java - solo - los certificados autofirmados causarán advertencias en el navegador
¿Java 7u51 no aceptará JNLP con certificado autofirmado? (7)
¿Es eso cierto?
No lo sé, pero había oído lo mismo. ¿Cuál es tu fuente?
En caso de que sea cierto, ¿tengo alguna oportunidad de crear una solución alternativa para mi aplicación JNLP, de modo que pueda iniciar la aplicación incluso después de enero de 2014?
La única forma realista de implementar código en esa situación es firmarlo utilizando un certificado digital de una Autoridad de Certificación (es decir, firmado, pero no autofirmado).
Cualquier ''solución'' sería un error de seguridad. Entonces, si encuentra uno, háganoslo saber para que podamos presentar un informe de error y solucionarlo.
Leí en la web que la versión 7u51 de Java (que se lanzará en enero de 2014) ya no aceptará aplicaciones Java Webstart autofirmadas por mí.
¿Es eso cierto?
En caso de que sea cierto, ¿tengo alguna oportunidad de crear una solución alternativa para mi aplicación JNLP, de modo que pueda iniciar la aplicación incluso después de enero de 2014?
He visto que la opción de suprimir las advertencias de seguridad debido al uso de un certificado autofirmado se eliminó en 7u40.
Echa un vistazo a la ayuda oficial de Java para permitir el acceso:
Oracle acaba de anunciar que una nueva función llamada Lista de sitios de excepción estará disponible en 7u51.
Si significa lo que creo que significa, entonces las aplicaciones internas que actualmente están autofirmando sus archivos pueden simplemente pedir a sus usuarios que incluyan en la lista blanca de la aplicación sin que el usuario tenga que hacer nada "complicado" para un usuario final, como importar un certificado (por ejemplo).
ACTUALIZAR:
Se acaba de lanzar Java 7u51, y puedo confirmar que la solución de la lista de sitios de excepción funciona con bastante facilidad. Simplemente vaya al Panel de control de Java -> Seguridad -> Editar lista de sitios, y agregue la URL de la aplicación JNLP autofirmada a la lista de Ubicaciones.
Sí, es cierto. Esta entrada de blog de Oracle tiene los detalles.
Como lo entiendo, tienes tres opciones para continuar trabajando:
- Firma tu aplicación con un certificado de confianza
- Normalmente, esto se hace mediante la adquisición de un certificado de uno de los proveedores cuyos certificados raíz son de confianza de Java de forma predeterminada .
- También puede usar un certificado autofirmado si su comunidad de usuarios está controlada (por ejemplo, todos dentro de una red corporativa administrada o todos los estudiantes en la misma introducción a la clase de programación).
- Haga que sus usuarios finales configuren sus máquinas para que confíen en su aplicación a pesar de que tienen firma propia
- a través de conjuntos de reglas de implementación (la intención de Oracle es que los DRS solo se usen en entornos corporativos, donde puede extender esta actualización de configuración a través de una tecnología de administración centralizada)
- a través de la lista de sitios de excepción (creo que esto pretende ser análogo a los DRS, pero para usuarios finales individuales sin administración centralizada)
- Haga que sus usuarios reduzcan su control deslizante de seguridad de Alto (predeterminado) a Medio
Vea también mi pregunta acerca de cómo obtener versiones preliminares de estas actualizaciones para probar.
Tengo una aplicación autofirmada que solo debe ejecutarse hasta el final del semestre (diciembre), por lo que no me veré afectada por la fecha límite de enero. Sin embargo, estamos experimentando problemas incluso con versiones anteriores. Esto acaba de comenzar la semana pasada (quizás debido a algún tipo de actualización automática). El JRE es la compilación 40.
Cambié el archivo de manifiesto para incluir los atributos requeridos de permiso y la base de código y luego volví a firmar el frasco, pero aún así aparece un bloqueo de seguridad en nuestra escuela.
¿Alguien puede sugerir otros pasos que debería tomar? ¿Es un certificado comercial mi única opción?
Gracias nina
para mí ... la web con firma propia está funcionando cuando se cambió la configuración de seguridad a Medio ...
Esto es solo para Windows
Vaya a la configuración de Java en Windows, " java configure ", elija Security pestaña " Security " y elija " Edit Site List ", agregue su url autofirmado en la lista.
A veces, debe agregar la url completa de la aplicación java a la lista para que funcione, no puede simplemente agregar https://xxx.abc.com , sino https://xxx.abc.com/application_blah_blah .
Después de agregar la url, reinicie la aplicación java ingresando esa url en el navegador, funcionará.