26、Java平台安全机制与网络安全实现详解

Java平台安全机制与网络安全实现详解

在当今数字化时代，数据通信的安全性至关重要。随着我们对互联网技术的依赖不断增加，确保分布式实体之间通信路径的安全变得尤为关键。本文将深入探讨Java平台中的安全机制，包括签名算法、密钥对生成算法以及网络安全相关的API使用。

1. 签名算法与密钥对生成算法

1.1 签名格式

签名格式采用ASN.1序列，包含两个INTEGER值r和s，顺序如下：

SEQUENCE ::= { r INTEGER, s INTEGER }

1.2 RSA基于的签名算法

算法名称	类型	描述
MD2withRSA	Signature	使用MD2算法与RSA加密的签名算法
MD5withRSA	Signature	使用MD5算法与RSA加密的签名算法
SHA1withRSA	Signature	使用SHA - 1算法与RSA加密的签名算法

这些算法加密的数据是签名数据的摘要。

1.3 DSA密钥对生成算法

DSA（数字签名算法）的密钥对生成算法有特定的参数要求。密钥大小（模数p的长度，以位为单位）必须在512到1024之间，且为64的倍数，默认密钥大小为1024位。不同密钥大小有不同的默认参数值：
- 512位密钥参数 ：
- SEED = b869c8 26d b078b05e decbcd1e
- counter = 123
- p = fca682ce 8e12caba 26efccf7 110e5 …
- q = 962eddcc 369cba8e bb260ee6 b6a126
- g = 678471b2 7a9cf44e e91a49c5 …
- 768位密钥参数 ：
- SEED = 77d0f8c4 dad15eb8 c4f2f8d6 726cefd9 6d5bb
- p = e9e64259 9d355f37 c97ffd35 …
- q = 9cdbd84c 9f1ac2f3 8d0f80f4 …
- g = 30470ad5 a005fb14 ce2d9dcd …
- 1024位密钥参数 ：
- SEED = 8d515589 4229d5e6 89ee01e6 …
- counter = 92
- p = fd7f5381 1d751229 52df4a9c …
- q = 9760508f 15230bcc b292b982 …
- g = f7e1a085 d69b3dde cbbcab5c …

1.4 RSA密钥对生成算法

RSA密钥对生成算法遵循PKCS #1描述。密钥大小为8的倍数，且大于或等于512。

1.5 DSA参数生成算法

DSA参数生成算法的模数p长度（以位为单位）必须在512到1024之间，且为64的倍数，默认大小为1024位。

2. 网络安全与Java GSS - API

2.1 网络安全背景

随着互联网技术的发展，越来越多原本在专用网络上进行的交易现在通过互联网进行。然而，互联网协议版本4虽然广泛部署，但存在许多安全问题。为解决这些问题，Java 2平台提供了支持Kerberos V5和TLS 1.0等上层安全协议的API。

2.2 Java GSS - API概述

Java GSS - API用于分布式实体的身份验证。建立安全上下文时，通常涉及身份验证、机密性和完整性控制。

以下是使用Java GSS - API的详细步骤：
1. 获取GSSManager实例 ：

GSSManager manager = GSSManager.getInstance();

2. 创建GSSName实例 ：

Oid krb5Mechanism = new Oid("1.2.840.113554.1.2.2");
Oid krb5PrincipalNameType = new Oid("1.2.840.113554.1.2.2.1");
GSSName userName = manager.createName("gfe", GSSName.NT_USER_NAME);
GSSName serverName = manager.createName("nfs/foo.example.com", krb5PrincipalNameType);

3. 创建GSSCredential实例 ：

GSSCredential userCreds = manager.createCredential(userName, 
    GSSCredential.DEFAULT_LIFETIME, 
    GSSCredential.INITIATE_ONLY);

4. 创建GSSContext实例 ：

GSSContext context = manager.createContext(serverName, 
    krb5Mechanism, userCreds, GSSContext.DEFAULT_LIFETIME);

5. 建立安全上下文 ：
   客户端调用 initSecContext 方法，服务器调用 acceptSecContext 方法，直到上下文建立。在此过程中，会生成不透明令牌，应用程序需要将其发送给对等方。

graph LR
    classDef startend fill:#F5EBFF,stroke:#BE8FED,stroke-width:2px;
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;
    classDef decision fill:#FFF6CC,stroke:#FFBC52,stroke-width:2px;

    A([开始]):::startend --> B(客户端获取GSSManager实例):::process
    B --> C(客户端创建GSSName实例):::process
    C --> D(客户端创建GSSCredential实例):::process
    D --> E(客户端创建GSSContext实例):::process
    E --> F{上下文是否建立?}:::decision
    F -->|否| G(客户端调用initSecContext生成令牌):::process
    G --> H(客户端发送令牌给服务器):::process
    H --> I(服务器接收令牌):::process
    I --> J(服务器调用acceptSecContext):::process
    J --> F
    F -->|是| K([结束]):::startend

2.3 凭证委托

Java GSS - API允许客户端将其凭证安全地委托给服务器。客户端在调用 initSecContext 之前请求凭证委托：

context.requestCredDeleg(true);

服务器在上下文建立后通过调用 getDelegCred 接收委托的凭证。

2.4 减轻单点登录风险

单点登录虽然方便，但也引入了新的风险。为防止不可信代码冒充用户，需要进行各种安全检查，例如：
- 检查 javax.security.auth.AuthPermission ，目标为”getSubject”或”getSubjectFromDomainCombiner”。
- 检查 javax.security.auth.PrivateCredentialPermission ，以读取敏感的私有凭证。
- 新增 ServicePermission 和 DelegationPermission 类进行权限控制。

在客户端获取GSSCredential时，需要授予相应的 ServicePermission ，例如：

ServicePermission("krbtgt/EXAMPLE.COM@EXAMPLE.COM", "initiate");

在服务器端，获取GSSCredential时需要授予相应的 ServicePermission ，例如：

ServicePermission("nfs/foo.example.com@EXAMPLE.COM", "accept");

在上下文建立时，Kerberos机制提供商会检查 ServicePermission ，以确保应用程序只能使用授权的身份进行身份验证。

综上所述，Java平台提供了丰富的安全机制和API，帮助开发者实现分布式系统中的安全通信。通过合理使用这些机制和API，可以有效保护敏感数据的安全。

Java平台安全机制与网络安全实现详解

3. 安全机制的操作细节与风险控制

3.1 凭证获取的授权检查

在Java平台中，GSS - API的凭证获取操作有严格的授权检查机制。机制提供者必须从当前访问控制上下文中与Subject关联的私有或公共凭证集中获取凭证。在应用程序获取GSSCredential之前，需要进行授权检查，以防止信息泄露和非法操作。

具体来说，在客户端，成功获取GSSCredential意味着从缓存中访问了一个票据授予票据（TGT）。此时，客户端代码必须被授予一个 ServicePermission ，其操作类型为”initiate”，目标名称格式为”krbtgt/realm@realm”，例如：

ServicePermission("krbtgt/EXAMPLE.COM@EXAMPLE.COM", "initiate");

在服务器端，成功获取GSSCredential意味着从缓存中访问了一个秘密密钥。服务器端代码需要被授予一个 ServicePermission ，操作类型为”accept”，目标名称格式为”servicePrincipal@realm”，例如：

ServicePermission("nfs/foo.example.com@EXAMPLE.COM", "accept");

以下是一个简单的表格总结客户端和服务器端的权限要求：
| 端类型 | 权限类 | 操作类型 | 目标名称格式 | 示例 |
| ---- | ---- | ---- | ---- | ---- |
| 客户端 | ServicePermission | initiate | krbtgt/realm@realm | ServicePermission(“krbtgt/EXAMPLE.COM@EXAMPLE.COM”, “initiate”) |
| 服务器端 | ServicePermission | accept | servicePrincipal@realm | ServicePermission(“nfs/foo.example.com@EXAMPLE.COM”, “accept”) |

3.2 上下文建立的限制

应用程序在建立安全上下文时，可能会受到多种限制。即使网络连接被允许，也可以使用 ServicePermission 来限制应用程序使用获取的身份进行身份验证。

当Kerberos机制提供者即将启动上下文建立时，会检查客户端代码是否被授予一个 ServicePermission ，操作类型为”initiate”，目标名称格式为”servicePrincipal@realm”。例如：

ServicePermission("ftp@EXAMPLE.COM", "initiate");

这个检查可以防止未经授权的代码获取和使用Kerberos服务票据。同时，不建议向不可信代码授予任何”initiate”类型的 ServicePermission ，因为下载的代码可能会将包含Kerberos票据的初始GSS - API输出令牌发送回源主机，从而使票据暴露于离线攻击。

3.3 凭证委托的权限检查

在进行凭证委托时，也需要进行权限检查。应用程序在获得与服务器建立安全上下文的权限后，可能会请求将凭证委托给服务器。但并非所有服务器都值得信任到可以接收所有凭证的程度。

因此，在机制提供者获取委托的凭证并发送给对等方之前，会检查发起者（如客户端）是否拥有 javax.security.auth.kerberos.DelegationPermission 。

4. 总结与建议

Java平台提供了一套完整的安全机制，涵盖了签名算法、密钥对生成算法以及网络安全相关的API。这些机制和API为开发者提供了强大的工具，用于实现分布式系统中的安全通信。

以下是一些使用这些安全机制的建议：
1. 合理选择签名和密钥对算法 ：根据具体的应用场景和安全需求，选择合适的签名算法（如MD2withRSA、MD5withRSA、SHA1withRSA）和密钥对生成算法（如DSA、RSA）。同时，要注意密钥大小的选择，确保满足安全要求。
2. 严格进行权限控制 ：在使用Java GSS - API时，要严格进行权限控制。在凭证获取、上下文建立和凭证委托等操作中，确保授予的权限符合安全策略，避免向不可信代码授予过高的权限。
3. 定期更新和维护安全机制 ：随着安全威胁的不断变化，要定期更新和维护Java平台的安全机制。及时了解新的安全漏洞和修复方案，确保系统的安全性。

graph LR
    classDef startend fill:#F5EBFF,stroke:#BE8FED,stroke-width:2px;
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;
    classDef decision fill:#FFF6CC,stroke:#FFBC52,stroke-width:2px;

    A([开始使用Java安全机制]):::startend --> B(选择合适的签名和密钥对算法):::process
    B --> C(进行权限控制配置):::process
    C --> D{是否有新的安全威胁?}:::decision
    D -->|是| E(更新和维护安全机制):::process
    E --> D
    D -->|否| F(继续使用安全机制):::process
    F --> G([结束]):::startend

通过遵循这些建议，开发者可以更好地利用Java平台的安全机制，保护敏感数据的安全，确保分布式系统的稳定运行。