-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA1
Java安全體系，博大精深，這個體系按照Sun的Java安全白皮書，基本上可以分為5個部分：
1. Java平臺
Java語言本身嵌入了安全特性，其中包括編譯器/JVM對強數據類型的支持，自動的內存管理，字節代碼的驗證機制以及獨特的安全類加載方式，這些特性都是SPAN lang=EN-US>Java語言本身所賦有的，本文不打算作深入的探討這些基礎概念，建議閱讀。
2. Java 密碼體系
Java密碼(Cryptography)體系依賴于JCA和JCE。J ava Cryptography Architecture (JCA) 和Java Cryptography Extension (JCE)是兩個非常重要的框架，他們提供了非常簡潔通用的API接口，接口跟實現是完全分離的，即Java開發者可以采用Sun的接口+Sun的實現的方式，也可以接受Sun接口+BouncyCastle實現的方式。換言之，這是一種Provider方式的體系，如何替換Provider可以參考java.security文件的配置，非常簡單。
JCA包括了數字簽名和消息摘要的API，JCE擴展了JCA，提供了更多的安全API，Java針對下面一些常用的算法提供了接口和實現：
l?????? 對稱的分組加密算法，如DES, RC2和IDEA
l?????? 對稱的流加密算法，如RC4
l?????? 非對稱流加密算法，如RSA
l?????? 基于密碼的加密(PBE)
l?????? 密鑰交換協議，如Diffie-Hellman
l?????? 信息認證碼 (MAC)
上面的算法僅僅是密碼學領域的冰山一角，但已經能夠滿足普通應用的安全需求，在算法的層次之上，往往是密碼學協議，使用Java簡單的Diffie-Hellman雖然能夠滿足簡單的密鑰交換，但是如果節點多于SPAN lang=EN-US style="mso-font-kerning: 0pt">2個，這個時候，Diffie-Hellman便不再適用，此時我們必須使用更復雜/更高級的密碼協議，成為Group Diffie-Hellman(GDH)。因此，初學者不要誤認為憑借現有的Java密碼實現，我們可以做任何事情，在安全領域，事情遠遠不是我們所想象的那么簡單。
3. Java認證與授權
Java認證與存取控制模型長成現在這個模樣跟Sun的宮力有很大關系，這部分涵蓋了一個非常重要的部分JAAS，JAAS是第一個出色地將認證實接口和實現分離的思想，另外，Java的存取模型也是一個非常重要的部分，但從JDK1.2以來并沒有什么太大的變化，在AOP降臨到這個世界之后， Spring的攔截方式已經逐漸被人們接受，現在已經很少再看到如何應用Java的Access Manager的文章了，或者人們已經厭倦了“獨”模式，他們似乎更喜歡Acegi的方法攔截來控制存取，以致Charles.gay經常說要將JGuard AOP化，可見，Java的存取控制模型已經有點過時了。
4. 安全通信
該部分主要規范了標準安全通訊協議（SSL，TLS，Kerberos，SASL等）的API和實現。這一節難度比較大，涉獵面廣，同時也最能體現了Java Security的優勢——易用性，擴展性和可移植性，大部分用的最多的是SSL(IETF標準化SSL 3.0為TLS 1.0)，其次是Kerberos。
因為微軟將Kerberos作為整個Windows的首個重要的認證協議(NTLM已經過時)。Kerberos至今依然健壯，MIT的大師真實卓越非凡，讓一個如此簡單的協議依然能夠獨領風騷30年而沒有做過大的改動，Kerberos的思想對我們的影響很大，我覺得現有的很多SSO協議都能夠看到Kerberos思想的影子，尤其是CAS協議。
5. PKI（Public Key Infrastructure）體系
Java PKI規范提供了管理Key和證書的API，它很好地實現的協議：
l???? X.509規范
l???? CRL(證書撤消列表)
l???? PKCS#11, PKCS#12
l???? PKIX (RFC 3280),
l???? 在線證書狀態協議(OCSP)
PKI的核心是數字證書，Java提供了友好的數字證書對象(CertificateFactory，Certificate，X509Certificate，X509Extension等)，通過這些對象，我們可以毫不費力地處理各種類型的數字證書，包括cer, pem等。Java提供了很多有用的管理證書工具，包括日常中必不可少的Keytool, JarSigner等，而某些開源的圖形化界面也封裝了Keytool和JarSigner，包括KeytoolGUI(基于Swing，已經停止開發，商業版本是KeyStore Explorer)，SecureX(基于SWT的Shell，以Eclipse Plugin發布)。
其他協議如CRL，PKCS#11, PKIX，OCSP，在Java中都在不斷地增強JDK 1.5的重要改造之一就是體現在對這些協議的增強上。< /SPAN>
Java跟.Net的一個最大的不同是，在證書處理上，.Net使用了Windows本地證書庫而Java使用了它自己的證書庫格式(JKS)來保證移植性。Windows本地證書庫是通過Windows CryptoAPI接口去提取的，CryptoAPI是無法跨平臺的，因此，Java沒有使用CryptoAPI。
Java證書庫是一個獨立的本地文件，它是通過密碼保護來保證其中的私鑰/證書在未經授權的情況下不能被其他人提取，私鑰本身也有密碼保護，因此安全性是可以相信的。
密碼學的門理論門檻與實踐門檻都非常高，雖然我們在應用密碼、摘要、數字簽名等算法的時候，得益于SPAN lang=EN-US style="FONT-SIZE: 9pt">JCA/JCE模型的簡易性和可擴展性，但是，密碼學涉獵面非常廣，它遠遠不止JCA/JCE框架所描寫的那么簡單。
-----BEGIN PGP SIGNATURE-----
Version: PGP Desktop 9.0.5 - Enterprise license
Comment:
http://security.blogjava.net
iQA/AwUBRRFuXE2j31FcBpdPEQJeUgCg8yeWvTWV43aHliN5X2+mIsQS000AoJj6 to/nxmwV688WafhnXdrt8CZ8 =P2yf
-----END PGP SIGNATURE-----