Bezpieczeństwo w aplikacjach Java

Transkrypt

1 Bezpieczeństwo w aplikacjach Java

2 Weryfikacja kodu bajtowego Można wyłączyć podając w linii komend którąś z opcji: -Xverify:none lub -noverify jednak nie jest to zalecane /does-verification-of-byte-codehappen-twice lay/java/env04- J.+Do+not+disable+bytecode+verification s/se8/html/jvms-4.html#jvms-4.10

3 Drukowanie informacji na standardowy wyjście printstacktrace zwykle używane do debuggowania, może doprowadzić do wycieku danych import java.io.ioexception; public class A { public static void main(string... args) { try { throw new NullPointerException(); catch (NullPointerException e) { System.out.println(e); java.lang.nullpointerexception Error: null try { java.io.ioexception throw new IOException(); at A.main(A.java:11) catch (IOException e) { System.out.println(e.getMessage()); e.printstacktrace(); System.exit(0);

4 Łamanie praw dostępu oraz interpretacji zakresu Mechanizmy, którymi można obejść reguły wyznaczone przez modyfikatory dostępu serializacja obiektów: Serializable i użycie transient refleksja: getdeclaredfield, getdeclaredmethod Zakres pola statyczne: static jeśli to ma być wartość niezmieniana, to z modyfikatorem final ograniczenie dziedziczenia jeśli klasa finalna, to z modyfikatorem final

5 Przykład (serializacja i wyjątki) import java.io.*; class Student implements Serializable { int id; String name; transient int age; public Student(int id, String name, int age) { this.id = id; this.name = name; this.age = age; try z okrągłymi nawiasami można stosować do obiektów implementujących java.lang.autocloseable, do których public class B { należą obiekty implementujące java.io.closeable public static void m() throws IOException, ClassNotFoundException { Student s = new Student(123, "Jan", 22); try (FileOutputStream f = new FileOutputStream("f.txt"); ObjectOutputStream out = new ObjectOutputStream(f);) { out.writeobject(s); out.flush(); System.out.println("success"); try (ObjectInputStream in = new ObjectInputStream(new FileInputStream("f.txt"));) { s = (Student) in.readobject(); System.out.println(s.id + " " + s.name + " " + s.age); Do wyjątków stłumionych (ang. suppressed) można uzyskać dostęp wywołując metodę Throwable.getSuppressed wyjątku obsługiwanego strukturalnie w bloku catch

6 Inżynieria odwrotna Dekompilacja kodu bajtowego Javap c można pozyskać ciągi znaków, np. zaszyte hasła można też zaszumić kod, np.: nadpisz niechciany kod wartościami (nop) pamiętaj o argumentach operatorów (x9a0016 zamień na x570000, tj. "ifne +22 " na "pop nop nop" Dekompilatory t-offline-java-decompilers.html 07/5-best-java-decompilers.html Mieszacze kodu (obfuscators)

7 Praca z kodem bajtowym (metody o tej samej nazwie i innym typie wartości zwracanej).class public overload.super java/lang/object.field static myint I.field static mydouble D.method static jvmoverload ()I.limit stack 3.limit locals 1 iconst_1 ireturn.end method.method static jvmoverload ()D.limit stack 3.limit locals 1 dconst_1 dreturn.end method.method public static main ([Ljava/lang/String;)V.limit stack 3.limit locals 1 invokestatic overload/jvmoverload ()I putstatic overload/myint I invokestatic overload/jvmoverload ()D putstatic overload/mydouble D return.end method.end class

8 Praca z kodem bajtowym (po dekompilacji nie można skompilować) >javac -classpath. overload.java overload.java:15: jvmoverload() is already defined in overload static double jvmoverload() ^ 1 error Kompilacja zdekompilowanego kodu kończy się błędem (istnienie dwóch metod o tej samej sygnaturze)

9 Generatory liczb pseudolosowych Ciągi liczb generowane przez Java.util.random dają się rozpoznać artykuł o rozpoznawaniu id sesji w Jetty: -research/uk/whitepapers/randomness.pdf Należy stosować bardziej zaawansowane generatory liczb pseudolosowych, np. java.security.securerandom

10 Wstrzykiwanie poleceń SQL Rada zamiast Statement używać PreparedStatement

11 Podpisy, klucze, szyfrowanie Java Cryptography Architecture (JCA) Reference Guide security/crypto/cryptospec.html Security Features in Java SE: Table of Contents Packaging Programs in JAR Files ro.html

12 Domyślna ścieżka User policy user.home/.java.policy user.home\.java.policy System policy Pliki polityki java.home/lib/security/java.policy java.home\lib\security\java.policy (Solaris/Linux) (Windows -%USERPROFILE%) Definicja położenie plików polityki (ścieżka jre) java.home/lib/security/java.security java.home\lib\security\java.security (Solaris/Linux) (Windows) (Solaris/Linux) (Windows) Edycja za pomocą policytool ecurity/policyguide.html Linia komend z definicją pliku polityki java -Djava.security.manager - Djava.security.policy=someURL SomeApp Przykład pliku polityki m/policy.html tml

13 Podpisy cyfrowe Generowanie i weryfikowanie podpisów dla wymienianych plików ndex.html Podpisywanie i zabezpieczanie kodu index.html Narzędzia keytool, jarsigner, Policy Tool, jar urity/securitytoolssummary.html Przykładowy scenariusz Publikowanie podpisanej aplikacji: utworzyć jar ze skompilowanymi klasami (jar) podpisać jar używając klucza prywatnego (jarsigner) jarsigner -keystore examplestore -signedjar scount.jar Count.jar signfiles wyeksportować certyfikat klucza publicznego odpowiadający kluczowi prywatnemu użytemu podczas podpisywania Uzyskanie zezwoleń przez podpisaną aplikację zaimportować certyfikat do magazynu kluczy (keytool) wygenerować plik polityki ze wskazaniem na podpisane źródło kodu uruchomić aplikację z menadżerem bezpieczeństwa

14 Przykład szyfrowania przy użyciu klucza Java Asymmetric Cryptography example RSA Signing and Encryption in Java