[JNLP] certificaten probleem

[cossy nl]

Ik ben bezig om een systeem te testen binnen een bredrijf, ik loop echter tegen een probleem aan sinds java versie 6 met update 14. Ik krijg nu voor geen mogelijkheid meer mijn JNLP files geladen. hij geeft een certificaatfout: jar resources in JNLP file are not signed by same certificate.

Het gaat om twee simpele jar bestanden die gesignd zijn met het zelfde bestand door de party waar we de software inkopen.
De certificaten heb ik gecheckt door middel van jarsigner van java. Die geeft aan dat ze beide gesignd zijn en bij ook goed gesignd zijn, daarna heb ik de signs bekeken op verschillen. En die zijn er ook niet.

Met java versie 6 update 13 had ik er geen last van. En de workaround die op internet staat met twee verschillende JNLP files krijg ik wel werkend maar de Jar bestanden zien elkaar dan bij mij niet.

Heeft iemand dit probleem ook al ondervonden, of misschien zelfs een oplossing?

[momania]

Heb je toevallig beide JVM versie nog geinstalleerd?
Probeer eerst eens de cache te legen, die vind je in

C:\Documents and Settings\<user>\Application Data\Sun\Java\Deployment\cache

[cossy nl]

Ok geprobeerd nu, de files worden netjes opgehaald, alleen zo gauw hij ze gaat controleren op certificaten loopt het mis. Blijft dus de zelfde foutmelding: "jar resources in JNLP file are not signed by same certificate"
Met de volgede extra error:

-------------------------------------------------------------------------------------------------------------------
JNLPException[category: Launch File Error : Exception: null : LaunchDesc:
(JNLP file )
at com.sun.javaws.LaunchDownload.checkSignedResourcesHelper(Unknown Source)
at com.sun.javaws.LaunchDownload.checkSignedResources(Unknown Source)
at com.sun.javaws.Launcher.prepareLaunchFile(Unknown Source)
at com.sun.javaws.Launcher.prepareToLaunch(Unknown Source)
at com.sun.javaws.Launcher.prepareToLaunch(Unknown Source)
at com.sun.javaws.Launcher.launch(Unknown Source)
at com.sun.javaws.Main.launchApp(Unknown Source)
at com.sun.javaws.Main.continueInSecureThread(Unknown Source)
at com.sun.javaws.Main$1.run(Unknown Source)
at java.lang.Thread.run(Unknown Source)
-------------------------------------------------------------------------------------------------------------------

Edit: ik heb nu een vraag uitstaan bij de partij die ze gesignd heeft voor een extra check.

Edit2: Ik heb nu wel een work-around door middel van twee JNLP files, echter is dit niet echt wenselijk binnen het bedrijf.

[ Voor 7% gewijzigd door cossy nl op 05-06-2009 11:40 ]

[momania]

cossy nl schreef op vrijdag 05 juni 2009 @ 11:37:
Edit2: Ik heb nu wel een work-around door middel van twee JNLP files, echter is dit niet echt wenselijk binnen het bedrijf.

Maar dat is wel zoals het hoort eigelijk. Als jij met je java webstart app een dependency hebt naar een jar die al signed is, dan kan die prima in een aparte jnlp en die include je in je eigen jnlp. Niks mis mee

[cossy nl]

momania schreef op vrijdag 05 juni 2009 @ 12:47:
[...]

Maar dat is wel zoals het hoort eigelijk. Als jij met je java webstart app een dependency hebt naar een jar die al signed is, dan kan die prima in een aparte jnlp en die include je in je eigen jnlp. Niks mis mee

Ben ik met je eens, echter het komt allemaal bij het zelfde bedrijf vandaan en het is speciaal gemaakt voor 1 programma. Voor mijn gevoel zou het dus eigenlijk in 1 jnlp file moeten zitten, ook natuurlijk voor de beheerbaarheid.

Is er een mogelijkheid om te controleren welke certificaten er gebruikt worden bij en jar bestand? ik heb het dan wel gecontroleerd met jarsigner, de gegevens leken het zelfde, maar is er nog een betere manier om het te controleren?

[Gerco]

Wat mij weleens gebeurd is is dat ik jars per abuis twee keer gesigned had, met een ander certificaat. Het werkte toen weer toen ik de extra handtekening uit de jars haalde en alle jars dus met maar 1 certificaat tekende.

Bij mij was dus het probleem dat er meer dan 1 handtekening bij zat, beide waren namelijk geldig en trusted.

[cossy nl]

Gerco schreef op vrijdag 05 juni 2009 @ 13:40:
Wat mij weleens gebeurd is is dat ik jars per abuis twee keer gesigned had, met een ander certificaat. Het werkte toen weer toen ik de extra handtekening uit de jars haalde en alle jars dus met maar 1 certificaat tekende.

Bij mij was dus het probleem dat er meer dan 1 handtekening bij zat, beide waren namelijk geldig en trusted.

Hoe heb jij dat gecontroleerd dan hoe ze gesignd zijn? of zelfs in jou geval 2x?

[Gerco]

Ik heb nu even geen goede jar bij de hand, maar als je "jarsigner -verify -verbose -certs" draait, krijg je van elke file in de jar te zien met welke certificaten die file gesigned is.

Als je in META-INF/ in de jar kijkt, zie je ook voor elk gebruikt certificaat een .SF en een .DSA (of .RSA) file staan. Als er daar meer dan 1 .SF en 1 .DSA of .RSA file staan heb je meerdere certificaten gebruikt,

cossy nl schreef op vrijdag 05 juni 2009 @ 14:00:
Gaat het trouwens ook fout als 1 bestand in een jar een ander certificaat gebruikt?

Ik weet het niet 100% zeker, maar ik denk van wel. Als je die file probeert te laden gaat het zeker fout, maar misschien ook al wel eerder.

[ Voor 59% gewijzigd door Gerco op 05-06-2009 14:01 ]

[cossy nl]

Gerco schreef op vrijdag 05 juni 2009 @ 13:59:
Ik heb nu even geen goede jar bij de hand, maar als je "jarsigner -verify -verbose -certs" draait, krijg je van elke file in de jar te zien met welke certificaten die file gesigned is.

Een jar kun je namelijk niet signen, alleen de files erin.

Ja inderdaad heb je gelijk in, ik ga het even controleren, maar volgens mij had ik dit al gedaan, en zover ik kon zien was alles gelijk.
Gaat het trouwens ook fout als 1 bestand in een jar een ander certificaat gebruikt?

Edit: ik heb output gegenereert van de javasigner, van beide bestanden, en vergeleken met een compare tool. Alles komt met elkaar overeen.
Zou het een bug in java 6 update 14 kunnen zijn? aangezien hij het in update 13 nog wel doet.

Als je in META-INF/ in de jar kijkt, zie je ook voor elk gebruikt certificaat een .SF en een .DSA (of .RSA) file staan. Als er daar meer dan 1 .SF en 1 .DSA of .RSA file staan heb je meerdere certificaten gebruikt,

Ga ik even controleren
Antwoord: beide bestanden hebben de volgende zaken in de meta-inf: manifest.mf qcert.rsa qsert.sf

[ Voor 34% gewijzigd door cossy nl op 05-06-2009 14:45 ]