java 7b55 - предупреждения безопасности появляются, даже если приложение запуска веб-сайта подписано

У меня есть приложение, доставленное через Java Web Start, которое подписано официальным сертификатом, предоставленным Verisign, а также созданным нами самозаверяющим сертификатом. Это сделано потому, что мы ограничиваем использование официального сертификата для сборки, поставляемой клиентам, но нам нужно, чтобы наши тестовые сборки были подписаны сертификатом, чтобы приложение вообще загружалось.

Мой вопрос; нормально ли, что Java 7b55 по-прежнему показывает предупреждения безопасности для самозаверяющего сертификата, даже если присутствует официальный сертификат? Я бы ожидал, что официальный сертификат будет иметь приоритет, но, похоже, это не так.

Просто интересно, сталкивался ли кто-нибудь еще с этим или это уникально для моей среды.


person Michael S.    schedule 22.05.2014    source источник
comment
нормально ли, что Java 7b55 по-прежнему показывает предупреждения безопасности для самозаверяющего сертификата Нет. Я ожидал, что JVM заблокирует приложение. полностью. «Самоподписанный» сертификат не стоит битов, необходимых для его хранения.   -  person Andrew Thompson    schedule 23.05.2014
comment
Согласованное самоподписание теперь бесполезно, но я считаю, что неподписанное приложение вообще не будет выполняться. Я получаю следующую трассировку стека при попытке запустить неподписанное приложение: com.sun.deploy.net.JARSigningException: найдена неподписанная запись в ресурсе: http://‹server›:‹port›/‹app›/‹jarname›. jar на com.sun.javaws.security.SigningInfo.getCommonCodeSignersForJar (неизвестный источник) на com.sun.javaws.security.SigningInfo.check (неизвестный источник) ...   -  person Michael S.    schedule 23.05.2014


Ответы (1)


Это не должно .... Если вы не используете 1 хранилище ключей для выполнения всего этого.

Похоже, вы используете свое самоподписанное хранилище ключей, которое связано с закрытым ключом внутри, и что вы, возможно, импортировали официальное хранилище VeriSign в то же хранилище ключей, не совпадая с закрытым ключом внутри. Вероятно, поэтому официальный сертификат VeriSign не читается во время подписания.

Обычно в такой ситуации, как ваша, должно быть два хранилища ключей. 1 с самоподписанным, а другой с официально подписанным сертификатом.

~ДомSYMC

person DomSYMC    schedule 27.05.2014