署名付きアプレット(Signed Applet)

キーペアの作成と署名

コマンドプロンプトを開いて、次の操作を行います。

C:\WINNT>cd \

C:\>md cert

C:\>cd cert

C:\cert>md org

C:\cert>copy c:\Tomcat4.1\webapps\webtribe\lib\*.jar org
            1 個のファイルをコピーしました。

C:\cert>dir org
C:\cert\org のディレクトリ

2003/11/27 12:17              366,348 camc.jar
2003/09/28 18:14                 3,244 pmc_desktop.jar
2003/10/25 06:11              332,396 RuleCommonClient.jar
2003/10/25 06:11              535,391 RunClient.jar
2003/10/25 06:11                1,099 RunClientWdgs.jar
2003/12/01 15:00       150,643 user_rule.jar

C:\cert>keytool -genkey -keyalg rsa -storepass mkidev -alias jws -keypass mkidev -validity 365 -dname "cn=Webtribe, ou=Product, o=MKI, l=Osaka, st=Osaka, c=JP"

C:\cert>jarsigner -storepass mkidev -keypass mkidev -signedjar RunClient.jar org\RunClient.jar jws

C:\cert>dir

2003/12/03 09:57             557,847 RunClient.jar <== 署名後の JAR ファイル

C:\cert>jarsigner -storepass mkidev -keypass mkidev -signedjar camc.jar org\camc.jar jws

C:\cert>jarsigner -storepass mkidev -keypass mkidev -signedjar RuleCommonClient.jar org\RuleCommonClient.jar jws

C:\cert>jarsigner -storepass mkidev -keypass mkidev -signedjar RunClientWdgs.jar org\RunClientWdgs.jar jws

C:\cert>jarsigner -storepass mkidev -keypass mkidev -signedjar user_rule.jar org\user_rule.jar jws

C:\cert>copy *.jar c:\Tomcat4.1\webapps\webtribe\lib

copy c:\Tomcat4.1\webapps\webtribe\lib\*.jar org
署名前の JAR ファイルを org ディレクトリにコピーします。
これは、署名を行う時、署名前のファイルに署名後のファイルを上書きすることができないためです。

keytool -genkey -keyalg rsa -storepass mki -alias jws -keypass jws -validity 365 -dname "cn=Webtribe, ou=Product, o=MKI, l=Osaka, st=Osaka, c=JP"
キーストアとキーペアを作成します。
ここではコマンドラインでキーストアのファイル名を指定しなかったので、ホームディレクトリに .keystore というファイルが作成されます。
キーペアは、公開鍵と秘密鍵のセットです。公開鍵で暗号化したデータは対になる秘密鍵を使って復号化することができ、秘密鍵を使って暗号化したデータは公開鍵を使って復号化することができます。
キーストアはキーペアを格納するファイルで、ひとつのキーストアファイルには複数のキーペアを格納することができます。
各パラメータは次のような意味があります。

パラメータ	説明
-genkey	キーペアを作成
-keyalg	署名アルゴリズム
-storepass	キーストアのパスワード新規作成の場合は、指定されたパスワードを設定既存の場合は、指定されたパスワードを照合
-alias	キーペアの別名
-keypass	キーペアに設定するパスワード
-validity	キーペアの有効期限
-dname	X.500 識別名 cn : 人の通称 ou : 小さな組織 (部、課など) の名称 o : 大きな組織の名称 l : 地域 (都市) 名 st : 州名または地方名 c : 2 文字の国番号

jarsigner -storepass mkidev -keypass mkidev -signedjar RunClient.jar org\RunClient.jar jws
あらかじめ org ディレクトリにコピーしておいた JAR ファイルに対して署名を行います。
各パラメータは次のような意味があります。

パラメータ	説明
-storepass	キーストアのパスワード
-keypass	キーペアのパスワード
-signedjar	署名後の JAR ファイル名
<最後の文字>	署名に使用するキーペアの別名

その他の JAR ファイルも同様に jarsigner コマンドを使って署名を行います。
(キーペアを作成するのは、最初の 1回目だけで、各 JAR ファイルに対しては、同じキーペアを使って署名します。)

copy *.jar c:\Tomcat4.1\webapps\webtribe\lib
署名後のファイルを元のディレクトリにコピーして、戻します。

署名によりJWS でのローカルリソースに対するアクセスを許可

JWS として実行する場合、JAR ファイルに対して署名を行っただけでは、ローカルリソースに対するアクセス権限を得ることはできません。
JNLP ファイルに次の記述を追加します。
コメントになっている場合は、コメントをはずします。

JWS 起動

この段階で JWS を起動すると、警告ダイアログが表示されます。

warning dialog

ここで「この証明書の信頼性を検証できません。コードの出所および妥当性を表明できません。このコードをインストールおよび実行しないことを強くお勧めします。」と表示されるのは、JAR ファイルの署名に使用したキーペアが認証局等の手続きを経ていないことにより、署名の正当性(本人の署名かどうか、第三者によって改ざんされていないかどうか、等)が証明できないためです。
このアプリケーションは正しいものであるという判断の元に、ダイアログの「開始」ボタンをクリックすると、クライアントが起動し、ローカルリソースにアクセスすることが可能になります。

※	「開始」ボタンをクリックするという操作は、ダウンロードしたアプリケーションを信頼するという意思表示になります。一度「開始」ボタンをクリックすると、2回目以降の起動からは、警告ダイアログは表示されません。

証明書

JAR ファイルの署名に使用したキーペアの正当性を証明する方法のひとつとして、キーペアの証明書を各クライアントにインポートする、という方法があります。

まずキーペアから証明書をエクスポートします。

C:\cert>keytool -export -alias jws -file jws.cer -storepass mkidev -keypass mkidev

証明書がファイル <jws.cer> に保存されました。

keytool -export -alias jws -file jws.cer -storepass mkidev -keypass mkidev
証明書をエクスポートします。
各パラメータは次のような意味があります。

パラメータ	説明
-export	証明書をエクスポート
-alias	対象となるキーペアの別名
-file	エクスポートする証明書のファイル名
-storepass	キーストアのパスワード
-keypass	キーペアのパスワード

エクスポートされた証明書を各クライアントにインポートします。

スタートメニューから Java Web Start アプリケーションマネージャを起動。
メニューから [ファイル] - [設定] を選択し、設定ダイアログを開き、[ルート証明書]タブを選択します。
[インポート]ボタンをクリックします。
ファイル選択ダイアログから証明書ファイル jws.cer を選択し、[開く]ボタンをクリックします。
インポートする証明書の別名と、Java Web Start が管理するキーストアのパスワードを入力します。

ここで指定したパスワードが、以後 JWS が管理するキーストア(認証局の証明書管理用)のパスワードとして設定されます。
(最初はパスワードは未設定の状態です。)
証明書の内容を確認して、[はい]をクリックします。
証明書がインポートされました。

この段階で JWS を起動すると、ダイアログの内容が変わり、アプリケーションの正当性が表示されます。

セキュリティ警告ダイアログ

[開始]ボタンをクリックすると、クライアントが起動します。

認証局

作成したキーペアに対して認証局の署名を受けると、クライアントに証明書をインポートする作業なしに、アプリケーションの正当性が証明されるようになります。

このドキュメントの内容は Java 2 SDK 1.4.2_02 での動作をもとに作成していますが、1.3.1, 1.4.0, 1.4.1 でも大きな違いはありません。