给OSGi加入数字签名及认证特性的思考

　　曾经我很困惑，所开发的商业软件被频频破解，促使我开始研究软件防盗版功能。

 

　　由于我们的系统是基于OSGi平台上的（叫Bond），能不能在OSGi运行环境一层加入数字签名认证，使其认证通过的Bundle才能安装和启动呢？整理一下思路。

 

　　在Bundle安装前，验证的流程有如下几步：

1. 验证JAR自身的数字签名，如果无效就抛出插件认证异常。
2. 验证JAR数字签名的证书发布者是否为OSGi运行环境里内置的根证书，如果不匹配则抛出系统认证异常。
3. 一些特殊性验证，如自定制的序列号等。如果验证不通过则抛出用户认证异常。

　　这样，就有了三种验证机制：

1. 使用JRE自身的数字签名特性，保证JAR文件的一致性。但数字证书可以自行制造出来，JDK也有签名工具，因此，仅仅用此特性不足以保护程序不被修改。
2. 通过在OSGi运行环境中加入根证书，并在运行时对JAR文件进行签名验证。假设OSGi运行环境的结构不会被破解（根证书不会被提取），那么这个方法可以保证JAR文件不被修改。
3. 通过加入第三方认证机制，可以进一步限制JAR文件的一致性，除此之外还可以加入很多限制信息，如过期时间、绑定IP地址等。

　　有人好问了，第二种方法中有个假设就是OSGi运行环境（下称 OSGi.jar）不会被破解，那么如何才能不被破解呢？我想有些人们的脑子里已经有了答案，那就是把OSGi.jar包编译成可以执行文件，如Windows下的exe程序。那么，接下来就会有另一个问题，就是如何选择封装程序。

 

　　我总共使用过三种封装程序：JSmooth、Launch4J、Exe4J。前两者是开源的，最后是商业软件。

• JSmooth是我第一个使用的封装程序，它在运行时，会把OSGi.jar包存储到一个临时文件里，这样稍微进行跟踪，就能找到原始结构的OSGi.jar文件，从而轻松提取到根证书。
• Launch4J也是一个比较不错的封装程序，可惜如果你用解压缩软件直接打开封装后的exe程序，OSGi.jar的原始结构一目了然，轻松就可以把根证书解压出来。
• Exe4J虽然是商业软件，但却是加密最好的。不会把OSGi.jar存储到硬盘中，用解压缩软件也打不开。最后，我们就选择了这个作为封装程序。

　　至此，给OSGi加入数字签名及认证方法的整体思路已经清晰，经过Bond一段时间的测试，确定此方法是可行的。