Version imprimable
Bonjour,
je suis étudient et je suis en charge du développement d'une application lourd pour un client pour gérer des factures, bon de commande, etc.
Cette application va donc interagir avec une BDD, mais mon principal problème pour l'instant est la sécurité Java j'ai entendu parler qu'il me faudrait certificat numérique valide délivré par une autorité reconnue pour que la JVM accepte de l'exécuter ? comment faire ?
Merci :)
Cela dépend justement de comment tu comptes la distribuer :
- Applet : plus supporté, oublie.
- Java Web Start (JWS) : il faut un certificat numérique valide (ou, solution alternative pas cool : il faut aller bidouiller dans les fichiers de conf de la JVM coté client pour permettre d'accepter un certif auto-émis... solution alternative à éviter donc).
- Installeur natif : tu peux signer tant les JAR/les classes que le launcher natif que l'installeur natif si tu le veux mais ça reste optionnel. Windows ou macOS ou l'antivirus peut cependant émettre des écran d’avertissement ou effectuer un blocage temporaire au 1er lancement quand le lanceur natif ou l'installeur natif n'est pas signé ; si l'utilisateur est administrateur sur sa propre machine il pourra passer outre aisément. La JVM embarquée ou du système se fichera que le JAR/les classes soient signées.
- Distribués via un store quelconque (Windows, macOS, iOS, Android, etc.) : pas le choix de toute manière faut signer l'application native (pas le JAR/les classes) avec un certif valide de développeur.
Ce que je fais moi :
- J'ai développé un outil qui signe tous les JAR de mon app en invoquant jarsigner avec un certificat (valide) au format Java.
- J'ai ajouté à cet outil via Jsign (si mes souvenirs sont bons) la possibilité de signer des exec Windows avec ce même certificat Java (qui au départ n'est pas fait pour) et donc je signe par la même :
- Le lanceur natif crée par javapackager ;
- L'installeur natif créé par NSIS.
Faudra un jour que je regarde comment signer des fichiers DMG, PKG ou des app sous macOS si possible avec ce même certificat Java plutôt qu'avec un certificat Apple.
Sous Linux, euh joker, pas sur qu'il y un support des signatures numérique standard.
Pour le JWS il est possible de récupérer le certificat numérique valide, cela implique-t-il des frais ? Quelle entreprise faut-il contacter ?
Sinon pourrai-tu me donner plus d'informations sur ta solution ?
1) Un certificat numérique s'achète, en général, auprès d'une autorité de certification (qui peut émettre des certificats numériques reconnus par tout le monde). C'est payant et ça a une durée de vie limitée et donc il faut le renouveler tous les x années (et si on ne le fait pas il expire et c'est comme si on utilisait une application on-signée). Ça peut être assez cher (certains émetteur le font a à $600~400/an), ou ça ne couvre pas toutes les plateformes, donc il ne faut pas hésiter à voir les options disponibles chez divers vendeurs (Comodo, GoDaddy, Symantec, etc.)
Attention, c'est un certificat qui permet de signer du code, pas un certificat pour des sites webs ou des pilotes (pas pareil). Dans mon cas, je n'en ai pas fait la demande directement mais c'est le service informatique de mon boulot qui s'en est chargé. J'imagine qu'ils ont du fournir via les services administratifs des documents (attestations, etc.) permettant de prouver qui on était de manière à pouvoir obtenir un certificat global pour l'organisation. Je ne sais pas trop s'il faut aussi fournir des trucs similaires pour les développeurs individuels / petits groupes (id, relevés d'imposition, etc.).
Certains éditeurs (ex : Apple, via Xcode connecté au profil de dev) également leur propres certificats destinés à identifier les développeurs qui se sont inscrits sur leur plateforme / leur store (Apple = $99/an pour un développeur et $299/an pour une entreprise).
Note : quand je parlais de la signature sous Linux, je parlais des exécutables ELF. Il semble qu'il soit possible de signer des RPM et DEB mais je ne me suis pas penché sur la question.
2) C'est un outil qui va aller inspecter tous les JAR de l'application, vérifier s'ils ont déjà des signatures numériques (ex: dans le cas de bibliothèques tierces) et les signer si besoin. Le tout se fait en invoquant les outils de signature numérique (ex : jarsigner ou keytool) du JDK via des process natifs. Dans le cas où on souhaite signer un exec natif Windows, il va utiliser la lib jsign a la place (puisque mon certificat est au format Sun et ne peut que servir avec les outils du JDK à la base). Dans les deux cas certificat numérique reste le même, celui destiné à signer du code Java à la base.
Donc si j'ai bien compris dans tous les cas il faut obtenir ce certificat numérique payant annuellement pour déployer une application java-javaFX ?
Non, tu peux faire sans comme indique plus haut :
Il te faudra juste etre pret a avoir des messages ou un blocage supplementaire au premier lancement de la part de Windows, de macOS ou de l'anti-virus (disant, entre autres, que l'application a ete publiee par un editeur inconnu).Citation:
Installeur natif : tu peux signer tant les JAR/les classes que le launcher natif que l'installeur natif si tu le veux mais ça reste optionnel.
Suivant comment est configuree la machine, en general, la personne devrait pouvoir lancer le programme en cliquant sur Ok, ou en allant dans les proprietes de l'executable (bouton de droite -> proprietes -> general -> debloquer tout en bas, se produit parfois sous Windows quand l'application vient d'etre telechargee) ou en mettant une exclusion temporaire (preferences -> securite et confidentialite sur macOS quand l'application vient d'etre telechargee). Apres si c'est dans un reseau d'entreprise securise, il est possible que les admins aient deploye une policy pour empecher cela ou que l'utilisateur ne soit pas admin sur sa machine et oui alors il ne pourra pas lancer l'application au final (de toute maniere en general dan les agences gouvernementales, ministeres ou militaires on est pas sense pouvoir installer n'importe quoi).
Donc:
- Si c'est un projet perso, tu crees ton lanceur et ton installeur lourd, tu ne signes rien et tu verifiera aupres de tes utilisateurs s'ils peuvent l'installer correctement ou pas.
- Si c'est un projet de fac, touches-en deux mots avec tes profs encadrant au cas ou la fac peut fournir des certificats individuels pour chaque etudiant developpeur ou si au contraire ils se contrefichent de la signature (et dans ce cas la tu ne signes rien).
- Par contre si c'est pour une entreprise, meme dans le cadre d'un stage, autant qu'elle fasse l'investissement dans un tel certificat.
Et sinon oui je considere aussi que c'est une forme de racket institutionnel mais d'un autre cote si ca peut diminuer un tant soit peu la proliferation d'app verollee, pourquoi pas...
Et ca n'a rien d'une limitation de JavaFX, c'est pareil pour n'importe quelle app Java. Et par extensions pour des apps natives Windows, macOS, iOS, etc.
Et si c'est un projet pour un des stores officiels alors pas le choix, il faudra payer pour un certificat.
PS : ils peuvent etre valides a l'annee ou pour une duree plus longue (2-5 ans), on est pas a l'abri d'un vol ou d'une autorite qui se fait declassifier (et dans ce cas ca invalide tous les certificats qu'elle a emise donc c'est pas plus mal de payer a l'annee).
Voir aussi : Java Platform, Standard Edition Deployment Guide, Chapitre 7 Self-Contained Application Packaging, 7.3.5, 7.3.5.1, 7.4.1, 7.4.2 et 7.4.3 pour plus de details sur quand faire intervenir la signature dans la chaine de production des exectutables.
Merci beaucoup pour tes réponses je vais essayer avec ces infos :D