JarSigner - что происходит после истечения срока

Question

Если я создаю хранилище ключей и подписываю банку с этими командами:

keytool -genkey -alias myalias -keyalg RSA -validity 365 -keystore keys/my.keystore

jarsigner -verbose -keystore keys/my.keystore -signedjar my_signed.jar my_unsigned.jar myalias

Тогда я бы сгенерировал сертификат, действующий 365 дней. Что происходит с файлом jar через 365 дней? Это все еще работает? Может ли кто-то все еще получить подпись, когда он использует "jarsigner verify"? Как можно обновить сертификат?

Answer 1

У инструмента jarsigner есть опция (-tsa url) в соответствии с http://docs.oracle.com/javase/7/docs/technotes/guides/security/time-of-signing.html

Если вы используете опцию tsa, подписанная метка времени будет включена в подпись фляги. Многие центры сертификации, предлагающие сертификаты подписи кода, имеют такой сервер отметок времени. Когда позже проверяется подпись банки, клиент проверяет, был ли сертификат еще действительным, когда банка была подписана. Так что банку еще можно проверить, даже если прошел год. Вы должны использовать сервер времени вашего CA, так как тогда можно будет проверить подпись метки времени (цепочка сертификатов уже включена - поскольку вы подписали код с сертификатом из этого CA)