JavaWebStart のバックアップ(No.4)

TITLE:Java Web Start

Java Web Start

編集者:Terai Atsuhiro
作成日:2003-12-11
更新日:2017-11-02 (木) 15:25:55

Java Web Start とは

Java Web Start*1を利用すると、Web ブラウザで1回クリックするだけでフル装備のアプリケーションを起動できます。複雑なインストール作業なしで、フル機能のスプレッドシートプログラムやインターネットチャットクライアントなどをダウンロードおよび起動できます。

Java Web Startより引用

security

デフォルトでは、Java Web Start から起動されるクライアントJavaアプリケーションは、安全な限定的環境で実行されるようになっています。 その環境の中では、以下のような禁止事項があります。

  • ローカル・ファイルへのアクセスは禁止
  • 他のコンピューターへのネットワーク接続などが禁止

JNLP API

JNLP API の FileOpenService を使用すると、証明書などを用意しなくても、ユーザがFileChooserで指定したローカルファイルだけを読み書きすることができます。

Java Tutorial にある JWSFileChooserDemo などを実行してみてください。

jws-FileOpenService.png

ローカル・マシンに対する完全アクセス

ローカル・マシンに対する完全アクセスを得る場合は次の2点が必要です。

  • セキュリティ証明書ですべてのJARファイルに署名する
  • JNLPファイルに"all-permissions" を指定する

以下では、自分で自分自身を証明しているテスト用の証明書(オレオレ証明書)を作って説明します。信頼できるセキュリティ証明書は、ちゃんとした証明書発行機関*2から取得してください。

デジタル署名

  1. JARファイルの作成

    まず、JARファイルを作ります(Antを使用する場合は、Ant(Jarファイルの作成)など)。

    jar cf Test.jar Test.class
  2. キーストア(セキュリティ証明書)の作成

    次に、キーストア(証明書を保持するデータベース)を作ります。

    keytool -genkey -keystore myKeyStore -alias myAlias

    以下のようなことを聞かれます。

    C:\TEST\SECURITY>"%JAVA_HOME%\bin\keytool" -genkey -keystore myKeyStore -alias myAlias
キーストアのパスワードを入力してください:  **********
姓名を入力してください。
 [Unknown]:  Terai Atsuhiro
組織単位名を入力してください。
 [Unknown]:  
組織名を入力してください。
 [Unknown]:  Hoge
都市名または地域名を入力してください。
 [Unknown]:  Meguro
州名または地方名を入力してください。
 [Unknown]:  Tokyo
この単位に該当する 2 文字の国番号を入力してください。
 [Unknown]:  JP
CN=Terai Atsuhiro, OU=Sample Team, O=Hoge, L=Meguro, ST=Tokyo, C=JP でよろしいですか?
 [no]:  yes

<myAlias> の鍵パスワードを入力してください。
       (キーストアのパスワードと同じ場合は RETURN を押してください):

C:\TEST\SECURITY>
  3. JARファイルに署名

    最後に、JARファイルに署名します。以下はJARファイルに署名するときの、Antターゲットのサンプルです。パスワードを聞かれるので、入力してください。

    <target name="sign" depends="init">
  <input message="input pass" addproperty="store.pass" />
  <signjar keystore="${signjar.keystore}" <!-- myKeyStore -->
              alias="${signjar.alias}" <!-- myAlias -->
          storepass="${store.pass}">
    <fileset dir="${build.dir}" includes="**/*.jar"/>
  </signjar>
</target>

    ${build.dir}、${signjar.keystore}などの各propertyは、任意の値を設定しておいてください。

jnlpファイル

以下は、セキュリティテスト用のjnlpサンプルです。

<?xml version="1.0" encoding="UTF-8"?>
<jnlp spec="1.0+" codebase="http://terai.xrea.jp/data/jws/" href="example.jnlp">
  <information>
    <title>JWS all-permissions</title>
    <vendor>Java Swing Tips - at.terai@gmail.com</vendor>
    <homepage href="http://terai.xrea.jp/JavaWebStart.html" />
    <description>Swing Example</description>
    <description kind="short">example</description>
    <offline-allowed />
  </information>
  <update check="timeout" policy="always" />
  <security> 
     <all-permissions /> 
  </security> 
  <resources>
    <java version="1.6+" />
    <jar href="example.jar" main="true" />
  </resources>
  <application-desc main-class="example.MainPanel" />
</jnlp>

もし<security><all-permissions/></security>要素が無い場合、ローカルリソースにアクセスするようなアプリケーションは起動できません。jarなどに署名し、<security>要素を指定すれば、起動はできるようになりますが、上記サンプルで作成したのが自己証明書なのでセキュリティ警告ダイアログが出ます。

サンプルアプリケーション

上記のサンプルを起動すると、以下のようなセキュリティ警告パネルが表示されます。

jws-security1.png
jws-security2.png

証明書の詳細をクリックすると以下のような証明書情報が表示されます。

  • jws-security3.png

先に述べたように、自分で自分を証明しているだけなので、信頼できない団体から発行されていると警告されています*3。上記のソースをダウンロードするなどして署名の実験をしてみてください。

証明書のインポート

作成したキーストアから証明書をファイルに書き出します。

C:\TEST>keytool -export -keystore myKeyStore -alias myAlias -file example.cer
キーストアのパスワードを入力してください:  **********
証明書がファイル <example.cer> に保存されました。

C:\TEST\>

%JAVA_HOME%\bin\javaws.exe を起動し、「編集→設定→セキュリティ→証明書」で、上記の証明書ファイル example.cer をインポートします。"alias"とパスワードを聞かれるので、これを入力し、最初から実行すれば、セキュリティ警告が以下のように変わっていることが確認できます。これで、先のサンプルのような署名をしたアプリケーションが確認なしで実行できるようになります。

http:// terai.xrea.jp/data/jws/security2.png

「JarファイルをPack200で圧縮」「不必要なアップデートのチェックをしない」で起動を速くする

  <target name="dist" depends="package, dist-libcopy, prepare-web">
    <mkdir dir="${bkup.dir}" />
    <fileset id="java.file.list" dir="${src.dir}">
      <include name="**/*.java" />
    </fileset>
    <taskdef name="pack200" classname="com.sun.tools.apache.ant.pack200.Pack200Task" />
    <pack200 src="${build.dir}/${name}.jar"
             destfile="${build.dir}/${name}__V${version}.${build.number}.jar.pack.gz"
             gzipoutput="true" />
    <filter token="homepage" value="${jnlp.homepage}" />
    <filter token="title" value="${jnlp.Name}" />
/* 以下省略 */
  • 上記のサンプルだとファイルサイズは、三分の一程度に圧縮される
  • ファイル名にバージョンを追加し、jnlp.versionEnabled として、バージョンが上がった場合のみダウンロードするようにしても、ファイルサイズが元々小さいせいかあまり差が感じられない
<?xml version="1.0" encoding="UTF-8"?>
<jnlp spec="1.0+" codebase="http://terai.xrea.jp/swing/pack200/" href="example.jnlp">
  <information>
    <title>JST Pack200 Test</title>
    <vendor>Java Swing Tips - at.terai@gmail.com</vendor>
    <homepage href="http://terai.xrea.jp/JavaWebStart.html" />
    <description>Swing Example</description>
    <description kind="short">example</description>
    <offline-allowed />
  </information>
  <update check="background" />
  <resources>
    <java version="1.6+" />
    <jar href="example.jar" main="true"  version="1.0.2" />
    <property name="jnlp.packEnabled"    value="true" />
    <property name="jnlp.versionEnabled" value="true"/>
  </resources>
  <application-desc main-class="example.MainPanel" />
</jnlp>

Web Start のデバッグ

deployJava.js

<script src="http://java.com/js/deployJava.js"></script>
<script>deployJava.createWebStartLaunchButtonEx('$url', '1.6+');</script>

Java7をインストールしてから？、deployJava.jsを使うと、Java のダウンロードページに飛ばされるようになってしまった…。

参考リンク

コメント

  • 方法２がうまく動作するのなら、クライアントの環境変数 _JAVA_OPTIONS か、JAVA_TOOL_OPTIONS に、-Djava.net.preferIPv4Stack=true を追加するといいかもしれません。 -- aterai