Кто-нибудь успешно использовал метки времени подписи в Java-апплете?

Question

В Java 1.5 добавлено улучшение для поддержки меток времени подписи. Насколько я могу судить, идея заключается в том, что подписанные jar-файлы не должны становиться недействительными только потому, что срок действия сертификата для подписи кода истек, если эти файлы были подписаны, пока сертификат был действительным. Теоретически это означает, что нам не нужно переподписывать и повторно развертывать наши приложения каждый год после истечения срока действия сертификата. К сожалению, кажется, что есть проблемы в реализации, основанной на этих двух ветках форума:

http://forums.sun.com/thread.jspa?threadID=744677
http://forums.sun.com/thread.jspa?threadID=5309004

Я собираюсь начать тестировать это, но мне было интересно, если бы кто-нибудь успешно это сделал, без необходимости импортировать сертификат с отметкой времени на клиенте (что может разрушить всю цель)?

Answer 1

Корневой сертификат Thawte TSA был добавлен в файл JRE cacerts Sun в 6u10 и 5.0u18.

Answer 2

К сожалению, в настоящее время эта функция совершенно бесполезна. При подписании файла JAR легко добавить временную метку, просто добавьте этот параметр в команду jarsigner:

-tsa https://timestamp.geotrust.com/tsa

Это URL-адрес сервера меток времени Thawte. К сожалению, сертификат CA с метками времени Thawte не включен в список доверенных сертификатов CA среды выполнения Java, поэтому он фактически не имеет смысла. То есть, если вы загрузите апплет после истечения срока действия сертификата подписи кода, вы получите «недоверенное» предупреждение вместо «доверенного».

Существует своего рода «обходной путь», опубликованный здесь , но он работает, внедряя сертификат CA с меткой времени Thawte в сам апплет и запуская keytool на клиенте для импорта сертификата. Однако я не понимаю, как это будет работать, поскольку пользователь уже видел диалоговое окно с подписанным кодом, прежде чем этот код сможет работать.

Я буду продолжать искать решение, но я не надеюсь. Я не могу себе представить, почему пригодный для использования сертификат CA с метками времени не был включен во время выполнения Java после всего этого времени.