问题标签 [jar-signing]

在 Internet 上托管签名 jar 的安全隐患是什么？

据我了解 jar 签名，一旦用户选择自动接受证书，签名的 jar 来自您的域、从另一个域链接还是托管在另一个域上都没有关系。例如，Sun 使用此方法通过提供链接到驱动程序的（托管）签名 jar 来为 applet 提供 OpenGL 支持。那么，作为我提供的 java 代码的开发人员和证书签名者，我应该采取任何预防措施吗？

在 Netbeans（我有 6.5 版本）中，在 Application> Webstart 下的项目属性中，有一个自签名复选框。

它的意义是什么？我什么时候需要使用它？

我正在使用充气城堡提供程序进行 AES 加密。我需要从 bc 和我的罐子创建一个胖罐子，但是一旦我这样做，我就会得到算法未找到异常。是否可以摆脱标志并从中创建常规罐子？

我的构建过程是..

• 我将所有 jar 解压缩到我的构建目录中。
• 然后删除 META-INF 目录
• 编译我的应用程序
• 用蚂蚁罐子

当我尝试使用时出现错误

SecretKeyFactory.getInstance(算法);

算法是来自充气城堡的 PBEWITHSHA256AND128BITAES-CBC-BC。

I have a zip file containing a number of jar files that is being downloaded from an HTTPS site.

The jars form a command line driven, server side application. I have a Java written application installer that does some checks to verify that the jars are signed using a particular trusted digital certificate and have not been modified during their transport.

Is it it necessary to verify the jar files upon receipt, or is this something the JVM does anyway? I know the JVM verifies the byte code, but what about jar signing?

我们有一些来自供应商的遗留 JAR 文件，这些文件以前作为小程序分发，但我们现在希望简化为 Web 服务。

虽然代码在我的 Eclipse IDE 中本地运行时有效，但在将其导出为 WAR 并将其部署到 JBoss (5.0.1) 后尝试从 Web 服务客户端调用它时它会失败。我得到的错误与安全相关（“jar 文件未签名”和“WEB-INF/lib/****.jar 未由指定的签名者签名。”，具体取决于我所做的修改）。无论如何我可以告诉我的应用程序服务器忽略该项目的 JAR 签名吗？

我做了一个奇怪的小程序，可以让你用你的声音画画。显然它需要访问麦克风，但 Java 小程序除非签名，否则不允许访问。据我所知，这很困难并且涉及密码学，虽然不清楚，但我认为我也应该向 Verisign 支付 MONEY。这一切对我来说似乎是很多偏执的创新扼杀了胡说八道**，我想我不是第一个这么想的人。

是否有某种方法可以绕过“出于教育或测试目的”？或者可能关闭浏览器中的安全性？或免费签署小程序？

我在 Ubuntu 9.04 上使用 Firefox 3.0.15 和 Java 1.6.0

有人可以告诉我 pom 文件应该如何使用依赖于其他一些 jar 的小程序创建一个 jar 文件是否可以将一个 jar 作为小程序，以及如何对其进行签名？

我们使用 MS Active Directory 证书服务生成的证书签署了 JAR 文件。但是，当通过 Java Web Start 访问它时，我们会收到无法验证数字签名的提示，即使我们已将根 CA 安装到客户端计算机上的证书存储中。

现在尝试使用“keytool -list”查看客户端计算机上的根 CA，我看到了一个异常（无效的 URI：file://\my_msadcs_server\path\to\CRL.crl）。所以现在我不确定到底出了什么问题。

任何人都对我如何在客户端机器上测试下载的 JAR 文件的签名以试图找出 JWS 抱怨的确切原因有任何建议或示例 Java 代码？可能是根 CA 证书有问题（当我的 AD 管理员进入时，我会沿着这条路走）但我想先排除其他可能性。目前我唯一需要做的是“keytool -list”的例外，但keytool首先导入根CA证书没有问题。

提前致谢！，

毫克。

我想知道 Netbeans 是否有一些选项或设置可以让我自动签署一个 jar 作为构建的一部分。

我遇到的问题是，将第二个签名添加到 .jar 文件会导致与只有其中一个签名的代码结合使用时出现问题。

背景：我们有一个使用过期证书签名的应用程序。它有一个启动器，可以通过下载新版本的 .jar 文件并将它们放在类路径中现有文件的前面来进行自我更新。

我们获得了新证书并使用两个密钥签署了新的启动器和更新。不幸的是，旧应用程序现在拒绝启动：

• 启动器（用旧证书签名）建立类路径。
• 然后它从一个用两个证书签名的类（“Stendhal”）jar 中调用一个方法
• 此方法从仅使用旧证书签名的 jar 加载一个类（“LogUncaughtExceptionHandler”）。

SecurityException: 类“games.stendhal.client.LogUncaughtExceptionHandler”的签名者信息与同一包中其他类的签名者信息不匹配