|
對(duì)Java Applet和Java Web Start進(jìn)行數(shù)字簽名
文章出處：www.yestar2000.com
作者：AYellow 發(fā)布時(shí)間：2004-09-08 點(diǎn)擊:0
對(duì)Java Applet和Java Web Start進(jìn)行數(shù)字簽名
我們知道Java Applet和Java Web
Start程序在運(yùn)行的時(shí)候受到安全限制，例如不能夠訪問(wèn)本地文件系統(tǒng)，不能夠隨意訪問(wèn)網(wǎng)絡(luò)。本文將演示如何對(duì)代碼做數(shù)字簽名，讓客戶在運(yùn)行時(shí)選擇是否信任你的簽名，以使你的程序具有更多的權(quán)限。在這里我們不打算購(gòu)買證書。
我的計(jì)算機(jī)環(huán)境如下：
Windows2000 professional sp3
SUN JDK1.4.0
IE6.0
JAVA_HOME、PATH、CLASSPATH等環(huán)境變量均已設(shè)置
客戶端需求：
客戶端瀏覽器需要安裝Java插件，這里的Java插件是安裝JDK時(shí)一起安裝的。如果客戶端不需要做Java開發(fā)，可以去下載SUN的網(wǎng)站下載JRE到客戶端安裝。
接下來(lái)看看下面這個(gè)Applet，它只有一個(gè)按鈕，點(diǎn)擊這個(gè)按鈕程序就在本地建立一個(gè)文件，如果成功，彈出一個(gè)對(duì)話框顯示成功消息，如果發(fā)生異常（安全異常或者IO異常），也彈出一個(gè)顯示錯(cuò)誤的對(duì)話框。源文件如下：
源文件test\TestApplet.java
package test;
import java.applet.*;
import java.io.*;
import java.awt.event.*;
import javax.swing.*;
public class TestApplet
extends Applet {
public void init() {
JButton button = new JButton("Create a file");
button.addActionListener(new ActionListener(){
public void actionPerformed(ActionEvent evt){
File file = new File("c:\\a.txt");
try {
file.createNewFile();
JOptionPane.showMessageDialog(null,"成功創(chuàng)建文件c:\\a.txt",
"消息",JOptionPane.INFORMATION_MESSAGE );
}catch (Exception ex) {
JOptionPane.showMessageDialog(
null,ex.getMessage(),"錯(cuò)誤",JOptionPane.ERROR_MESSAGE);
}
}
});
add(button);
}
}
在與test目錄的父目錄編譯這個(gè)Applet
javac test\TestApplet.java
打包，生成test.jar文件
jar -cvf test.jar test
以下是使用Applet的HTML頁(yè)面test.html
<html>
<head>
<meta http-equiv="Content-Type"
content="text/html; charset=GB2312">
<title>
HTML Test Page
</title>
</head>
<body>
test.Applet1 will appear below in a Java enabled
browser.<br>
<applet
codebase = "."
code = "test.TestApplet.class"
name = "TestApplet"
archive = "test.jar"
width = "400"
height = "300"
hspace = "0"
vspace = "0"
align = "middle"
>
</applet>
</body>
</html>
現(xiàn)在就讓我們運(yùn)行一下，打開test.html。點(diǎn)擊按鈕，你看到了什么？非常不幸，我們沒有經(jīng)過(guò)數(shù)字簽名的Applet在默認(rèn)情況下沒有寫本地文件的權(quán)限。那么讓我們準(zhǔn)備簽名代碼吧。
首先用keytool命令產(chǎn)生用來(lái)簽名的key。下面這個(gè)命令產(chǎn)生一個(gè)叫"mykey"的key，它存儲(chǔ)在我們新建的叫"mystore"的keystore中。
keytool -genkey -alias mykey -keystore mystore
接下來(lái)它會(huì)問(wèn)一些問(wèn)題包括keystore的密碼，key的密碼等，如下所示：
輸入keystore密碼： storepass
您的名字與姓氏是什么？
[Unknown]： AYellow
您的組織單位名稱是什么？
[Unknown]： 我的組織單位
您的組織名稱是什么？
[Unknown]： 我的組織
您所在的城市或區(qū)域名稱是什么？
[Unknown]： 北京
您所在的州或省份名稱是什么？
[Unknown]： 北京
該單位的兩字母國(guó)家代碼是什么
[Unknown]： CN
CN=AYellow, OU=我的組織單位, O=我的組織, L=北京, ST=北京, C=CN
正確嗎？
[否]： Y
輸入<mykey>的主密碼
（如果和 keystore 密碼相同，按回車）： keypass
完成后會(huì)在當(dāng)前目錄下生成一個(gè)叫mystore的文件，這個(gè)文件包含了我們的key。用jarsigner命令簽名我們的代碼test.jar（需要輸入keystore和key的密碼）：
jarsigner -keystore mystore test.jar mykey
Enter Passphrase for keystore: storepass
Enter key password for mykey: keypass
再次運(yùn)行Applet，在Applet加載的時(shí)候會(huì)出現(xiàn)一個(gè)對(duì)話框，說(shuō)該Applet由不可信任的發(fā)行者簽名并宣稱代碼是安全的，是不是要對(duì)Applet授權(quán)。選擇"授權(quán)于會(huì)話"，然后點(diǎn)擊我們的按鈕，看看是不是成功的創(chuàng)建了文件？
對(duì)于Java Web
Start程序，簽名jar文件的過(guò)程是一樣的。但是需要在jnlp文件中做一些修改。例如在jnlp根元素下加上一下部分：
<security>
<all-permissions/>
</security>
運(yùn)行程序，在第一次啟動(dòng)的時(shí)候出現(xiàn)以下對(duì)話框：
選擇"啟動(dòng)"，以后啟動(dòng)時(shí)這個(gè)對(duì)話框再也不會(huì)出現(xiàn)，因?yàn)镴ava Web
Start啟動(dòng)后相當(dāng)于一個(gè)安裝在本地的程序，既然第一次客戶選擇了信任，以后這個(gè)對(duì)話框就再?zèng)]有必要出現(xiàn)了。當(dāng)然，對(duì)于上面的Applet例子我們也可以選擇"總是授權(quán)"。
與大家討論：仔細(xì)查看一下，我們可以發(fā)現(xiàn)Applet和Java Web
Start出的對(duì)話框的措辭是不一樣的，而且很顯然前者措辭不當(dāng)，在這種情況下，客戶很可能對(duì)不可信任的程序授權(quán)，造成安全上的隱患。如果前面我們創(chuàng)建
keystore的時(shí)候在"我的組織"中填上"Microsoft"，又會(huì)怎么樣？對(duì)于一個(gè)不可信任的程序，前者默認(rèn)的按鈕居然是"授權(quán)"，而后者是"退
出"。Applet的安全為什么會(huì)是這樣？
|
