Java设计企业安全风险管控系统 java安全架构

 

JAVA安全体系结构分析

 下图显示了 JAVA 安全体系结构的标准组件。在图的下半部分，是 JAVA2 安全体系结构的核心和 JAVA 加密体系结构（ JCA ， Java Cryptography Architecture ），两者构成 JAVA2 平台所带的 JAVA2 安全平台。在图的上半部分，是独立于 JAVA2 平台而又与 JAVA2 平台的不同方面相关的 JAVA 安全扩展。

从上图可以看出,Java平台为安全和加密服务提供了两组API：JCA和JCE。 JCA (Java Cryptography Architecture)提供基本的加密框架，如证书、数字签名、消息摘要和密钥对产生器； JCE在JCA的基础上作了扩展，包括加密算法、密钥交换、密钥产生和消息鉴别服务等接口。

JCA与JCE     
    JCA/JCE并不执行各种算法，它们只是连接应用和实际算法实现程序的一组接口。软件开发商根据JCE接口，将各种算法实现后，打包成一个Provider，可以动态地加到Java运行环境中。由于美国出口控制规定，JCA 是可出口的（JCA和一个Sun的默认实现包括在Java2中），但是JCE对部分国家是限制出口的。因此，要实现一个完整的安全结构，就需要一个或多个第三方厂商提供的JCE产品，称为安全供应者。 BouncyCastle JCE 就是其中的一个 安全供应者。

     安全供应者是承担特定安全机制的实现的第三方。有些供应者是完全免费的，而另一些供应者则需要付费。提供安全供应者的公司有IBM，Bouncy Castle等，Sun提供了如何实现开发人员自己供应者的细节。Bouncy Castle提供了可以在J2ME/J2EE/J2SE平台得到支持的API，而且他的API是免费的。详情参见：http://www.bouncycastle.org/。

安装BouncyCastleJCE

安装 BouncyCastle JCE应该按照如下步骤：

1） 下载提供者

如上， BouncyCastle 可以从 www.bouncycastle.org 下载，下载后请将它解

压缩。

2） 将 JAR 文件拷贝到适当位置

如果想让 JCE 类可以被所有的 JAVA 应用程序使用，我们需要把 JAR 文件安装为一个扩展。 BouncyCastle 提供者没有用于安装为扩展的 JAR 文件，但它容易构建。首先将下载的文件展开到 JDK 的 classes 目录下，然后运行下面的命令将这些文件打包：

c:\> jar cvf bouncycastle.jar javax org

在 Windows 中， Java 通常安装在两个目录下。一个目录用于开发，包括所有的 JDK 工具，另一个仅仅是运行环境。 JDK 本身通常位于 c:\jdk1.3 这样的目 JDK运行环境通常位于c:\Program files\JavaSoft\JRE1.3这样的目录下，它们都有库的扩展目录。分别是：c:\jdk1.3.1\lib\ext和c:\Program files\JavaSoft\JRE\1.3\lib\ext,把所要的JAR文件放于对应的目录下。

3）

安全属性文件java.security位于和\lib\ext平行的另一个目录\lib\security下，它定义了当前可以使用的加密提供者。如您看到下面的语句：

security.provider.1=sun.security.provider.Sun

security.provider.2=com.sun.rsajca.Provider

它表明本虚拟机有两个加密提供者以及他们的优先级和访问时使用的名称。当需要用到一个加密算法时，虚拟机会依次访问这里列出的提供者，寻找想要的算法，并按这里的优先级顺序使用第一个找到的算法。

我们应该在文件中插入如下行，把新的提供者加入进去：

security.provider.3=org.bouncycastle.jce.provider.BouncyCastleProvider

当然了,你也可以将前面的加密提供者配置删除,这样就不能使用jdk默认的加密提供者了。

4)测试安装好的程序

我们可以自己写一个测试程序(用JCE包的API)，来判断我们的安装是否成功。

安装成功了,让我们进入用 BouncyCastle JCE 实现安全功能的有趣天地吧 !

对称密钥的产生

??? 对称加密采用了对称密码编码技术，它的特点是文件加密和解密使用相同的密钥，即加密密钥也可以用作解密密钥。这种方法在密码学中叫做对称加密算法，对称加密算法使用起来简单快捷，密钥较短，且破译困难，除了数据加密标准（DES），另一个对称密钥加密系统系统是国际数据加密算法（IDEA），它比DES的加密性好，而且对计算机功能要求也没有那么高。IDEA加密标准由PGP（Pretty Good Privacy）系统使用。

//首先要import javax.crypto.*; 

 

  SecretKey key=null; 

 
 
 ???? try 

 

  { 

 

  //指定算法,这里为DES;如果想用Blowfish算法,则用 getInstance("Blowfish") 

 

  //BouncyCastle基本上支持所有通用标准算法 

 

  KeyGenerator keygen=KeyGenerator.getInstance("DES"); 

 

  //指定密钥长度,长度越高,加密强度越大 

 

  keygen.init(56); 

 

  //产生密钥 

 

  key=keygen.generateKey(); 

 

  //构造输出文件,这里的目录是动态的,根据用户名称来构造目录 

 
 
 ???? ObjectOutputStream keyFile=new ObjectOutputStream(new FileOutputStream 

 
 
 ???????????? ("c:\\安全文件\\"+misClass.username+"\\对称\\对称密钥\\yhb.des")); 

 
 
 ???? keyFile.writeObject(key); 

 
 
 ???? keyFile.close(); 

 
 
 ???? } 

 
 
 ???? catch(NoSuchAlgorithmException e5) 

 

  { 

 

  // generateKey()抛出的异常 

 
 
 ???? System.out.print("no such algorithm"); 

 
 
 ???? System.exit(0); 

 
 
 ???? } 

 
 
 ???? catch(IOException e4) 

 
 
 ???? { 

 
 
 ???? System.out.print("error when generate the des key"); 

 
 
 ???? System.exit(0); 

 

  }

非对称密钥的产生

1976年，美国学者Dime和Henman为解决信息公开传送和密钥管理问题，提出一种新的密钥交换协议，允许在不安全的媒体上的通讯双方交换信息，安全地达成一致的密钥，这就是“公开密钥系统”。相对于“对称加密算法”这种方法也叫做“非对称加密算法”。

与对称加密算法不同，非对称加密算法需要两个密钥：公开密钥（ publickey）和私有密钥（privatekey）。公开密钥与私有密钥是一对，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法。

//密钥对 

 
 
 ??? KeyPair keys=null; 

 
 
 ??? try 

 

  { 

 

  //指定算法 

 

  KeyPairGenerator kpg=KeyPairGenerator.getInstance("RSA"); 

 

  //指定长度 

 
 
 ??? kpg.initialize(1024); 

 

  keys=kpg.genKeyPair(); 

 

  //公钥 

 

  byte[] key1=keys.getPublic().getEncoded(); 

 

  //私钥 

 
 
 ??? byte[] key2=keys.getPrivate().getEncoded(); 

 

  ? 

 
 
 ??? //构造公钥文件并写入公钥 

 

  FileOutputStream keyFile1=new FileOutputStream 

 
 
 ?????? ("c:\\安全文件\\"+misClass.username+"\\非对称\\本人公私钥\\yhb.public"); 

 
 
 ???? keyFile1.write(key1); 

 
 
 ???? keyFile1.close(); 

 
 
 ??? //构造私钥文件并写入私钥 

 
 
 ??? keyFile1=new FileOutputStream 

 
 
 ???? ("c:\\安全文件\\"+misClass.username+"\\非对称\\本人公私钥\\yhb.private"); 

 
 
 ??? keyFile1.write(key2); 

 
 
 ??? keyFile1.close(); 

 
 
 ??? } 

 
 
 ??? catch(NoSuchAlgorithmException e8) 

 

  { 

 

  //算法异常 

 
 
 ???? System.out.print("no such algorithm"); 

 
 
 ???? System.exit(0); 

 
 
 ???? } 

 
 
 ???? catch(IOException e9) 

 
 
 ???? { 

 
 
 ???? System.out.print("error when generate the rsa key"); 

 
 
 ???? System.exit(0); 

 
 
 ???? }

对称加密的实现

?? 加密可提高终端和网络通讯的物理安全,有三种方法加密传输数据:?
*?链接加密:在网络节点间加密,在节点间传输加密,传送到节点后解密,不同节点对间用不同密码.?
*?节点加密:与链接加密类似,不同的只是当数据在节点间传送时,不用明码格式传送,而是用特殊??的加密硬件进行解密和重加密,这种专用硬件通常旋转在安全保险箱中.?
*?首尾加密:对进入网络的数据加密,然后待数据从网络传送出后再进行解密.网络本身并不会知?道正在传送的数据是加密数据.这一方法的优点是,网络上的每个用户(通常是每个机器的一个??用户)可有不同的加密关键词,并且网络本身不需增添任何专门的加密设备.缺点是每个系统必?须有一个加密设备和相应的软件(管理加密关键词)或者每个系统必须自己完成加密工作(当数?据传输率是按兆位/秒的单位计算时,加密任务的计算量是很大的)

? 本文采用首尾加密,代码如下:

//从密钥文件中读密钥 
 
 
 
 
  ?? SecretKey key=null; 
 
 
 
 
  ?? try 
 
 
 
 
  ?? { 
 
 
 
 
  ?? //从密钥文件读取密钥 
 
 
 

   ObjectInputStream keyFile=new ObjectInputStream( 
 
 
 
 
  ??? ?new FileInputStream("c:\\安全文件\\"+misClass.username+"\\对称\\对称密钥\\yhb.des")); 
 
 
 
 
  ??? key=(SecretKey)keyFile.readObject(); 
 
 
 
 
  ??? keyFile.close(); 
 
 
 
 
  ??? } 
 
 
 
 
  ??? catch(FileNotFoundException ey1) 
 
 
 
 
  ??? { 
 
 
 
 
  ??? System.out.println("Error when read keyFile"); 
 
 
 
 
  ??? System.exit(0); 
 
 
 
 
  ??? } 
 
 
 
 
  ??? catch(Exception ey2) 
 
 
 
 
  ??? { 
 
 
 
 
  ??? System.out.println("error when read the keyFile"); 
 
 
 
 
  ??? System.exit(0); 
 
 
 
 
  ??? } 
 
 
 
 
  ??? //用key产生Cipher 
 
 
 
 
  ??? Cipher cipher=null; 
 
 
 
 
  ??? try 
 
 
 

   { 
 
 
 

   //加密要用Cipher来实现 
 
 
 

   cipher=Cipher.getInstance("DES"); 
 
 
 

   //设置加密模式 
 
 
 
 
  ???? cipher.init(Cipher.ENCRYPT_MODE,key); 
 
 
 
 
  ???? }catch(Exception ey3) 
 
 
 
 
  ???? { 
 
 
 
 
  ???? System.out.println("Error when create the cipher"); 
 
 
 
 
  ???? System.exit(0); 
 
 
 
 
  ???? } 
 
 
 
 
  ???? //从对话框中取得要加密的文件 
 
 
 
 
  ???? File file=new File(dirstring,string1); 
 
 
 
 
  ???? String filename=file.getName(); 
 
 
 
 
  ???? //读入并加密文件 
 
 
 
 
  ???? try 
 
 
 

   { 
 
 
 

   //输入流 
 
 
 

   BufferedInputStream in=new BufferedInputStream(new FileInputStream(file)); 
 
 
 

   //输出流 
 
 
 
 
  ????? CipherOutputStream out=new CipherOutputStream(new BufferedOutputStream( 
 
 
 
 
  ??????????? new FileOutputStream("c:\\安全文件\\文件\\"+filename+".yhb")),cipher); 
 
 
 
 
  ?? ???int i; 
 
 
 
 
  ??????? do{ 
 
 
 
 
  ??????? i=in.read(); 
 
 
 
 
  ??????? if(i!=-1) out.write(i); 
 
 
 
 
  ???????? }while(i!=-1); 
 
 
 
 
  ????? in.close(); 
 
 
 
 
  ????? out.close(); 
 
 
 
 
  ????? } 
 
 
 
 
  ????? catch(Exception ey5) 
 
 
 
 
  ????? { 
 
 
 
 
  ????? System.out.println("Error when encrypt the file"); 
 
 
 
 
  ????? System.exit(0); 
 
 
 
 
  ????? }

?

对称解密的实现

对称加密/解密算法在电子商务交易过程中存在几个问题：

（1）?????? 要求提供一条安全的渠道使通讯双方在首次通讯时协商一个共同的密钥。直接的面对面协商可能是不现实而且难于实施的，所以双方可能需要借助于邮件和电话等其它相对不够安全的手段来进行协商；

（2）?????? 密钥的数目难于管理。因为对于每一个合作者都需要使用不同的密钥，很难适应开放社会中大量的信息交流；

（3）?????? 对称加密算法一般不能提供信息完整性的鉴别。它无法验证发送者和接受者的身份；

对称密钥的管理和分发工作是一件具有潜在危险的和烦琐的过程。对称加密是基于共同保守秘密来实现的，采用对称加密技术的贸易双方必须保证采用的是相同的密钥，保证彼此密钥的交换是安全可靠的，同时还要设定防止密钥泄密和更改密钥的程序。

对称解密的代码实现如下:

//从密钥文件中读密钥
?? SecretKey key=null;
?? try
?? {ObjectInputStream keyFile=new ObjectInputStream(
???? new FileInputStream("c:\\安全文件\\"+misClass.username+"\\对称\\对称密钥\\yhb.des"));
??? key=(SecretKey)keyFile.readObject();
??? keyFile.close();
??? }
??? catch(FileNotFoundException ey1)
??? {
??? System.out.println("Error when read keyFile");
??? System.exit(0);
??? }
??? catch(Exception ey2)
??? {
??? System.out.println("error when read the keyFile");
??? System.exit(0);
??? }
?? //用key产生Cipher
??? Cipher cipher=null;
??? try
{
//设置算法,应该与加密时的设置一样
cipher=Cipher.getInstance("DES");
//设置解密模式
???? cipher.init(Cipher.DECRYPT_MODE,key);
???? }catch(Exception ey3)
???? {
???? System.out.println("Error when create the cipher");
???? System.exit(0);
???? }
???? //从对话框中取得要解密的文件并解密
???? File file=new File(dirstring,string1);
???? String filename=file.getName();
??? try
{
//输出流,请注意文件名称的获取
BufferedOutputStream out=new BufferedOutputStream(new FileOutputStream(
????????? "c:\\安全文件\\文件\\"+filename.substring(0,filename.length()-4)));
???? //输入流
????? CipherInputStream in=new CipherInputStream(new BufferedInputStream(
??????????? new FileInputStream(file)),cipher);
??? int thebyte=0;
??? while((thebyte=in.read())!=-1)
??? {
??? out.write(thebyte);
??? }
????? in.close();
????? out.close();
????? }
????? catch(Exception ey5)
????? {
????? System.out.println("Error when encrypt the file");
????? System.exit(0);
????? }

签名的实现过程

1）读取自己的私钥

??? 对于自己的私钥文件，要用File类来声明。读取时，将用FileInputStream格式来作为输入流。而读出的密钥是字节数组，所以应该将读出的密钥用ByteArrayOutStream来保存，再用toByteArray格式来将它转化为字节数组。

生成签名要使用自己的私钥，而私钥使用PKCS8#编码。所以我们还要将字节数组转化为PKCS8#编码形式。实现方法如下：

PKCS8EncodedKeySpec keyspec=new PKCS8EncodedKeySpec(keybytes);
KeyFactory keyfactory=KeyFactory.getInstance("RSA");
syprivatekey=keyfactory.generatePrivate(keyspec);

其中keybytes是从原文中读出的字节数组形式的密钥。用KeyFactory对象的实例化方法来指定算法，并用generatePrivate方法产生PKCS8#编码的私钥。

2）从对话框中取得要签名的文件

该步骤的实现比较简单，不做过多说明。

3）将文件内容读取为字节数组格式

因为签名时Signature类的Update()方法的参数是字节数组形式，所以要求

先将原文读为字节数组。并且，在此处可以获得原文的内容长度。

4）生成签名

按照前面的描述，先用Signature类的getInstance()方法指定MD5WithRSA

算法，然后用前面得到的私钥作为参数调用initSign()方法来初始化，最后用原文作为参数调用update()方法来传送数据，用字节数组形式的私钥作为参数调用Sign()方法来产生签名。

将生成的签名按照前面设计的文件格式写入文件流中，就完成了签名的全部工作。签名的实现过程可用下面的图来表示：

?????图 数字签名过程

代码实现如下:

//读取私钥
???? PrivateKey syprivatekey=null;
????? File syfile=new File("c:\\安全文件\\"+misClass.username+"\\非对称\\本人公私钥\\yhb.private");
????? try
???? {
???? FileInputStream fis=new FileInputStream(syfile);
???? ByteArrayOutputStream baos=new ByteArrayOutputStream();
?
???? int thebyte=0;
????? while((thebyte=fis.read())!=-1)
????? {baos.write(thebyte);
????? }
????? fis.close();
????? byte[] keybytes=baos.toByteArray();
????? baos.close();
?
????? PKCS8EncodedKeySpec keyspec=new PKCS8EncodedKeySpec(keybytes);
????? KeyFactory keyfactory=KeyFactory.getInstance("RSA");
????? syprivatekey=keyfactory.generatePrivate(keyspec);
??? }
??? catch(Exception e9)
???? {
???? System.out.print("error when read the rsa private key");
???? System.exit(0);
???? }
???? //从对话框中取得要签名的文件
???? File file=new File(dirstring1,string1);
???? String filename=file.getName();
???? //首先将文件读为byte[]对象
??? int len=(int)file.length();
??? if(len>100000000)
??? {System.out.println("the file length is too long!");
??? System.exit(0);
??? }
??? byte[] inbuf=new byte[len];
??? try{
??? FileInputStream instream=new FileInputStream(file);
??? int inbytes=instream.available();
??? //inbuf[]=new byte[inbytes];
??? int bytesread=instream.read(inbuf,0,inbytes);
??? instream.close();
??? //System.out.println(inbuf);
??? }
??? catch(Exception eq2)
??? {
??? System.out.println("error when change the file to byte[]");
??? System.exit(0);
??? }
??? //签名的具体过程
??? try{
??? //byte[] signaturebytes=new byte[150];
??? Signature sig=Signature.getInstance("MD5WithRSA");
??? sig.initSign(syprivatekey);
??? sig.update(inbuf);
??? byte[] signaturebytes=sig.sign();
?????????? //写入对象流中
?? DataOutputStream outfile=new DataOutputStream(new FileOutputStream(
????????????????? "c:\\安全文件\\文件\\"+filename+".yhb3"));
??? outfile.writeInt(signaturebytes.length);
??? outfile.write(signaturebytes);
??? outfile.writeInt(len);
??? outfile.write(inbuf);
??? outfile.close();
??? }
??? catch(Exception eh3)
??? {
??? System.out.println("error when generate the outfile");
??? System.exit(0);
??? }
?
?