关于对MIDlet套件进行数字签名

转载 2007年09月12日 17:58:00
 

从Eclipse 0.7.0版本开始,开始支持使用密码对MIDlet进行签名。 本文档提供了数字签名处理的背景知识,描述了手动对MIDlet套件进行数字签名的大概流程, 接着说明了EclipseME是如何处理的。

  1. 背景知识
  2. 基本步骤
  3. 使用EclipseME进行数字签名
  4. 密码管理
  5. 模拟运行
  6. 参考资料

背景知识

在MIDP 1.0规范中,所有MIDlet都使用一个“沙盒(sandbox)”安全模式来运行。因此实质上,MIDlet只能只能访问MIDP 1.0规范中限定的API集,以及打包在同一MIDlet套件中的库。

MIDP 2.0 (JSR-118) 把“受信任的(trusted)”和“不可信的(untrusted)”概念引入了MIDlet套件。一个“不可信的”套件运行在与MIDP 1.0一样的限制环境中——所有可用的API集都只能是MIDP规范的一部分。而“受信任的”套件则可以被赋予访问设备的更多API的权限。另外,作为MIDP 2.0规范的一部分,某些“标准”API也需要授权才能访问。比如,一个不可信MIDlet套件必须能够访问javax.microedition.io.HttpConnection API,但是系统需要用户确认是否允许MIDlet套件使用这个API。

而另一方面,受信任的MIDlet套件则不需要用户明确授权就可被赋予该API的访问权限,而且可以访问那些禁止不可信MIDlet访问的API。

对MIDlet套件进行数字签名的基本步骤

进行数字签名的基本步骤如下:

  1. 在JAD文件和manifest(清单)中包含你的MIDlet套件要求获得的权限列表
  2. 获取适当的密钥/证书对来进行数字签名
  3. 在MIDlet套件的部署过程中进行最后的数字签名步骤

在JAD文件和manifest(清单)中包含你的MIDlet套件要求获得的权限列表

MIDlet要在应用描述文件(JAD)和JAR清单(manifest)中声明其要求的权限,可以使用MIDlet-PermissionsMIDlet-Permissions-Opt 这两种标签之一。可以使用上面的标签指定多种权限,之间用逗号分隔。在安装过程中,设备需要检查MIDlet要求的权限。如果在MIDlet-Permissions中声明了某种权限,那么设备要么就要把MIDlet安装在保护域中并赋予其相应权限,要么就必须中止安装。而如果权限是声明在MIDlet-Permissions-Opt标签中的,且MIDlet套件未被授予对适当保护域的访问权限,安装则是可以继续的,但套件无法获得其要求的访问权限。所以,如果你的MIDlet套件依赖于某种权限,不能在没有它的情况下运行,那么对该权限的要求应该声明在MIDlet-Permissions之中。

如果你的应用程序可以使用某种权限,但即使未获得该权限也能运行,那么使用MIDlet-Permissions-Opt来请求访问权限。如果你的MIDlet未被授予对某种特性的访问权限,那么尝试访问该特性会导致抛出SecurityException异常(安全性异常)。值得注意的是对于HTTP,某些设备提供商略微的违反了规范的约定,抛出的是IOException异常(输入输出异常),而不是SecurityException,这是为了对MIDP 1.0保持兼容的临时性措施。对于这点请与你的无线工具包提供商的文档进行核对。

下面是一个JAD文件的例子,其中包含对权限的请求。这个MIDlet套件要求必须拥有对HTTP和HTTPS的访问权限,并且希望访问PushRegistry(推送注册), VideoControl.getSnapshot(拍照),以及SMS(短信)。如果后三个被拒绝,套件能够调整且对用户仍有价值。

MIDlet-Permissions: javax.microedition.io.Connector.http, 
                    javax.microedition.io.Connector.https
MIDlet-Permissions-Opt: javax.microedition.io.PushRegistry, 
                        javax.microedition.media.control.VideoControl.getSnapshot, 
                        javax.wireless.messaging.sms.receive, 
                        javax.wireless.messaging.sms.send

在这个例子里,HTTP和HTTPS不是可选权限。因为应用程序已经申明不能在缺少它们的情况下运行,所以如果设备不能在安装时授予这些权限,安装就会中止。是否可以进行授权决定于设备的安全策略,以及MIDlet是否是受信任的。为了成为受信任的MIDlet,就必须对MIDlet进行数字签名。

获取适当的密钥/证书对来进行数字签名

MIDlet安全措施基于公钥加密法。基本步骤:

  1. 创建一对公钥/私钥。
  2. 使用私钥对MIDlet套件进行数字“签名”。
  3. 接着把公钥作为MIDlet套件的一部分来发布,使任何人都可以验证此数字签名。

因为使用你的私钥加密的信息只有用对应公钥才能解密,所以只要你对私钥进行保密,这样全世界都可以确信,只要是能使用你的公钥进行解密验证的信息,都肯定来自于你。

然而,这个方案仍然回避了一个问题:别人如何知道一个公钥真的来源于你?如何防止我自称比尔·盖茨,并以他的名义签署文档?因此,不能仅仅把你的公钥包含在MIDlet套件中,而是要在MIDlet中加入一个包含你的公钥的数字证书。数字证书是由一个可信任的第三方(如Verisign)颁发的,来承诺保证此公钥确实是你的。

那么设备为什么能够信任来自Verisign的数字证书呢?因为设备在开发的时候已经预置了一个“根证书颁发机构(root certificate authorities)”的集合,他们总是可信的。证书本身是使用手机中预置的信息进行自签名的。这样,设备就可以使用预置的信息来验证数字证书确实是由Verisign颁发的。另外,你的证书也可以是使用一个“中介(intermediate)”的密钥签署的,而“中介”的公钥,是使用一个受信任的密钥签署的。这个机制叫做“证书链”。证书链中可以有多个中介的密钥,理论上链的长度可以是任意的,不过极少有包含多于2或3个连接的证书链。

因此,设置你的密钥的典型流程如下:

  • 使用工具软件产生一对公钥/私钥。
  • 产生一个包含你的公钥的“证书申请”,并发送到证书颁发机构。
  • 证书颁发机构进行一些调查,以核实你对自己身份的声明与事实相符。具体进行哪些调查,每个颁证机构的做法不同。
  • 当颁证机构核实你的声明和真实身份确实相符之后(并且向他们交费之后),他们会把你的公钥用一个证书包装起来,并发还给你。
  • 你把证书导入自己的密钥库,这样你要对什么东西进行签名的时候就可以随时使用了。

作为JDK的一部分,Sun同时提供了一个工具来帮你管理密钥。这个工具被恰如其分的命名为keytool

使用下面的命令来产生一对公钥/私钥:

keytool -genkey -keyalg RSA -keystore <keystore file name>

这条命令指示工具产生一对新的RSA 公钥/私钥对,并把它们保存在给定的“密钥库(keystore)”文件中。作为此过程的一部分,工具要求你提供一系列关于你本人的信息。另外,还会询问你下列项目:

Key Alias (密钥的别名) 一个密钥库可以保存多个密钥/证书对。“别名”用来在密钥库中标识特定密钥/证书对。
Keystore password (密钥库密码) 显然你的密钥库中并非人人可以访问。因此,密钥库文件是加密保存的。这个密码用来获取对密钥库的访问权限。
Key password (密钥的密码) 使用密钥库密码,你可以访问密钥库中“公开”的那一部分——公钥和证书。而要访问私钥,则必须使用另外的密钥密码。此密码用来对私钥进行进一步的保护。

如果你愿意,可以在keytool的命令行上直接指定上面的所有参数。请运行

keytool -help

或者到Sun的网站上参考进一步信息。

如果你只是想“玩玩”数字签名,你可以跳过这一节直接阅读关于签署(signing)的讨论。当生成你的密钥之后,keytool自动向密钥库中加入一个“自签署证书”。这个证书格式正确,可用来对MIDlet套件进行签名。但是记住这并不能使你的MIDlet套件成为受信任的成品,因为你的手机无法使用任何一个它信任的颁证机构来验证这个“个人的”证书。而要想达到那个效果,你仍然必须按照上面的流程来申请证书。不过,如果你只是想体验一下EclipseME的数字签名支持,这个“自签署”的证书倒是足够用了—— 日后你可以等待获取一个“真正的”证书。

要使用keytool来产生一个证书申请,可以用下面的命令行:

keytool -certreq -keystore <keystore file name> [-storepass <storepass>]
             [-alias <alias>] [-file <request file>] [-keypass <keypass>]

在括号中的项目是可选的——keytool会自动询问你那些未在命令行中指定的项目。

产生你的证书申请之后,就可以把它寄给颁证机构。当他们把证书发回给你之后,你需要使用下面的命令行把它倒入你的密钥库中:

keytool -import -keystore <keystore file name> [-storepass <storepass>]
             [-alias <alias>] [-file <certificate file>] [-keypass <keypass>]

此命令行会使用颁证机构颁发给你的、签过名的证书替换掉原来使用keytool生成的“自签署”证书。到这里你就真正准备好使用密钥库中的信息对MIDlet套件进行签名了。

在MIDlet套件的部署过程中进行最后的数字签名步骤

如果你不用EclipseME,可以使用JADTool来签署你的套件。 JADTool是由Sun及许多其他厂商和他们的无线工具包一起提供的。

使用JADTool需要两步:首先使用下面的命令把JAR的签名加入到JAD文件中

java -jar JADTool.jar -addjarsig -keypass <password> -alias <key alias>
        -storepass <password> -keystore <keystore> -inputjad <filename> 
         [-jarfile <filename>] [-outputjad <filename>]

这个命令计算JAR文件的校验和,然后使用你的私钥对此校验和进行签名,然后把结果编码到JAD文件中。第二步是把你的公钥证书添加入JAD文件,使用以下命令

java -jar JADTool.jar -addcert -keypass <password> -alias <key alias>
        -storepass <password> -keystore <keystore> -inputjad <filename>
         [-jarfile <filename>] [-outputjad <filename>]

这个命令从密钥库中提取证书,对它进行编码,然后添加入JAD文件。到这里,你的MIDlet套件就被完全的签名了。如果你检查签名之后的JAD文件,你会看到其中包括类似下面的两行:

MIDlet-Jar-RSA-SHA1: VPHnTUqz5+R6G29HTtEfIC4DOpXzpCa9U3zBqe0kGhOitgh1wwdcK4jcQnfj
STD9kPRfheWiIwC8xeCs08wdlE9xY/v8veYic0cj6GtSm03EgL5Mc+KRSNfitVIL7xa5LWY7yTCi7IkiI
DqC+dP8KQjoCReGsU0YoPM9iq6b6dM=

MIDlet-Certificate-1-1: MIICUjCCAbsCBEGjQ2AwDQYJKoZIhvcNAQEEBQAwcDELMAkGA1UEBhMCV
VMxCzAJBgNVBAgTAkZMMRMwEQYDVQQHEwpGb3J0IE15ZXJzMRIwEAYDVQQKEwlFY2xpcHNlTUUxFDASBg
NVBAsTC0RldmVsb3BtZW50MRUwEwYDVQQDEwxLZXZpbiBIdW50ZXIwHhcNMDQxMTIzMTQwNDE2WhcNMDU
wMjIxMTQwNDE2WjBwMQswCQYDVQQGEwJVUzELMAkGA1UECBMCRkwxEzARBgNVBAcTCkZvcnQgTXllcnMx
EjAQBgNVBAoTCUVjbGlwc2VNRTEUMBIGA1UECxMLRGV2ZWxvcG1lbnQxFTATBgNVBAMTDEtldmluIEh1b
nRlcjCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEA1uL1PGDcD/u1Ki12gZntby2lJmizbzDpbLSV30
fs5BRO21dC2XY99X7igoc0+O2Ic5qSzY7x2r9rQf0c+d8hA9T3w4tjQBNizEdkvxFNcFFNrAo5MdzWvcU
PiCODqthy1O9LrCAomp/+2d5N+TGOgtUXocgDPouaT/rfKQujI5sCAwEAATANBgkqhkiG9w0BAQQFAAOB
gQBIQ4ECwjj3spYOhxsih55F7e0Prx+evi6VYBaWoZTGKjevnW3IkKTijytdoMpBX3r7oBjAIibFlSEqU
JfJRMszq/L9JOnIcEKRIvkW8yN/Ls8pWB5VEir2EUh3kiIgk2zo7uhbjs58b5bOjWhTZMhQjPI22I23Tq
a/HKXNBsTL3A==

第一行是加密后的JAR文件校验和,第二行则是包含你的公钥的证书。如果颁证机构把一个中介证书随同你的证书一同颁发给你(一个多重证书链),那么还会有一个MIDlet-Certificate-1-2项目。

对MIDlet套件签名之后,你的移动设备就可以使用下面步骤验证你的MIDlet套件了:

  1. 重新计算产生JAR文件的校验和。
  2. 验证JAD文件中的证书可以一直回溯到设备信任的某个颁证机构。
  3. 从证书中提取你的公钥。
  4. 从JAD文件中提取出当初加入的、加密过的JAR校验和
  5. 使用你的公钥把校验和解密。
  6. 把解密后的校验和与第一步中计算出的校验和进行比较。

如果最后一步的两项匹配,则移动设备可以确信

  • 此MIDlet套件确实是由你签署的。如果是其他人签署的,那么解密过程无法成功,因为你的公钥不会和别人的私钥相匹配。
  • 自从你签署过之后,此MIDlet套件未被修改。否则,校验和就会不一样。

最后,很多设备会接着检查JAR文件中的MANIFEST.MF(清单文件) 要求获得的权限是否和JAD文件要求获得的权限相匹配。

使用EclipseME进行数字签名

正如你从上面看到的,把JADTool和EclipseME一起使用,你需要进行两步处理以部署你的MIDlet套件。首先使用EclipseME来构建MIDlet套件,然后得使用JADTool手动把签名加入到JAD文件中。你每次对MIDlet套件进行修改之后都不得不重复这个流程。每次你改了一行代码并想启动模拟器的时候都得这么做,显然这有些单调。

从EclipseME 0.7.0版本开始,它可以帮你完成以往只能用JADTool处理的工作了。使用此功能,请按照下面的步骤:

  1. 在JAD编辑器的可选属性面板中向JAD文件加入你想要的MIDlet-PermissionsMIDlet-Permissions-Opt项目。作为部署过程的一部分,EclipseME会自动把这些项复制到JAR文件中的MANIFEST.MF文件。
  2. 项目属性对话框中,允许对项目进行数字签名,并指定要用的密钥库和密钥的别名。

完成之后,EclipseME会自动处理原来需要JADTool完成的步骤。因此,在每次部署的过程中,你的MIDlet套件就会被自动签署。

当配置数字签名的时候,最好使用检查设置(Verify Settings)按钮。这样可以确保密钥库文件的路径,密钥的别名和它们的密码都是正确的。另外,因为密钥库可以管理多种类型的密钥,这个操作还会验证用指定的别名标识的密钥是否是可用来对MIDlet套件进行签名的正确类型(RSA)。

注意EclipseME目前还无法帮你获取用以对MIDlet套件进行签名的密钥/证书对。眼下,你仍然需要按照前面说过的步骤来产生一个密钥,并设法为它申请证书。不过,只要你把这些信息放入了你的密钥库,EclipseME就可以从中获取它们。

密码管理

我们需要指出的一点是,EclipseME需要密钥库密码和密钥密码来对MIDlet套件进行签署。我们提供了三种方案,你可以用来管理这些密码:

  • 可以设置成让EclipseME把这些密码保存为MIDlet套件项目的一部分。如果你选择此选项,你就要在项目属性中输入这些密码。 EclipseME会把它们保存在项目的.eclipseme文件中。为了保护这些密码,它们以加密形式保存。因此,这可以防止别人在不经意的查看.eclipseme文件的时候就推导出密码。但这个方法并非万无一失,因为别人可以访问EclipseME的源码以分析密码的加密算法。不过,在很多环境下,这个方案已经足够安全了,对于“设置并忘记”的做法也很方便,即使项目是被多个开发者共享的。
  • 一个稍微更安全些的选择是让EclipseME把密码保存在工作空间的密码环(keyring)文件中。默认情况下,这个文件位于
    [workspace>]/.metadata/.plugins/org.eclipse.pde.core/eASEE/org.eclipse.core.runtime/.keyring,
    不过你可以用-keyring命令行参数来让Eclipse使用指定的文件。如果你使用CVS来共享你的项目,此文件是不会被共享的。 Eclipse自动对keyring文件的内容加密(这是Eclipse保存你的CVS密码的地方)。你可以使用-keyring-password 命令行参数来指定Eclipse在非默认位置以非默认密码保存密码环以提高此方案的安全性。
  • 最安全的选项是根本不让EclipseME和Eclipse保存你的密码,而是在需要的时候提示你输入。使用这个设定,EclipseME会在需要密码的时候弹出一个对话框。为了给你少添点麻烦,EclipseME会在接下来的会话中把密码保存在内存中,这样你不用一次一次的重新输入。当你关闭Eclipse,或是改变工作空间的时候,这些密码就会被“忘记”。使用此选项,密码绝不会被保存在你的硬盘上。

模拟运行

不同的模拟器对签过名的MIDlet有不同的表现。很多模拟器允许你为模拟的MIDlet指定一个特定的安全域。对于支持此特性的模拟器,从EclipseME 0.7.0开始,在设定启动配置中增加了一个项目允许你指定安全域。

注意:如果你使用从颁证机构获得的证书来签署MIDlet(或者你为了测试而自己创建的证书),可能有必要把证书导入模拟器以保证你的签署过的MIDlet可以正常运行,尤其是在无线下载(OTA)模式下进行模拟的时候。另外也有可能你必须使用模拟器支持的证书来签署MIDlet。请查阅模拟器的文档来获取进一步的信息。

参考资料

下面是一些关于数字签名处理过程和与数字签名有关的MIDlet属性的有用(但愿)参考资料:

MIDP 2.0安全机制 与 MIDlet 数字签名

原文链接:http://www.j2medev.com/bbs/dispbbs.asp =======================================================...

使用cryptapi进行数字签名demo

  • 2017年01月09日 17:28
  • 4.26MB
  • 下载

signtool.exe 对exe程序进行数字签名

signtool.exe是微软的数字签名制作工具,只能制作windows平台的签名, 本使用指南演示如何使用 WoSign微软代码签名证书 来给Windows平台代码签名,签名工具为...

SignTool进行数字签名

  • 2015年03月12日 13:07
  • 677KB
  • 下载

使用数字证书进行PKCS#7数字签名

  • 2013年08月02日 14:52
  • 56KB
  • 下载

为你的APK进行数字签名

我们需要为 APK进行数字签名,这样才能发布到 Google Play商店。解决方法很简单,使用 Java的keytool命令创建证书并在 Gradle构建文件的 signingConfigs块中使用...

使用SignTool对软件安装包进行数字签名

一、制作根证书   1、开始菜单—运行—输入cmd,弹出命令行窗体。     2、输入命令:cd /d F:\SignTool,将当前工作目录修改到SignTool路径下。     3、使用...
  • doris_d
  • doris_d
  • 2014年06月26日 14:19
  • 3098

Android应用如何进行数字签名与优化

文章目录: 签名的意义 签名的注意事项 签名的方法 签名对你的App的影响 使用zipalign优化APK   1.签名的意义: 总的来说,数字签名的目的是为了对Android App进行区分,在已...

对PDF进行数字签名,生成可信的文档

电子账单、回单、通知、合同等越来越流行了,电子文档的可信性变得非常重要。 PDF是理想的电子文档格式,有下面这些优势: 1、具有良好的版式,可以非常精美 2、适应于各种平台:windows、l...
  • xdocs
  • xdocs
  • 2015年12月05日 23:29
  • 1109
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:关于对MIDlet套件进行数字签名
举报原因:
原因补充:

(最多只允许输入30个字)