Question

AIR позволяет вводить код с помощью Loader.LoadBytes ()

позволяет загружать удаленные плагины в виде SWF-файлов, которые будут иметь полный доступ ко всему, к чему имеет доступ приложение AIR. Это создает угрозу безопасности, поэтому желательно иметь цифровую подпись SWF.

Какой лучший способ сделать это и проверить подпись кода?

Я знаю, что as3corelib имеет некоторые функции шифрования, а также для сертификата X.509 - но я не нашел ресурсов, объясняющих, как его использовать. Кроме того, может быть, есть какой-то «официальный» способ кодирования SWF?

Luke Van In · Answer 1 · 31 июля 2011

Один надежный метод использует шифрование с открытым ключом, которое выглядит примерно так:

Вам потребуется алгоритм асимметричного шифрования (например, RSA) и алгоритм хеширования (например, SHA, MD5).
Создание пары открытый-закрытый ключ.
Генерация и контрольная сумма данных с использованием алгоритма хеширования.
Зашифруйте контрольную сумму с помощью закрытого ключа, используя алгоритм шифрования. Это становится «подписью».
Отправьте данные клиенту вместе с подписью.
Расшифруйте подпись на клиенте с открытым ключом, чтобы получить оригинальную контрольную сумму.
Создание контрольной суммы из данных на клиенте.
Сравните контрольные суммы. Если они совпадают, то вы знаете, что данные пришли от вас без изменений. Если они не совпадают, то вы знаете, что данные были изменены после того, как они были отправлены вами или получены от кого-то другого.

См. http://en.wikipedia.org/wiki/Public-key_cryptography

Злоумышленник может обойти эту защиту, если он может перехватить соединение и изменить исходный клиентский SWF-файл и либо изменить открытый ключ, либо полностью удалить механизм безопасности. Используйте TLS или SSL для предотвращения перехвата данных злоумышленниками.

Сертификат x.509 - это немного больше, чем открытый ключ в комплекте с некоторыми метаданными. Стандарт также определяет механизм проверки сертификата, полагаясь на центр сертификации (CA) (см. http://en.wikipedia.org/wiki/X.509).

Библиотека AS3Crypto обеспечивает (помимо прочего) реализацию RSA, MD5 и анализатор x.509 (см. http://code.google.com/p/as3crypto/).

Вот код. Процесс подписания влечет за собой вычисление хеша данных, а затем подписывание его закрытым ключом для создания подписи, например:

var rsa:RSAKey;
var md5:MD5;
var data:ByteArray = getSWFBytes(); 
var signature:ByteArray = new ByteArray();
var originalHash:ByteArray;


// read private key
rsa = PEM.readRSAPrivateKey(private_key);

// create the checksum of the original data
md5 = new MD5();
originalHash = md5.hash(original);

// encrypt the data using the private key
rsa.sign(data, signature, original.length);

Данные и подпись отправляются клиенту. Клиент расшифровывает подпись, используя открытый ключ, сохраненный в сертификате, и сравнивает его с вычисленным хешем данных, например:

var rsa:RSAKey;
var md5:MD5;
var data:ByteArray = getSWFBytes(); 
var signature:ByteArray = new ByteArray();
var decryptedHash:ByteArray = new ByteArray();
var clientHash:ByteArray;

// load the certificate
var cert:X509Certificate = new X509Certificate(public_cert);

// get the public key from the cert
rsa = cert.getPublicKey();

// decrypt the signature with the public key
rsa.verify(signature, decryptedHash, encrypted.length);

// create a hash of the data
md5 = new MD5();
clientHash = md5.hash(data);

// compare the hashes
// isEqual compares the bytes in the input byte arrays, it returns true only of all bytes in both arrays match
if (isEqual(clientHash, decryptedHash))
    trace("signature valid");
else
    trace("signature invalid")

Вы можете проверить, подписан ли сертификат следующим образом:

var store:X509CertificateCollection = new MozillaRootCertificates();
var cert:X509Certificate = new X509Certificate(public_cert);
var isValid:Boolean = cert.isSigned(store, store);

Вы можете загрузить необработанные байты SWF следующим образом:

var loader:URLLoader = new URLLoader();
loader.dataFormat = URLLoaderDataFormat.BINARY;
loader.addEventListener(Event.COMPLETE, completeHandler);
loader.load(new URLRequest(url_of_swf_to_load));

Пример закрытого ключа x.509 (обычно создается при подаче заявки на сертификат):

Пример сертификата:

Оба примера были взяты из as3crypto.

Со-дизайн SWF?

Пожалуйста, войдите или зарегистрируйтесь чтобы ответить на этот вопрос.

1 Ответ

Пожалуйста, войдите или зарегистрируйтесь что бы добавить комментарий.

Со-дизайн SWF?

Пожалуйста, войдите или зарегистрируйтесь чтобы ответить на этот вопрос.

1 Ответ

Пожалуйста, войдите или зарегистрируйтесь что бы добавить комментарий.

Похожие темы