¿Cuál es el punto de firmar código, como tarros? - java, seguridad, tarro, señal

¿Cuál es el punto de firmar su código como los tarros de Java cuando todos pueden hacerlo con jarsigner? ¿Cómo proporciona seguridad?

Respuestas

El punto de firmar un archivo JAR es verificar queno ha sido manipulado Una vez que se firma un archivo jar, puede verificar que este archivo no haya sido modificado por otra persona. Esto garantiza que el archivo se origina en la persona que lo firmó originalmente. Si alguien ha modificado el archivo entre el proceso de verificación de la firma, se producirá un error. Puedes comprobar Este artículo para más detalles sobre cómo criptografía de clave pública Podría ser utilizado para realizar firma digital.

Cuando firmas un archivo jar puedes mostrar que fue tú Eso lo firmó y no alguien más.

Es la misma idea cuando firma un documento; solo usted puede escribir su firma. Otras personas pueden firmarlo, pero lo firmarán con su firma, no tuya

Con firmas escritas a mano, un falsificador experto puede aprender a copiar su firma. Con firmas digitales es mucho más difícil hacer una copia porque necesita obtener la clave privada de esa persona. Sin la clave privada no puede hacer una firma que se parezca a la de ellos.

La firma de un frasco vincula el contenido a un certificado particular. Entonces, ¿qué está demostrando ese certificado?

Si la clave privada para el certificado ha sidoRobado, entonces no mucho. Hay dispositivos a prueba de manipulaciones para mantener las claves privadas. Sin embargo, a menudo las claves privadas se encuentran en las máquinas de los desarrolladores. Esas máquinas probablemente no están bien protegidas.

Un certificado puede ser firmado por un pozoconocida Autoridad de Certificación (CA). Por lo tanto, el usuario final tiene cierta confianza en que el contenido tiene el origen reivindicado. La cantidad de verificación de que el titular de la clave del certificado es quien dice ser varía. Esto ha llevado a una carrera hacia el fondo donde las AC simplifican los procedimientos para ofrecer precios más bajos.

Incluso para certificados no verificados, diferentesEl contenido firmado con el mismo certificado muestra un origen común. Entonces, si toma la decisión de confiar en un certificado, puede recibir más contenido del mismo origen sin confiar en nadie más.