに署名できない場合は、Bに署名します。
• Cは誤ってBのバージョンを入手し、Aを犯罪であると非難します。
• 改ざんが発生したことを確認できます。