Code vor Laufzeitumgebung schützen?

[reis]

Hallo zusammen!

Normalerweise versucht man ja, den eigenen Rechner vor nicht-getrautem Code zu schützen.
Ich stelle mir gerade die Frage, ob es möglich ist, Code vor einer "non-trusted" Umgebung (JVM und zugehöriger Rechner) zu schützen.

Und zwar in dem Sinne, dass der Code verschlüsselte Netzwerkverbindungen aufbauen können soll, ohne dass die Umgebung eine Chance hat, den privaten/geheimen Schlüssel zu erlangen.

Vielen Dank schonmal
Reis

 

[faetzminator]

Du kannst relativ simpel SSL/TLS Verbindungen machen, google doch einfach nach "java ssl", z.B. hier hast du ein Beispiel: JAVA + SSL Tutorial

 

[reis]

es geht mir gar nicht so sehr um ein konkretres Kryptographie-Verfahren.
Aber um bei dem Tutorial zu bleiben: Beim Aufruf auf dem Client wird ja eine Keystore-Datei und ein Passwort benötigt. Selbst wenn man das Passwort direkt im Code ablegt wäre die Keystore-Datei ja dem Client [Edit: bzw. dem Rechner des Clients] ausgeliefert...

 

[faetzminator]

Geht auch ohne, so kannst du eine SSLSocketFactory erstellen, welche alle Zertifikate akzeptiert:

	private SSLSocketFactory getSocketFactory() throws KeyManagementException,
	        NoSuchAlgorithmException {

		final TrustManager[] trustAllCerts = new TrustManager[] { new X509TrustManager() {
			public X509Certificate[] getAcceptedIssuers() {
				return null;
			}

			public void checkClientTrusted(X509Certificate[] certs,
			        String authType) {
				return;
			}

			public void checkServerTrusted(X509Certificate[] certs,
			        String authType) {
				return;
			}
		} };
		final SSLContext sslContext = SSLContext.getInstance("SSL");
		sslContext.init(null, trustAllCerts, new java.security.SecureRandom());
		return sslContext.getSocketFactory();
	}

 

[maki]

Hallo zusammen!

Normalerweise versucht man ja, den eigenen Rechner vor nicht-getrautem Code zu schützen.
Ich stelle mir gerade die Frage, ob es möglich ist, Code vor einer "non-trusted" Umgebung (JVM und zugehöriger Rechner) zu schützen.

Und zwar in dem Sinne, dass der Code verschlüsselte Netzwerkverbindungen aufbauen können soll, ohne dass die Umgebung eine Chance hat, den privaten/geheimen Schlüssel zu erlangen.

Vielen Dank schonmal
Reis

In einer potenziell unsicheren Umgebung zu versuchen Sicherheit zu etablieren wird wohl imho nicht funktionieren.