-
- 生成 key pair
- ：对消息进行择要获得其Hash值；用 private key 加密消息Hash获得数字（Signature）
- 验证：对消息进行择要获得其Hash值；用 public key 解开数字获得消息Hash；对两个Hash进行比对
- 原Jar包内的class文件和资料文件
- 文件 META-INF/.SF：这是一个文本文件，包含原Jar包内的class文件和资料文件的Hash
- block文件 META-INF/.DSA：这是一个数据文件，包含者的 certificate 和数字。此中 certificate 包含了者的有关信息和 public key；数字是对 .SF 文件内的 Hash 值应用 private key 加密得来
- 若是公钥算法为 DSA，则择要算法应用 SHA-1。这是默认的
- 若是公钥算法为 RSA，则择要算法采取 MD5
- java.util.jar.JarFile
- java.util.jar.JarEntry
- java.security.KeyStore
- java.security.cert.Certificate
Jar 包
添加时间:2013-7-17 点击量:1，加密、择要和数字
（1）公钥加密算法
关于公钥加密算法，参考维基百科词条 Public-key cryptography。
公钥加密算法又称为非对称密钥加密算法，因为它包含一个公钥-私钥对，称为key pair。即 key pair = private key + public key。
从功能上说，两个key感化雷同，用一个key加密的消息，只能用另一个key解密，反之亦然。两个 key 的差别只在于谁拥有/知道它：private key 只有 key pair 的生成者知道，public key 则公开。key pair 的另一个特点是无法从一个 key 推算出另一个 key。
常用公钥加密算法是RSA和DSA。（TODO: 差别？）
（2）数字
关于数字，参考维基百科词条 Digital signature。
数字算法是基于公钥加密算法的，其过程是：
因为 private key 无法捏造或从 public key 推算出，是以，消息发送者必为 private key 拥有者，由此确保了消息起原的真实性（Authentication）和不成否定性（Non-repudiation）。若是消息在发送过程中破坏或被批改，进行择要后Hash值必然不一致，数字验证无法经由过程，由此确保了消息内容的完全性（Integrity）。
（3）消息择要
关于消息择要，参考维基百科词条 Cryptographic hash function。
消息择要算法是应用一个Hash函数对随便率性长度的输入数据进行处理惩罚，输出固定长度的数据。输出数据称为消息择要。无法从消息择要倒推出消息内容。常用的消息择要算法是 MD5 和 SHA-1。（TODO: 差别？）
2，Jar 包和验证
对Jar包的数字和验证过程和前面描述的数字道理和过程一致。Jar包是待发送的消息，经过后，Jar包内置入了数字和public key，验证者可以应用这两项数据进行验证。
实际上，经的Jar包内包含了以下内容：
（1）应用 keytool 和 jarsigner 对象进行 Jar 包和验证
JDK 供给了 keytool 和 jarsigner 两个对象用来进行 Jar 包和验证。
keytool 用来生成和经管 keystore。keystore 是一个数据文件，存储了 key pair 有关的2种数据：private key 和 certificate，而 certificate 包含了 public key。全部 keystore 用一个暗码进行保护，keystore 里面的每一对 key pair 零丁用一个暗码进行保护。每对 key pair 用一个 alias 进行指定，alias 不区分大小写。
keytool 支撑的算法是：
jarsigner 读取 keystore，为 Jar 包进行数字。jarsigner 也可以对的 Jar 包进行验证。
下面以 JDK 中的 tools.jar 包为例，应用 keytool 和 jarsigner 对它进行和验证。
第1步：用 keytool 生成 keystore
履行以下号令，生成文件名为 test.ks 的 keystore，并生成 alias 为 testkey 的 key pair
keytool -keystore test.ks -genkey -alias testkey
按照屏幕提示输入各项信息
输入keystore暗码：
再次输入新暗码:
您的名字与姓氏是什么？
[Unknown]：
您的组织单位名称是什么？
[Unknown]：
您的组织名称是什么？
[Unknown]：
您地点的城市或区域名称是什么？
[Unknown]：
您地点的州或省份名称是什么？
[Unknown]：
该单位的两字母国度代码是什么
[Unknown]：
CN=Unknown， OU=Unknown， O=Unknown， L=Unknown， ST=Unknown， C=Unknown 正确吗？
[否]： y
输入<testkey>的主暗码
（若是和 keystore 暗码雷同，按回车）：
再次输入新暗码:第2步：用 jarsigner 对 Jar 包进行
履行号令并按提示输入 keystore 和 testkey 的暗码后，即可对 tools.jar 进行并输出为 tools_signed.jar
jarsigner -keystore test.ks -signedjar tools_signed.jar tools.jar testkey
输入密钥库的口令短语：
输入 testkey 的密钥口令：
警告：
者将在六个月内过期。第3步：用 jarsigner 对 Jar 包进行验证
履行以下号令，验证Jar 包是否有效
jarsigner -verify tools_signed.jar
输出
jar 已验证。
警告：
此 jar 包含者将在六个月内过期的条目。
要懂得具体信息，请应用 -verbose 和 -certs 选项从头运行。
重视，以上号令只是应用 Jar 包内的文件，验证 public key 与生成的 private key 是否是有效 key pair，以及 Jar 包内容是否完全，并没有和 keystore 进行比对。若是须要验证 Jar 包是否是应用某一 keystore 内的密钥进行的，可以指定如下的号令和选项：
jarsigner -verify -verbose -keystore test.ks tools_signed.j
ar输出如下，重视对每一个class或资料文件，前面状况标识表记标帜中包含k，注解在 keystore 中找到了匹配的 certificate，也就是找到了匹配的 public key。若是须要打印出每一个 class文件或资料文件的 certificate 具体信息，可以增长 -certs 选项
...
smk 3384 Tue Jul 19 02:02:54 CST 2011 sun/tools/attach/HotSpotAttachProvider.class
smk 4597 Tue Jul 19 01:52:50 CST 2011 sun/tools/attach/HotSpotVirtualMachine.class
smk 3487 Tue Jul 19 02:02:54 CST 2011 sun/tools/attach/WindowsAttachProvider.class
smk 1001 Tue Jul 19 02:02:54 CST 2011 sun/tools/attach/WindowsVirtualMachine￥PipedInputStream.class
smk 2796 Tue Jul 19 02:02:54 CST 2011 sun/tools/attach/WindowsVirtualMachine.class
0 Tue Jul 19 01:52:50 CST 2011 sun/tools/jstack/
smk 4113 Tue Jul 19 01:52:50 CST 2011 sun/tools/jstack/JStack.class
0 Tue Jul 19 01:53:02 CST 2011 sun/tools/jinfo/
smk 4325 Tue Jul 19 01:53:02 CST 2011 sun/tools/jinfo/JInfo.class
0 Tue Jul 19 01:52:56 CST 2011 sun/tools/jmap/
smk 8177 Tue Jul 19 01:52:56 CST 2011 sun/tools/jmap/JMap.class
s = 已验证
m = 在清单中列出条目
k = 在密钥库中至少找到了一个
i = 在身份感化域内至少找到了一个
jar 已验证。
警告：
此 jar 包含者将在六个月内过期的条目。
要懂得具体信息，请应用 -verbose 和 -certs 选项从头运行。（2）编程进行 Jar 包的验证
可以应用以下API在运行时对 Jar 包进行验证：
读取 keystore 内的 certificate：
final String ksPath = ...
final String ksPass = ...
final HashMap<String， Certificate> certMap = new HashMap<String， Certificate>（）;
InputStream in = new FileInputStream（ksPath）;
KeyStore ks = KeyStore.getInstance（KeyStore.getDefaultType（））;
ks.load（in， ksPass.toCharArray（））;
Enumeration<String> aliases = ks.aliases（）;
while （aliases.hasMoreElements（）） {
String alias = aliases.nextElement（）;
Certificate cert = s.getCertificate（alias）;
certMap.put（alias， cert）;
}// while验证 Jar 包：
final String jarPath = G:\\tmp\\jar_sign_test\\tools_signed.jar;
JarFile jar = new JarFile（jarPath， true）;
Enumeration<JarEntry> entries = jar.entries（）;
while （entries.hasMoreElements（）） {
JarEntry entry = entries.nextElement（）;
// Verify the entry
InputStream in = jar.getInputStream（entry）;
try {
drain（in）;
} finally {
try {
in.close（）;
} catch （Exception e） {
}
}
Certificate[] certs = entry.getCertificates（）;
if （null != certs && certs.length > 0） {
for （Certificate cert : certs） {
String alias = verify（cert， certMap）;
if （null == alias） {
...
} else {
...
}
}// for
}
} // while按照 JarEntry.getCertificates（） 办法 Java doc，在调用之前，必须起首将此 JarEntry 数据完全读取，是以上方的代码段中调用了一个 drain（） 办法：
private static void drain（InputStream in） throws IOException {
byte[] buf = new byte[512];
while （-1 != in.read（buf））
;
}verify（） 办法用来搜检 certificate 是否与 keystore 内的某个 certificate 匹配，首要用到了 Certificate.verify（PublicKey ） 办法：
private static String verify（Certificate cert， HashMap<String， Certificate> map） {
Iterator<String> it = map.keySet（）.iterator（）;
while （it.hasNext（）） {
String alias = it.next（）;
try {
cert.verify（map.get（alias）.getPublicKey（））;
return alias;
} catch （Exception e） {
continue;
}
}// while
return null;
}
我们永远不要期待别人的拯救，只有自己才能升华自己。自己已准备好了多少容量，方能吸引对等的人与我们相遇，否则再美好的人出现、再动人的事情降临身边，我们也没有能量去理解与珍惜，终将擦肩而过。—— 姚谦《品味》
