問題タブ [jar-signing]

インターネット上で署名付きの jar をホストすることのセキュリティへの影響は何ですか?

jar 署名を理解しているので、ユーザーが証明書の自動承認を選択すると、署名された jar がドメインからのものであるか、別のドメインからリンクされているか、別のドメインでホストされているかは関係ありません。たとえば、Sun はこの方法を使用して、ドライバーにリンクする (ホストされた) 署名付き jar を提供することにより、アプレットに OpenGL サポートを提供します。では、私が利用可能にする Java コードの開発者および証明書署名者として、私がしなければならない予防策はありますか?

AES 暗号化に弾む城プロバイダーを使用しています。bc と自分の jar からファット jar を作成する必要がありますが、作成するとすぐに Algorithm not found 例外が発生します。サインを取り除き、そこから通常の瓶を作成することは可能ですか?

私のビルドプロセスは..

• すべての jar ファイルをビルド ディレクトリに解凍します。
• 次に、META-INF ディレクトリを削除します
• アプリケーションをコンパイルする
• アリを使って瓶詰めする

を使用しようとするとエラーが発生します

SecretKeyFactory.getInstance(アルゴリズム);

アルゴリズムは、弾む城の PBEWITHSHA256AND128BITAES-CBC-BC です。

HTTPS サイトからダウンロードされている多数の jar ファイルを含む zip ファイルがあります。

jar は、コマンド ライン駆動型のサーバー側アプリケーションを形成します。特定の信頼できるデジタル証明書を使用して jar が署名されており、転送中に変更されていないことを確認するためのチェックを行う、Java で記述されたアプリケーション インストーラーがあります。

受信時にjarファイルを検証する必要がありますか、それともこれはJVMが行うことですか? JVM がバイト コードを検証することは知っていますが、jar の署名はどうでしょうか。

以前はアプレットとして配布されていたベンダーからのレガシーJARファイルがいくつかありますが、Webサービスとして単純化したいと思います。

コードをEclipseIDE内でネイティブに実行すると機能しますが、WARとしてエクスポートしてJBoss（5.0.1）にデプロイした後、Webサービスクライアントからコードを呼び出そうとすると失敗します。発生するエラーはセキュリティに関連しています（「jarファイルは署名されていません」および「WEB-INF / lib / ****。jarは指定された署名者によって署名されていません。」（変更内容によって異なります）。このプロジェクトのJAR署名を無視するようにアプリケーションサーバーに指示する方法はありますか？

声でペイントできる奇妙なアプレットを作りました。明らかにマイクへのアクセスが必要ですが、Java アプレットは署名されていない限りアクセスできません。私が知る限り、それは困難で暗号化を伴うものであり、明確ではありませんが、Verisign にも MONEY を支払うことが期待されていると思います。これはすべて、強気**を抑圧する多くの偏執的なイノベーションのように思えます**。そう考えるのは私が初めてではないと思います。

「教育またはテスト目的で」これをバイパスする方法はありますか? または、ブラウザのセキュリティをオフにしますか? またはアプレットに無料で署名しますか？

私はFirefox 3.0.15とJava 1.6.0を搭載したUbuntu 9.04を使用しています

誰かが他のいくつかのjarに依存するアプレットでjarファイルを作成するためにpomファイルがどのように見えるべきかを教えてもらえますか？1つのjarをアプレットとして持つことは可能ですか？そしてそれに署名する方法は？

MS Active Directory Certificate Services によって生成された証明書を使用して JAR ファイルに署名しました。ただし、Java Web Start 経由でアクセスすると、クライアント マシンの証明書ストアにルート CA をインストールしたにもかかわらず、デジタル署名を検証できないというプロンプトが表示されます。

"keytool -list" を使用してクライアント マシンのルート CA を調べようとすると、例外が発生します (無効な URI:file://\my_msadcs_server\path\to\CRL.crl)。だから今、何がうまくいかないのか正確にはわかりません。

JWSが不平を言っている理由を正確に把握するために、クライアントマシンでダウンロードしたJARファイルの署名をテストする方法について、提案またはサンプルJavaコードを持っている人はいますか? ルート CA 証明書に問題がある可能性があります (AD 管理者が侵入したときにその道を追跡します) が、他の可能性を最初に除外したいと思います。現在、「keytool -list」からの例外のみを実行する必要がありますが、keytool は最初からルート CA 証明書のインポートに問題はありませんでした。

前もって感謝します！、

mG。

I want to know if Netbeans has some option or setting that will allow me to automatically sign a jar as part of the build.

2 つ目の署名を .jar ファイルに追加すると、そのうちの 1 つしかないコードと組み合わせて問題が発生するという問題があります。

背景:期限切れの証明書で署名されたアプリケーションがあります。新しいバージョンの .jar ファイルをダウンロードしてクラスパスの既存のファイルの前に配置することで、それ自体を更新できるスターターがあります。

新しい証明書を取得し、新しいスターターと更新プログラムに両方のキーで署名しました。残念ながら、古いアプリケーションは起動を拒否しています:

• スターター (古い証明書で署名されたもの) がクラスパスを構築します。
• 次に、両方の証明書で署名されたクラス (「Stendhal」) jar からメソッドを呼び出します。
• このメソッドは、古い証明書のみで署名された jar からクラス ("LogUncaughtExceptionHandler") をロードします。

SecurityException: クラス "games.stendhal.client.LogUncaughtExceptionHandler" の署名者情報が、同じパッケージ内の他のクラスの署名者情報と一致しません