【免费】JAVA2平台安全技术-结构,API设计和实现资源-CSDN文库

共12个文件

pdf：9个

txt：3个

JAVA

J2EE

需积分: 0 58 浏览量 2008-10-03 15:08:05 上传评论收藏 4.35MB RAR 举报

资源详情

资源评论

资源推荐

收起资源包目录

JAVA 2平台安全技术-结构,API设计和实现.rar （12个子文件）

JAVA 2平台安全技术-结构,API设计和实现

007.PDF 799KB

005.PDF 341KB

008.PDF 340KB

JAVA 2平台安全技术-结构,API设计和实现.TXT 0B

009.PDF 435KB

内容简介.TXT 416B

001.PDF 459KB

003.PDF 1.82MB

006.PDF 415KB

002.PDF 309KB

目录.TXT 5KB

004.PDF 930KB

下载

第3章 JDK1.2安全结构

本章主要讨论J D K 1 . 2 安全结构的内部机制，它支持策略驱动、基于许可权的、灵活的及

可扩展的访问控制。本章将回顾一下 P o l i c y 和P e r m i s s i o n 类的设计方法、安全类加载的内部机

制及访问控制算法。下面首先概述这种新的结构产生的动机和它的发展历史。

3.1 起源

1 9 9 6 年8月底，J D K 1 . 2 安全结构开始被酝酿，次年 2月开发了相应的代码，3月设计出第一

个许可权控制A p p l e t Viewer appletviewer原型。1 9 9 7年5月获得具有完备特性的A p p l e t Vi e w e r原

型。它们和说明J a v a安全新结构的出版物大约同期。在 1 9 9 7 年2月的IEEE COMPON

[ 2 9 ]

会议上，

我发表了一篇论文，后来，在 IEEE Micro 5/6月双月刊

[ 2 3 ]

上对这篇论文作了一些修改和扩展。

1 9 9 7 年4月在JavaOne 的讨论中，我可以自信地对手边的原型讲出它们的一些技术细节。在后

来的 1 2 个月中，安全结构基本保持不变，而 A P I 却在不断的精化当中。在 1 9 9 7 年1 2 月的

U S E N I X 会议上发表了关于 A P I 的一个概要性文件

[ 2 5 ]

。1 9 9 8 年初，在一个国际社会专题讨论会

上，安全结构的技术细节被发表

[ 2 8 ]

。

我们把J D K 1 . 2的安全工程形象地称为“直布罗陀 ( G i b r a l t a r )” ，这主要是因为J a v a 安全开

发小组人员把它看作是 J a v a技术的重要基石，而且它的顺利完成也颇费周折。目前，开发小

组人员正在构想用其他大力神柱 (古代称为A b y l a，现在称为Mount Hacho)来命名下一代安全

工程。

3.2 为什么需要一个新型的安全结构

如在第2章讨论的，由于并没有多少技术人员把安全性作为设计目标，而 J D K 1 . 0的发行版

着重考虑了安全问题并提供了沙盒安全模型，所以，可以说正是在 J a v a技术、I n t e r n e t 和电子

商务的推动下使安全技术成为计算机工业的主流，这是一个非常重要的成就。接下来应该改

进最初的设计方案，弥补早期版本中的一些不足之处，使 J a v a 平台上的安全解决方案更易于

使用、更为强大。

3.2.1 关于applet的沙盒模型的局限性

沙盒模型严格地限制了几种行为，而这些行为 a p p l e t可以执行。尽管沙盒模型是产生安全

网络计算的必要因素，但它却把所有的 a p p l e t 看成是潜在可疑的。因此，一些 a p p l e t 程序，例

如那些公司财务组编制出的用以处理内部交易的程序，即使它们比从陌生的 We b 站点随意下

载的applet 程序可靠许多，但在使用上也要受到限制。

像这样对所有的 a p p l e t 的全面限制是有局限性的。例如，假设总部在旧金山的经纪公司

Charles Schwab的一个客户正在运行该公司网页上的 a p p l e t 程序来进行股票交易，他也许想用

G i b r a l t a r一词来源于c a l p e ，两个大力神柱之一，见 Brewer's Dictionary of Phrase & Fable。

a p p l e t更新Charles Schwab的公事包中的本地文件；不过，沙盒模型禁止访问客户方的文件系

统。因此，这位客户需要灵活的访问控制，某些 a p p l e t可以访问沙盒以外的东西，或者说，沙

盒模型应该可以定制(例如，由客户系统)成灵活的外形和边界。

另一方面，这位客户也许会在本地计算机上安装 Quicken 软件来处理所得税事务，它也许

会感到极不舒服，因为 Charles Schwab的a p p l e t可以自由地控制它的整个计算机系统。在这种

情况下，最好对 a p p l e t所能访问的文件系统加以限制，让它只能访问 Charles Schwab文件夹，

即就是说，需要“细致的访问控制系统”。

在J D K 1 . 2之前，J a v a 平台理论上可以获得更为灵活和细致的访问控制。为了具体实现它，

一些人 (如应用程序员 )必须要做大量的编程工作，例如划分子类和定制 S e r c u r i t y M a n a g e r

ClassLoader 等类。由S u n公司开发的支持J a v a开发环境的I n t e r n e t浏览器H o t J a v a 便是这样的例

子，它提供一系列有限的用户可定义的安全特性。但是，这样的编程工作对安全性极为敏感，

需要丰富的计算机安全知识和强大的编程能力。

J D K 1 . 2 的结构旨在消除编写安全代码的必要。少数情况除外，如在军事环境中，因为它

需要特别的安全特性(如多级安全特性)

[ 4 4 ]

。即使在军事环境下，在 J D K 1 . 2 平台上编写安全代码

也会变得更为简便和安全。

3.2.2 策略和实施分离的不彻底性

沙盒模型，由SecurityManager 类编码，以软件的形式实现了一种特定的安全策略，而这

种软件以实施特定的安全策略为主要目的，这意味着要实施不同的安全策略，必须使用一种

特定版本的软件

—

显然这并不是我们所需要的，相反，我们所需要的是一种支持一系列易

于配置的安全策略的底层结构。

J D K 1 . 2 安全结构清楚地分开了实施机制和安全策略声明。因此，应用程序员和用户无须

编写特殊的程序就可以配置自己喜欢的安全策略。

3.2.3 安全核查的不易扩展性

最初的设计使得 J D K执行的安全核查难以编写相应的代码。例如，当检查一个文件是否

可读打开时，需要调用 S e c u r i t y M a n a g e r 类中的c h e c k R e a d ( ) 方法。显然，这样的设计方法不适

合今后的J D K 的新型核查处理，所以它不易扩展。并且，也不易改变规模。例如，为产生一

种新型访问核查，如某人去检查钱是否从银行帐户中提出一类的事情，必须要在

S e c u r i t y M a n a g e r 类或它的子类中增加 c h e c k A c c o u t Wi t h d r a w ( )方法。许多不同目的的核查可能

同时存在，如果为这些大量的核查而生成相应的方法，可能会造成 SecurityManager 类的过度

拥挤。事实上，许多核查都是针对特殊应用的，所以并不是所有的核查都可以在 J D K 内部定

义。我们所需要的是一种易于扩展的访问控制结构。 J D K 1 . 2 结构引入了可定义类型的访问控

制许可权和一种自动处理机制来实现可扩展性和规模可改变性。在理论上， S e c u r i t y M a n a g e r

类中不需要再加入新的方法。在 J D K 1 . 2 的发展过程中，当我们引入大量新型安全核查时，并

不需要新的方法，一个名叫 c h e c k P e r m i s s i o n ( ) 的方法，已经足以处理所有的安全核查。

3.2.4 对本地安装的applet过于信任

最初的安全模型默认所有本地安装的 J a v a 应用程序都是可以完全信任的，应该在最高的

20使Java 2平台安全技术

—

结构、API设计和实现

下载

优先级下运行。这样使沙盒模型只适用于下载的 a p p l e t 。然后，不应该赋予本地安装的软件对

系统中所有部分的访问权力。例如，一个用户在本地安装了 D e m o 版的程序并试着运行它，如

果赋予这样的一个 D e m o 版程序享有最高访问许可权，则会引起一些潜在的危害。又如，将

a p p l e t 存储在本地文件系统中会改进性能，但是不应该把 a p p l e t视为可靠的代码并改变安全模

型，即使这些a p p l e t 已存在于本地系统中。而且，由于存储 a p p l e t ，本地代码和远程代码的区

分很快会变得模糊不清。在现代社会的软件组织中，一个应用程序会用到许多组件，如

J a v a B e a n s ，而它们常常存在于 I n t e r n e t 的每一个角落。所以，安全核查应该扩展到所有的 J a v a

程序，包括a p p l e t 和应用程序。

在新的结构中，像a p p l e t 一样，本地代码遇到了同样的安全控制，不过用户可以决定是否

给某些(或全部)本地代码赋予最高访问许可权，这样的话，才能像完全被信任的代码一样有效

地运用它们。这样一个选择可以通过简单地配置合适的安全策略来完成。

3.2.5 内部安全机制的脆弱性

在最初的J D K 1 . 0 和随后的J D K 1 . 1 中，一些内部安全机制在设计和实现时所用的技术是相

当脆弱的。尽管它们在这些版本中运行得很好，但维护和扩展它们相当困难。因此，为了降

低在程序中产生这些小安全漏洞的危险性，我们作了一些重要的结构性调整。这些工作涉及

到对S e c u r i t y M a n a g e r和C l a s s L o a d e r 类的设计和实现上的修正，和基本访问控制核查机制的修

正。下面的3 . 8 和3 . 9节会谈到一些历史上的细节。

3.2.6 总结

总之，由于需要支持灵活和细致的访问控制的安全策略，同时具有可扩展性和规模可变

性，所以需要一种新型的经过改进的安全结构，这就是 J D K 1 . 2 。这种新型结构使用安全策略

来决定赋予它的运行代码何种访问许可权。这些许可权是基于代码特征的。例如，代码源于

何处，它是否为数字签名。还有，企图访问被保护的资源会引发调用安全检查，被调用安全

检查将比较赋予的许可权和企图访问的许可权。如果赋予的许可权高于或包括企图访问的许

可权，访问是允许的。否则，访问被拒绝。如果一个安全策略没有明确地给出，传统的实现

于J D K 1 . 0和J D K 1 . 1中的沙盒模型策略为默认策略。随后章节将会谈到对这种模型使用的诸多

告戒、精化和异常情况。

的确，我们不得不设计新的方法去处理诸多微小的安全事例，而这些安全事例对面向对

象系统来说也是独一无二的，但是， J D K 1 . 2 安全结构并没有产生新的计算机安全理论，不过，

它提供了一个现实的例子，在这个例子中，把众所周知的安全原则应用到工程实践中从而构

造了一个实际的、广泛应用的安全系统。

本章的其余部分描述了类实现的技术细节。新安全模型中最主要部件包括：安全策略、

访问许可权、保护域、访问控制核查、优先级操作和 J a v a 类的加载和实施方案。安全策略和

访问许可权定义了可允许的行为，而保护域和访问控制核查提供了实际的实施，优先级操作

和类加载、实施方案在整个保护机制中提供了很有价值的帮助。

3.3 java.Security.GeneralSecurityException

首先，我们要指定一个异常类 G e n e r a l S e c u r i t y E x c e p t i o n。也许有人不禁会问，已有

第3章 J D K 1 . 2 安全结构使用21

下载

java.lang SecurityException 类，为何要引入这个类呢？ S e c u r i t y E x c e p t i o n 类和它的子类是一种

运行异常，只在安全核查失败时出现，如一个人非法访问一个被保护文件。这样的运行异常

不会被声明也不会被核查，但它们会中断程序运行，除非应用程序员编写了详尽的代码才能

捕获它们。

尽管如此，其他一些错误情况(如语法错误)与安全机制有关，但却不是失败的安全核查。在

这种情况下，执行一个S e c u \ r i t y E x c e p t i o n 类是不正确的，而应当执行G e n e r a l S e c u r i t y E x c e p t i o n。

例如，引入一个无效P o l i c y对象与安全性有关，但并不很重要，并且这种异常不是安全侵犯且应

该被开发人员捕获和处理。

G e n e r a l S e c u r i t y E x c e p t i o n 是j a v a . l a n g . E x c e p t i o n的一个子类，必须声明和捕获。这种异常

在所有安全包中都将出现，除非发现了某种安全侵犯，这时会出现 S e c u r i t y E x c e p t i o n 。

3.4 安全策略

J a v a 运行系统的安全行为由安全策略来指定。在抽象性术语中，安全策略是一个典型的

访问控制矩阵，即什么样的系统资源，用哪种形式，在哪些环境下可以被访问。例如，图 3 - 1

中矩阵的一项“当运行一个从 http://java.sun.com 下载的a p p l e t时，允许它读文件 x”。更具体

一些，一个安全策略是从描述运行代码的一套特征到代码所允许的访问许可权的映射。

图3-1 策略矩阵

J D K 1 . 2 运行时，系统的安全策略由一组策略组成，可由用户或系统管理员配置。 J a v a运

行环境外的策略有许多种表示形式。如， J D K 1 . 2的缺省实现使用 A S C I I 形式，且策略存储在

A S C I I 文件中。策略文件可由H T T P 或其他协议获得，策略文件的格式规范将在第 4章中说明。

因此J a v a运行环境内的安全机制可以引用策略，策略内容必须在 P o l i c y 对象内表达，而

P o l i c y 对象是j a v a . s e c u r i t y. P o l i c y 类的子类的实例化。由于任何人都可以实例化这样的一个对

象，因此Policy 对象的许多实例可以同时存在。然而，任何时刻都只有一个 P o l i c y 对象起作用，

感觉上是安全机制在对P o l i c y实例提问。

P o l i c y类是一个抽象类，所以 P o l i c y对象是从P o l i c y子类，而非P o l i c y类实例化来的。而安

全策略由 P o l i c y子类来表示，这个子类提供这个 P o l i c y 类中抽象方法的一个实现。下面为

P o l i c y 的四个重要方法：

22使Java 2平台安全技术

—

结构、API设计和实现

下载

java security包由产生异常的两部分组成，它们是 j a v a . l a n g . R u n t i m e E x c e p t i o n的子类。JDK 1.1 中包括该类，并

保留了向下兼容性，在此我们不改变 G e n e r a l S e c u r i t y E x c e p t i o n的子类。

代码许可权

连接和接收bankofamerica.com

读和写/tmp

签名CharlesSchwab applet

本地应用程序

未签名CharlesSchwab applet

读和写/tmp和/home/gong/stock

public static Policy getPolicy();

public static void setPolicy (Policy policy);

public abstract Permissions getPermissions(CodeSourcecodesource);

public abstract void refresh();

通过调用g e t P o l i c y 方法可以得到当前安装的 P o l i c y对象。这个对象保存着策略的运行代表，

这个对象或者在 J a v a启动时实例化，或者当安全策略首次使用时实例化。这个对象随后可以

借助安全机制改变，如通过调用 s e t P o l i c y方法。

策略信息的源位置由 P o l i c y 对象使用直到P o l i c y 实现。它可以以简单的 A S C I I 文件形式存

储，也可以以P o l i c y 的连续二进制文件或者数据库形式存储。

r e f r e s h方法使得 P o l i c y 对象更新或重装当前配置，这依赖于实现。例如，如果 P o l i c y 在配

置文件中存储它的策略内容，调用 r e f r e s h会使它重读配置策略文件。然而， J D K 1 . 2 中的缺省

实现并不影响已加载的类，它们仍保留着被赋予的许可权，即使这些许可权和新安全策略冲

突。同时，在策略更新后加载的新类在新策略下也不赋予许可权，这些都依赖于类加载器是

如何实现的。例如，如果它们存储了旧的策略内容，那么将会使用这些内容而不是新策略内

容。3 . 6 节将进一步详述策略更新问题。

可以通过p o l i c y. p r o v i d e r 安全属性的值 (在J a v a安全属性文件中 )将缺省的P o l i c y 实现变为

P o l i c y实现类的合格的名字。J a v a安全属性文件位于：

J A V A - H O M E / l i b / s e c u r i t y / j a v a . s e c u r i t y

其中J AVA - H O M E 指安装J R E ( J a v a 运行环境)的目录。例如，如果你在 S o l a r i s 上安装了J D K 1 . 2，

安全属性文件位于：j d k 1 . 2 / j r e / l i b / s e c u r i t y / j a v a . s e c u r i t y。如果你在S o l a r i s 上安装了J R E 1 . 2 ，这

个文件位于: j r e 1 . 2 / l i b / s e c u r i t y / j a v a . s e c u r i t y 。

把策略部件设计成一个提供器结构，以便有足够的灵活性。这样的话，就可以随意地获

得策略内容。期望通过多种方法实现策略部件，然后为策略部件设计提供丰富的 A P I是不太可

能的。

策略内容很敏感，g e t P o l i c y ( ) 方法是公用的、静态的，任何人都可以调用它，这样就安装

了一个合适的安全核查，使得只有那些得到许可权，可以获取策略的代码才能成功的调用这

些方法。

类似的，调用s e t P o l i c y ( ) 方法时，触发了安全核查。如果调用的代码没有所需的许可权，

则出现S e c u r i t y E x c e p t i o n ，这表明有人正尝试做安全敏感性操作，并且由于没有充分的访问许

可权而遭到了拒绝。

安全核查基于 J D K 1 . 2 引入的新的安全结构 (这样可以根据前面的理论作一个练习 )，可以

由下面的代码段加以解释。这些代码段使用新的许可权模型，它的细节将在 3 . 5 、3 . 7 、3 . 8和

3 . 9节中讲解。

public static Policy getPolicy() {

SecurityManager sm = System.getSecurityManager();

if(sm!=null) sm.checkPermission(new

S e c u r i t y P e r m i s s i o n ( " g e t P o l i c y " ) ) ;

return policy;

}

public static void setPolicy(Policy policy) {

SecurityManager sm = System.getSecurityManager();

第3章 J D K 1 . 2 安全结构使用23

下载

评论收藏

内容反馈

deng2897576

粉丝: 1
资源: 3

JAVA 2平台安全技术-结构,API设计和实现

评论0

最新资源

JAVA 2平台安全技术-结构,API设计和实现

评论0

JAVA 2平台安全技术-结构API设计和实现

Java2平台安全技术-结构,API设计和实现

Java 2平台安全技术-结构,API设计和实现（pdf）

java2平台安全技术-结构,api设计和实现

java_2平台安全技术-结构,api设计和实现

Java2平台安全技术-结构,API设计和实现.rar

Java 2 安全技术-结构,API设计和实现中文版.zip

Java 2 平台安全技术——结构, API 设计和实现

基于spring boot的小区物业管理系统源码+论文+答辩ppt

STM32CubeMX安装包(版本:6.9.0) 附带 Java安装包(版本:371) - -2023年7月14日

最新Java JDK 8安装版（Windows 64位）

自主研发的软著申请代码文档整理输出工具

毕业设计-基于JAVA的springboot超市进销存系统(源代码+论文）

Java 面经手册·小傅哥.pdf

BurpLoaderKeygen.jar.zip

ProGuard工具包，Java代码混淆

java-11 windows-x64 安装包

Java面试八股文2023最新版

2024最强Java面试八股文

JDK1.8 windows 64位

JavaWeb仿小米在线商城ShoppingMall

neo4j桌面版安装与配置文件

ide-eval-resetter-2.3.5.jar,重新定义idea使用时间

java版本使用springboot vue websocket webrtc实现视频通话

jdk-8u401-windows-x64

教务管理系统——数据库课程设计mysql+java

aspose-cad-23.8.jar

Java第十五届蓝桥杯大赛软件JavaB组真题

jdk-11-windows-x64.zip

最新资源