Die Java-Plattform enthält mehrere eingebaute Provider, die einen allgemeinen Satz von gebräuchlichen Security-Services implementieren. Allerdings könnten zukünftige Anwendungen auch nach neuen, bis jetzt noch nicht implementierten Standards oder nach proprietären Services arbeiten. Die Java-Plattform unterstützt die Installation kundenspezifischer Provider zur Implementierung solcher Dienste. Java Cryptographic Extension, Java Secure Socket Extension und Java Authentication and Authorization Service sind die Hauptkomponenten einer solchen Pluggable-Interoperabilität.
Java Cryptographic Extension
Die Java Cryptographic Extension (JCE) ist eine Erweiterung von Sun Microsystems zur Ver- und Entschlüsselung von Datenblöcken. Die JCE ist Teil der JCA-Implementierung und eine Java-Erweiterung, die allerdings aufgrund der Exportbeschränkungen für US-Verschlüsselungstechnologien nicht außerhalb der USA vertrieben werden darf.
Java Secure Socket Extension
Secure Socket Layer (SSL) ist heute das gebräuchlichste Datenprotokoll mit unterstützter Datenintegrität durch Verschlüsselung. Die Java Secure Socket Extension (JSSE) stellt eine Standardschnittstellen- und Referenz-Implementierung des SSL-Protokolls dar. Ein Entwickler kann auch eine andere handelsübliche SSL-Implementierung verwenden, aber die bekannten JSSE-Schnittstellen lassen sich weiterhin nutzen. Die moderne Java-Plattform enthält noch weitere Secure-Socket-Protokolle wie Transport Layer Security (TLS), Kerberos und die Simple Authentication and Security Layer (SASL). JSSE unterstützt außerdem HTTPS (SSL/TLS) voll.
Java Authentication and Authorization Service
Der Java Authentication and Authorization Service (JAAS) ermöglicht eine Zugangsbeschränkung auf der Grundlage der Benutzerauthentifizierung. Zusammen mit Access Control realisiert er abstrakte Authentifizierungs-APIs mit einem breiten Spektrum an Login-Mechanismen über eine Pluggable-Architektur. Außerdem enthält er eine umfassende Policy- und Berechtigungs-API, über die der Entwickler Anwendungen erstellen und verwalten kann, die einen expliziten Zugriff auf Ressourcen mit unterschiedlichen Sicherheitsstufen erfordern.
Eine der Hauptfunktionen des JAAS liegt darin, einen Single-Sign-On mehrerer Authentifizierungsmechanismen und einen gezielten Ressourcenzugriff je nach Identität des Benutzers oder Code-Signierers zu ermöglichen. Die neue Unterstützung für Signaturen mit Zeitstempel (ab Java 5) erleichtert das Deployment von signiertem Code, weil der Code nach Auslaufen des Signaturzertifikats nicht erneut signiert werden muss.
Weitere Ressourcen zur Java-Sicherheit
Googles App-Entwickler-Kit dient der Tarnung des schädlichen Codes. Der Sicherheitsanbieter Jamf hält die Schadsoftware für…
Ausgeklügelte Phishing-Kampagne verwendet eine weiterentwickelte Version der Rhadamanthys-Stealer-Malware.
Die EU-Kommission kritisiert die Verknüpfung von Facebook und dem hauseigenen Online-Kleinanzeigendienst. Sie sieht darin einen…
Fast zwei Drittel halten jedoch eine Umsetzung aller Vorgaben von NIS 2 bis Jahresende für…
Mit dem Dekryptor von Bitdefender können Opfer von Attacken mit der Shrinklocker-Ransomware Dateien wiederherstellen.
In der Vorweihnachtszeit ist vor allem Malvertising auf dem Vormarsch. Cyberkriminelle locken Nutzer über schädliche…