¿Cuál es el punto de firmar código, como jarras?

Question

¿Cuál es el sentido de firmar su código como los jar de Java cuando todos pueden hacerlo con jarsigner? ¿Cómo proporciona seguridad?

Answer 1

El objetivo de firmar un archivo JAR es verificar que no se haya manipulado. Una vez que se haya firmado un archivo jar, puede verificar que este archivo no haya sido modificado por otra persona. Esto asegura que el archivo se origina de la persona que lo firmó originalmente. Si alguien ha modificado el archivo en el medio, el proceso de verificación de la firma fallará. Puede consultar this article para obtener más información sobre cómo public key cryptography podría utilizarse para realizar la firma digital.

Answer 2

Cuando firma un archivo jar puede mostrar que fue que que lo firmó y no otra persona.

Es la misma idea cuando firma un documento; solo usted puede escribir su firma. Otras personas pueden firmarlo, pero lo firmarán con su firma, no la tuya.

Con las firmas escritas a mano, un falsificador experto puede aprender a copiar su firma. Con digital signatures es mucho más difícil hacer una copia porque necesita obtener la clave privada de esa persona. Sin la clave privada, no puede hacer una firma que se parezca a la de ellos.

Answer 3

Firmar un contenedor vincula el contenido a un certificado en particular. Entonces, ¿qué prueba ese certificado?

Si la clave privada para el certificado ha sido robada, entonces no mucho. Hay dispositivos a prueba de manipulaciones para mantener claves privadas. Sin embargo, a menudo las claves privadas a menudo mienten en las máquinas de desarrollo. Esas máquinas probablemente no están bien protegidas.

Un certificado puede estar firmado por una autoridad certificadora (CA) bien conocida. Por lo tanto, el usuario final tiene cierta confianza en que el contenido tiene el origen declarado. La cantidad de verificación que el titular de la clave del certificado es quien dicen ser varía. Esto ha llevado a una carrera hacia abajo donde las CA simplifican los procedimientos para ofrecer precios más bajos.

Incluso para certificados no verificados, diferentes contenidos firmados con el mismo certificado muestran un origen común. Por lo tanto, si toma la decisión de confiar en un certificado, puede recibir más contenido del mismo origen sin confiar en nadie más.