Discussion :

[Jamwo]

Bonjour,
je suis étudient et je suis en charge du développement d'une application lourd pour un client pour gérer des factures, bon de commande, etc.
Cette application va donc interagir avec une BDD, mais mon principal problème pour l'instant est la sécurité Java j'ai entendu parler qu'il me faudrait certificat numérique valide délivré par une autorité reconnue pour que la JVM accepte de l'exécuter ? comment faire ?
Merci

[bouye]

Cela dépend justement de comment tu comptes la distribuer :

• Applet : plus supporté, oublie.
• Java Web Start (JWS) : il faut un certificat numérique valide (ou, solution alternative pas cool : il faut aller bidouiller dans les fichiers de conf de la JVM coté client pour permettre d'accepter un certif auto-émis... solution alternative à éviter donc).
• Installeur natif : tu peux signer tant les JAR/les classes que le launcher natif que l'installeur natif si tu le veux mais ça reste optionnel. Windows ou macOS ou l'antivirus peut cependant émettre des écran d’avertissement ou effectuer un blocage temporaire au 1er lancement quand le lanceur natif ou l'installeur natif n'est pas signé ; si l'utilisateur est administrateur sur sa propre machine il pourra passer outre aisément. La JVM embarquée ou du système se fichera que le JAR/les classes soient signées.
• Distribués via un store quelconque (Windows, macOS, iOS, Android, etc.) : pas le choix de toute manière faut signer l'application native (pas le JAR/les classes) avec un certif valide de développeur.

[bouye]

Ce que je fais moi :

• J'ai développé un outil qui signe tous les JAR de mon app en invoquant jarsigner avec un certificat (valide) au format Java.
• J'ai ajouté à cet outil via Jsign (si mes souvenirs sont bons) la possibilité de signer des exec Windows avec ce même certificat Java (qui au départ n'est pas fait pour) et donc je signe par la même :
  
  • Le lanceur natif crée par javapackager ;
  • L'installeur natif créé par NSIS.

Faudra un jour que je regarde comment signer des fichiers DMG, PKG ou des app sous macOS si possible avec ce même certificat Java plutôt qu'avec un certificat Apple.
Sous Linux, euh joker, pas sur qu'il y un support des signatures numérique standard.

[Jamwo]

Pour le JWS il est possible de récupérer le certificat numérique valide, cela implique-t-il des frais ? Quelle entreprise faut-il contacter ?
Sinon pourrai-tu me donner plus d'informations sur ta solution ?

[bouye]

1) Un certificat numérique s'achète, en général, auprès d'une autorité de certification (qui peut émettre des certificats numériques reconnus par tout le monde). C'est payant et ça a une durée de vie limitée et donc il faut le renouveler tous les x années (et si on ne le fait pas il expire et c'est comme si on utilisait une application on-signée). Ça peut être assez cher (certains émetteur le font a à $600~400/an), ou ça ne couvre pas toutes les plateformes, donc il ne faut pas hésiter à voir les options disponibles chez divers vendeurs (Comodo, GoDaddy, Symantec, etc.)

Attention, c'est un certificat qui permet de signer du code, pas un certificat pour des sites webs ou des pilotes (pas pareil). Dans mon cas, je n'en ai pas fait la demande directement mais c'est le service informatique de mon boulot qui s'en est chargé. J'imagine qu'ils ont du fournir via les services administratifs des documents (attestations, etc.) permettant de prouver qui on était de manière à pouvoir obtenir un certificat global pour l'organisation. Je ne sais pas trop s'il faut aussi fournir des trucs similaires pour les développeurs individuels / petits groupes (id, relevés d'imposition, etc.).

Certains éditeurs (ex : Apple, via Xcode connecté au profil de dev) également leur propres certificats destinés à identifier les développeurs qui se sont inscrits sur leur plateforme / leur store (Apple = $99/an pour un développeur et $299/an pour une entreprise).

Note : quand je parlais de la signature sous Linux, je parlais des exécutables ELF. Il semble qu'il soit possible de signer des RPM et DEB mais je ne me suis pas penché sur la question.

2) C'est un outil qui va aller inspecter tous les JAR de l'application, vérifier s'ils ont déjà des signatures numériques (ex: dans le cas de bibliothèques tierces) et les signer si besoin. Le tout se fait en invoquant les outils de signature numérique (ex : jarsigner ou keytool) du JDK via des process natifs. Dans le cas où on souhaite signer un exec natif Windows, il va utiliser la lib jsign a la place (puisque mon certificat est au format Sun et ne peut que servir avec les outils du JDK à la base). Dans les deux cas certificat numérique reste le même, celui destiné à signer du code Java à la base.

[Jamwo]

Donc si j'ai bien compris dans tous les cas il faut obtenir ce certificat numérique payant annuellement pour déployer une application java-javaFX ?