《（安全生产）J技术对安全性的支持最全版》由会员分享，可在线阅读，更多相关《（安全生产）J技术对安全性的支持最全版（13页珍藏版）》请在金锄头文库上搜索。
1、（安全生产）J技术对安全性的支持Java技术：java对安全性的支持序言:在完成网络安全的算法库是,我选择了java语言来开发。由于java没有指针，使我对数据流的控制感到很是头痛,于是对java编程很有意见,然而在我使用大数类(BigInteger)时,无意中发现java对RSA封装的很好,再仔细见相关的资料，觉得里面有不少东西，于是决定以此为本学期的论文题目，希望通过这次学习能够从实用的角度更加深入的了解网络安全的壹些概念。本着学以至用的观点,我自己设计了壹个系统，虽然比较幼稚,但我尽量用上们所学的算法和应用流程,相信着对我今后对网络安全的理解会很有帮助的.java中安全性方面的概述系统结
2、构以JDK1.2为例.。首先无论代码来自本地或是远端，都要对应壹个安全策略(securitypolicy)-它定义了不同签名者、不同来源的壹套权限控制策略(permissions),在权限控制中说明了对资源（如文件、目录、端口。）的访问的权限。运行系统将代码组织到单独的域(domains)中-每个域封装了壹组具有相同控制权限的类的实例。域相当于SandBox(沙箱)，Applet能够在管理员的授权下运行于壹个受到限制的环境中，而应用程序就不用受到这些限制，当然他也受到安全策略的控制。JDK1.2SecurityModel:密码使用的体系结构JDK1.2不但保留了以前的签名算法、消息摘要算法、密
3、钥生成算法,仍增加了密钥管理、算法参数管理、算法参数生成、支持不同密钥转化的代理，认证中心、随机数生成算法。JDK1.2中仍增加了壹些加密算法的扩展包（JavaCryptographyExtension即JCE），提供了全面的平台无关的API函数，实现了数字签名、md5、SHA-1、基于X.509的认证代理。；下图显示了JCE的模型：关于Appelt权限控制的简介:Java平台通过安全管理器(securitymanager)来防止系统遭到攻击。当下的JDK系统是通过启动安全管理器来进行资源访问控制的。当下的浏览器中都装有安全管理器，Applet的壹举壹动都受到管理器的控制下，和JDK1.2平台
4、兼容的系统需要通过policy文件来授权。在policy文件中定义了来自某地(URL)的某人签名的代码的访问权限控制，在JDK1.2中，能够通过工具policytool来生成、编辑policy文件.。关于应用程序权限控制的简介:如果没有安全管理器控制的话，应用程序是完全自由的（此时安全管理器是不会自动启动的）。通过用命令行-Djava.security.manager来运行程序，就和下载的Applet壹样受到了安全管理器的控制。Windows:的缺省的policy控制文件是java.homelibsecurityjava.policy。几个重要的概念为了保证代码和文挡的安全性，需要签名、证书、
5、和密钥管理方面有支持；数字签名数字签名的思路大致是这样的: 用Keytool或API生成的私钥给文档或代码签名 将文档(代码)和签名，带有公钥的证书发给接收者 接收者通过公钥来确认接收到的文件的完整性 接收者通过证书或确定情况来确认发送者身份证书证书包括了以下几个部分：: 公钥 实体标识;可能包括实体名、实体X公司名、所在城市、国家等等 数字签名:分发这份证书的实体对证书签名 分发这份证书实体的标识要确认某份证书是可信的，只需确认签发证书的实体是可信的其公钥是可信的。实际中可能第壹次的出的公钥存在于另壹个人的签名文档中，这样就需要建立壹个信任链，见最终的公钥是否是可信任的。成功地建立了信任链以
6、后，就能够计算出该证书的指纹（fingerprint(s)）-壹般是证书的壹个Hash码；接受者能够打电话给证书发放者比较俩处的指纹是否相同，以确认自己受到的证书是他发的,且且中途没有被修改过。接下来需要确认发送者的身份，如果发送者是自己信任的(已确认且保存了其共钥)，确认完成。否则就需要第三方(CA)来得到证书。首先发壹个自签的证书给CA,CA通过检查证书信息(比如身份证编码什么的)来确证，然后生成壹个自签名的证明发送者身份的证书。任何信任这个CA的人都相信这份证书上公钥和实体的对应。系统将所有信任的证书存储起来(Keystore),以后收到了带签名的代码或文档，就能够通过jarsigner
7、，系统API来确认;如果在安全策略文件中说明了信任某实体签名的代码，在下载后系统会自动确认。如果是将签名后的代码或文档发送给其他人,需要将自己的证书捎带上去以便对方确认。keytoolexport或API函数能够从KeyStore中将证书附加在被签名的文档中。如果是用jarsigner，他自动将证书带上。密钥管理通过壹个带密码的数据库来存储自己的私钥及信任的公钥(称为Keystore);它包括了俩类入口:信任证书和证书密钥对（自己的私钥和证书）和PGP类似,他们都能够通过别名来标识。壹个KeyStore的所有者能够通过不同的别名来标记不同的证书-私钥对而用于不同的场合。通过java工具来实现基
8、本流程工具介绍:密钥和证书管理工具(Keytools)它主要是负责公私钥对、向CA发证书申请、接受CA的回复、记录信任的公钥实体对应表,维护密钥库(keystore),命令基本形式是：keytoolcommandoptions主要有如下几种命令: -certreq产生壹个证书签名请求(GenerateaCertificateSigningRequest,CSR)给CA,由它来认证自己的证书。 -delete删除对应的密钥库的记录 -export将公钥证书输出到某个文件 -genkey.在密钥库中存入私钥-公钥对,后者保存在壹个自签的证书中。 -import将壹个信任的证书导入，或者是接到了CA
9、的回复，将该证书取代原来密钥库中自签的证书。 keypasswd为某私钥分配密码 -list-列出密钥库中所有入口 -storepasswd给密钥库分配密码.Java文档处理工具(jar)如果要对代码签名，需要先用jar将其打包，然后用jarsigner来签名，命令的基本格式是jarcfjar-fileinput-file(s)Java文档签名及验证工具(jarsigner)jarsigner工具通过密钥库中的数据来对jar文件进行签名和认证；策略编辑器(policytool)编辑系统的策略文件使用代码签名1签名方大致流程如下所示：各个步骤通过前面的工具使用介绍，具体实现细节就不再描述了,当下
10、列出自己尝试时使用的几个命令: 生成私钥keytool-genkey-aliassignFiles-keypass123456-keystorestore-storepass123456 打包jarcvfalgrim.jar*.class 签名jarsigner-keystorestore-signedjarsAlgrim.jarAlgrim.jarsignFiles 生成证书keytool-export-keystorestore-aliassignFiles-filecer.cer2接收方大致流程如下所示：直接运行代码是不允许的，只有先将证书引入本地的keystore,作为信任的证书插入；
11、通过使用PolicyTool来配置相应的策略文件，通过俩种方式来运行他：1. 用java-Djava.security.manager-Djava.security.policy=raypolicy-cpsCount.jarAppName的形式2. 通过配置浏览器使用的java.homelibsecurityjava.security文件，就能够带安全检查地运行该程序。文件交换在发送文件时,能够通过数字签名来保证文件的壹致性和发送者的身份。步骤如下:发送者基本流程同代码签名是壹样的接收者和代码签名的不同之处在于是通过jarsigner来验证的。使用JDK1.2的API来构造自己的例程基础API
12、产生公钥和密钥对 得到密钥产生器KeyPairGeneratorkeyGen=KeyPairGenerator.getInstance(DSA,SUN); 初始化密钥产生器SecureRandomrandom=SecureRandom.getInstance(SHA1PRNG,SUN);keyGen.initialize(1024,random); 产生公钥和密钥KeyPairpair=keyGen.generateKeyPair();PrivateKeypriv=pair.getPrivate();PublicKeypub=pair.getPublic();对数据签名 得到壹个签名对象Sig
13、naturedsa=Signature.getInstance(SHA1withDSA,SUN); 初始化签名对象dsa.initSign(priv); 对数据签名dsa.update(buffer,0,len); 得到签名的数据byterealSig=dsa.sign();存储签名和公钥 签名结果直接按字节流存储 公钥通过pub.getEncoded();先转换为字节流来处理从文件中取得公钥 先从文件中读到字节流中encKey 构造壹个密钥说明类X509EncodedKeySpecpubKeySpec=newX509EncodedKeySpec(encKey); 构造壹个密钥管理器KeyFa
14、ctorykeyFactory=KeyFactory.getInstance(DSA,SUN); 取得公钥PublicKeypubKey=keyFactory.generatePublic(pubKeySpec);验证签名 同生成签名壹样先取得签名对象 用公钥初始化签名对象sig.initVerify(pubKey); 取得被签名的数据sig.update(buffer,0,len); 验证booleanverifies=sig.verify(sigToVerify);关于访问控制支持Policy在SUN的java包中的对安全的支持的接口(Interface)java.security.Cer
15、tificatejava.security.Keyjava.security.Principal能够提供identify的任何实体java.security.PrivateKeyjava.security.PublicKey在java.security.acl仍提供了支持访问控制的接口java.security.acl.Acl多个acl的入口的集合java.security.acl.AclEntryacl的入口java.security.acl.Group壹组Principaljava.security.acl.OwnerAcl的管理者java.security.acl.Permission控制信息运用自己的算法类和JavaJDK支持完成网络银行原型前段时间我用java实现了课程中几个重要的算法:加密的des算法，通过大数类的支持实现了RSA算法，MD5函数及带密码的签名算法,但由于我仍没有找到比较好的Java处理字节流的方法，所以接口不是很清晰，特别是用了大数
