Applet Signieren, Vertrauenswürder und nicht-vertrauenswürdiger Code

[sanktusm]

Hallo,
ich habe ein Problem, ein Downloadapplet habe ich signiert. Bei Aufrufen, wird jedoch der Urheber als Unbekannt deklariert und es wird in einem zweiten Schritt empfohlen, das Applet zu blockieren.

Wie kann ich das beheben?

 

[L-ectron-X]

Ich glaube, das macht die JRE seit Java 1.6_22 oder 23.
Das Applet wird dann zwar ausgeführt, aber kritische Operationen werden wohl blockiert. Ein unsigniertes Applet würde gar nicht ersta ausgeführt werden.

Wie hast du denn das Applet signiert?

 

[sanktusm]

... und habe da noch eine Frage, der Urheber wird als Unbekannt deklariert, wie kann ich mich als Urheber kenntlich machen oder hat java nur eine definierte Gruppe von Urhebern, die akezeptiert werden.

 

[L-ectron-X]

In den FAQs findest du ein kleines Batch-Tool, welches dir dein Applet signiert. Wenn du die ausgezeichneten Stellen editierst, sollte dein Applet auch mit einem Urheber versehen werden.

Edit:
Hab das eben noch mal ausprobiert. Bis zum JDK 1.5 hat das noch funktioniert, jetzt (1.6) wird statt dem Signierenden 'UNBEKANNT' angezeigt. Über die Hintergründe weiß ich jetzt nicht bescheid.

 

[ergin]

Habe das selbe Problem mit dem Urheber UNBEKANNT. Getestet mit JDK 1.5 Update 22 und JDK 1.6 Update 23. Ich habe es nach dieser Anleitung gemacht:

http://www.java-forum.org/applets/16717-applets-webstart-anwendungen-signieren.html

Wenn man das Beispiel Applet im o.g. Link mit der JRE 1.6 ausführt, steht auch dort Urheber UNBEKANNT.

@L-ectron-X: Hast Du eine Idee?

 

[L-ectron-X]

Ja. Nur beglaubigte Zertifikate zeigen den Urheber an.

 

[ergin]

Danke für die Antwort.

 

[ergin]

Beim Start meines Applets kommt auch die Sicherheitsmeldung "Java hat Anwendungskomponenten entdeckt, die eine Sicherheitsbedrohung darstellen können.", obwohl alle jars signiert sind. Wie kann ich herausfinden welches jar nicht signiert ist?

 

[L-ectron-X]

Öffne eine Jar-Datei mit einem Packprogramm.
Du wirst dort auch ein Verzeichnis META-INF finden, welches du öffnest.
In diesem Verzeichnis müssen sich nun neben der Manifest.mf auch zwei Dateien finden, die mit .SF und .DSA enden.

In diesen Dateien sind die Klassen aufgelistet, die signiert wurden.
Eine unsignierte Jar-Datei hat die zwei Dateien nicht im Verzeichnis META-INF.

 

[ergin]

Da habe ich schon nachgeguckt und alles ist signiert.

 

[L-ectron-X]

Ach, du meinst diesen Dialog?

Da kannst du gar nichts dagegen machen. Weshalb hast du dein Applet signiert?

 

[ergin]

Ja den meine ich. Ich nutze in meinem Applet Bibliotheken, die schon bereits signiert sind. Außerdem braucht mein Applet Zugriff auf den Temp Ordner vom User.

 

[L-ectron-X]

Du kannst mal versuchen, die externen Jar-Dateien mit deinem Zertifikat neu zu signieren.
Ich weiß nicht, ob das funktioniert, wäre aber einen Versuch wert.

 

[ergin]

Hab ich schon versucht. Einmal alle Signaturen entfernt, neu signiert und dann drüber signiert. Bringt alles nichts. Ich gebe auf;-)

 

[L-ectron-X]

Und wenn du die externen Jar-Dateien entpackst und in deine eigene Jar-Datei einbaust?

 

[ergin]

Muss ich die Manifest Dateien mergen oder reicht es aus die .class Dateien zu kopieren?

 

[L-ectron-X]

Gute Frage... ich würde erst mal nur eine (deine) Manifest-Datei vorsehen.
Nur die fertigen Packages der externen Jar-Dateien in dein Projektverzeichnis einbauen und die Jar-Datei erzeugen, so dass sie schlussendlich in deiner Jar-Datei vereint sind.