如何簽署從tomcat服務器訪問服務的JNLP應用程序？

Question

我是任何應用程序的安全部分的新手。我有關於數字證書的基本知識。我聽說像Applets & Java web start這樣的應用程序在客戶端機器上運行並從遠程機器訪問其服務需要數字簽名以便無任何限制地執行活動。

我有一個尚未簽名的Java Web Start應用程序，每次用戶訪問時都會顯示一些安全警告。

以下是我的Java Web Start應用程序的詳細信息。

1. 應用程序使用Java web-start技術與運行在Tomcat7上的Servlet進行通信。
2. DB是SQL Server 2012.
3. 服務器計算機：Windows 64位2008 R2企業服務器。
4. Java 7更新25 64位
5. JWS應用程序和Web應用程序所需的所有文件（JNLP，jar文件）打包爲單個war文件並部署到Tomcat7。

任何人都可以提供一些想法以下查詢：

1. 登入的應用程序的jar文件只是爲了避免安全警告的方式？
2. 簽名jar文件的成本是多少？有沒有辦法在瓶子上免費簽名？
3. 目前，作爲JavaEE應用程序在Tomcat7上運行的服務通過http連接由Web Start應用程序訪問。罐子簽名後，我需要使用https而不是http嗎？
4. 我發現我需要添加以下代碼到.jnlp文件：<security><all-permissions/></security>從上述變化
5. 除此之外還有什麼，我需要在Java或XML文件做什麼呢？

注：我們得到了一些連接重置錯誤誰通過互聯網訪問應用程序的用戶。將Java版本從Java5升級到Java7後，我們注意到這個錯誤。閱讀一些安全策略已更改的地方，現在通過網絡下載未簽名的jar文件有一些問題。但不能確切地確定錯誤是由於升級到Java版本還是應用程序代碼的某些更改所致，因爲我們在連接重置以外的日誌文件中沒有任何例外。

預先感謝

Answer 1

用不受信任的證書生成數字簽名。

這說明了。

在應用程序中籤署jar文件只是避免安全警告的方法嗎？

瓶子顯然已經數字簽名，但帶有未經驗證的證書。

安無符號應用程序。會有不同的警告（甲骨文警告說，將來他們會默認JVM根本不運行它們）。

一個應用程序。使用經過驗證的證書籤名會產生與您目前所看到的警告相同的警告，除了「發佈者：」將被列出，並且如果用戶勾選「始終允許」（顯然不再出現在自簽名或未簽名的代碼中）， JRE將存儲並記住該決定。

請問簽名jar文件的費用是多少？有沒有辦法在瓶子上免費簽名？

第二個問題的答案是'現在你花多少錢？'第一個答案是'是'。

目前，作爲JavaEE應用程序在Tomcat7上運行的服務是通過http連接由Web Start應用程序訪問的。罐子簽名後，我需要使用https而不是http嗎？

號

我發現我需要添加以下代碼到.jnlp文件：從上面的變化<security><all-permissions/></security>除此之外還有什麼，我需要在Java或XML文件做什麼呢？

我懷疑你需要指定。即使是沙盒應用程序。可以'回家'給同一臺服務器。如果使用可信證書進行數字簽名，則警告將更加溫和。你需要在你的心中，以保持最高

---

一件事，就是這一切的安全性是不是開發商的便利，但最終用戶（和用戶信心插件）的安全性。所以，當你試圖找到「搗亂」的時候，你正在有效地試圖找到JRE中的安全漏洞。

如果您確實找到了，請告訴我們，以便我們能夠使用Oracle提出高優先級的錯誤報告，並獲得修復。