JDK installieren MD5 SHA-1 Signatur in JAR nicht mehr vertrauenswürdig

[mrblond]

Hallo,

ich habe gehört, dass ab April 2017 das JRE JAR-Pakete, die mit MD5/SHA-1 signiert wurden, als nicht vertrauenswürdig gelten und daher nicht ausgeführt werden.
Wir haben einige alte JAR-Pakete, die mit MD5/SHA-1 signiert sind; diese JAR-Pakete haben leider keine Quellcode-Dateien, die wir bei der Kompilierung auch signieren könnten.

Hierzu habe ich mehrere Fragen:
1. kann man in Java diese Signatur-Prüfung irgendwie ausschalten? Geschieht dies in der Konfigurationsdatei java.security?
2. könnte man manuell die JAR-Pakete entzippen, dann die entsprechenden Einträge in der Manifest-Datei löschen bzw. die SF-Dateien löschen und das JAR-Pakete wieder zippen?
3. was ist mit JAR-Paketen, die gar keine Signatur haben? Werden diese auch nicht ausgeführt?
4. kann man JAR-Pakete selbst selbst signieren, d.h. diese JAR-Pakete enthalten keine Quellcode-Dateien, nur class-Dateien.

Vielen Dank für eure Antworten und Vorschläge.

 

[VfL_Freak]

Moin,

ich habe gehört, dass ab April 2017 das JRE JAR-Pakete, die mit MD5/SHA-1 signiert wurden, als nicht vertrauenswürdig gelten und daher nicht ausgeführt werden.
Wir haben einige alte JAR-Pakete, die mit MD5/SHA-1 signiert sind; diese JAR-Pakete haben leider keine Quellcode-Dateien, die wir bei der Kompilierung auch signieren könnten.

Meinst mit "JAR-Pakete" externe LIBs ??

1. kann man in Java diese Signatur-Prüfung irgendwie ausschalten? Geschieht dies in der Konfigurationsdatei java.security?
2. könnte man manuell die JAR-Pakete entzippen, dann die entsprechenden Einträge in der Manifest-Datei löschen bzw. die SF-Dateien löschen und das JAR-Pakete wieder zippen?
3. was ist mit JAR-Paketen, die gar keine Signatur haben? Werden diese auch nicht ausgeführt?
4. kann man JAR-Pakete selbst selbst signieren, d.h. diese JAR-Pakete enthalten keine Quellcode-Dateien, nur class-Dateien.

zu 1. mMn nein
zu 2. mMn nein
zu 3. funktionieren die den jetzt noch ??
zu 4. klar kannst Du das, es gibt doch jarsign
Beispiel:
signjar jar="Pfad_zur_JAR-Datei" keystore="Absoluter_Pfad_zu_'keystoredb'" alias="Username" storepass="Passwort"

Gruß Klaus

 

[mrblond]

hallo, Vfl_freak,

ich meine mit JAR-Paketen Dateien, die bspw. von irgendjemand erstellt worden sind (xyz.jar); i.d.R. hat man nicht die zughörigen Quellcode-dateien.

 

[VfL_Freak]

ok, also externe LIBs
Dann mach es so wie oben beschrieben

Gruß Klaus