problema certificato java web start

[paolone86]

ciao ragazzi ho sviluppato della app in java e le ho distribuite.
nella ultime versioni di java sono cambiate alcune regole riguardo la sicurezza, per cui quando vengono eseguite java effettua una verifica e mostra una finestra in cui mi dice: "L'esecuzione di questa applicazione potebbe costituire un rischio per la sicurezza" ... "Impossibili garantire il certificato..." "Quest'applicazione verrà bloccata..."
per poter lanciare l'app devo spuntare sempre su Accetto il rischio e dare esegui....

Qualcuno sa come posso risolvere ? ovvero se posso lanciare le mie web app come vengono lanciate quelle presenti nei tutorial ufficiali su javadoc ?

grazie

[Alex'87]

In teoria dovresti rivolgerti ad un'ente di certificazione e farti dare un certificato valido... Non penso che si possa semplicemente disabilitare il controllo o farsi un certificato fai-da-te

[valia]

ciao ragazzi ho sviluppato della app in java e le ho distribuite.
nella ultime versioni di java sono cambiate alcune regole riguardo la sicurezza, per cui quando vengono eseguite java effettua una verifica e mostra una finestra in cui mi dice: "L'esecuzione di questa applicazione potebbe costituire un rischio per la sicurezza" ... "Impossibili garantire il certificato..." "Quest'applicazione verrà bloccata..."
per poter lanciare l'app devo spuntare sempre su Accetto il rischio e dare esegui....

Qualcuno sa come posso risolvere ? ovvero se posso lanciare le mie web app come vengono lanciate quelle presenti nei tutorial ufficiali su javadoc ?

grazie

in realtà sono diversi anni che c'è questo blocco, non è una cosa delle ultime versioni.
Il problema lo si risolve in 2 modi:

1. modifica policy di sicurezza della JVM...metodo SBAGLIATO!!!!!
2. certificazione della applet.
qui trovi delle informazioni utili

http://www.html.it/articoli/firmare-un-applet-5/

[paolone86]

in realtà sono diversi anni che c'è questo blocco, non è una cosa delle ultime versioni.
Il problema lo si risolve in 2 modi:

1. modifica policy di sicurezza della JVM...metodo SBAGLIATO!!!!!
2. certificazione della applet.
qui trovi delle informazioni utili

http://www.html.it/articoli/firmare-un-applet-5/

ma è proprio seguendo questa guida che le avvertenze di sicurezza java mi dicono Autore sconosciuto e che devo sempre accettare per eseguire la mia app...

[paolone86]

In teoria dovresti rivolgerti ad un'ente di certificazione e farti dare un certificato valido... Non penso che si possa semplicemente disabilitare il controllo o farsi un certificato fai-da-te

per caso conosci un'ente gratuito o almeno a pagamento ma su territorio nazionale ?
grazie

[valia]

il punto è che se tu ti fai il certificato, chi conosce e si fida di paolone86???
Se invece chiedi ad un ente di CERTIFICARE la tua identità, ci si fida di te perché ci si fida dell'ente che ti ha certificato.
Come dire, chi è paolone86? boh, ma Verisign dice che lo conosce e garantisce per lui...ah beh, allora mi fido pure io.
Di enti che emettono certificati ne esistono a migliaia, se vuoi bypassare quel controllo in todo devi farti certificare da oracle...e non è gratuito!

A sto punto mi chiedo, sei sicuro che devi distribuire via java web start?

[paolone86]

Di enti che emettono certificati ne esistono a migliaia, se vuoi bypassare quel controllo in todo devi farti certificare da oracle...e non è gratuito!

A sto punto mi chiedo, sei sicuro che devi distribuire via java web start?

si certo. ho visto che esiste un ente, Comodo, che rilascia anche certificati trial per 90 giorni...
anche se mi interesserebbe farmi certificare direttamente da oracle ma non riesco a trovare niente sul loro sito ufficiale, solo un tutorial ma niente di commerciale...

[valia]

guarda qui


http://www.oracle.com/technetwork/ja...g-1915323.html

[paolone86]

riporto la mia esperienza di oggi sperando che qualcuno possa farne tesoro e magari chi con più esperienza suggerirmi cosa sbaglio:
L'SSL247 è un'ente che vende certificati e da la possibilità di provarne uno gratis per 30 giorni (GeoTrust Free Trial).
cosi creo il mio keystore e il .crt, incollo il contenuto di quest'ultimo sul loro form e mi mandano il certificato via mail, a questo punto:
- scarico il certificato root della Geotrust, Root 2 - GeoTrust Global CA, (e l'intermediate); - mediate il comando keytool importo i 3 certificati nel keystore che ho utilizzato per creare il file .csr;

- firmo il mio jar con il comando jarsigner;

- il file jnlp è già configurato quindi semplicemente sovrascrivo il mio jar dell'app su Jboss;
Purtroppo però le avvertenze di sicurezza di java continuano a bloccarmi l'applicazione (autore pubblicazione sconosciuto, devo accettare e poi cliccare su esegui per farla andare...)
probabilmente mi manca fare qualcosa... se volete posto anche i comandi che ho usato in dos.
Grazie

[valia]

spetttaaaaa che fai confusione.

Tu hai fatto un certificate request che hai mandato a questo ente (ma ce ne sono di diversi,. manco ad elencarli tutti), poi hai firmato il tuo jar.

Per fare in modo che tu venga accettato, la controparte (cioè io) devo poter verificare la tua identità.
La controparte si intende un qualsiasi computer utente.
Per verificare le informazioni del tuo certificato, devo vedere il tuo certificato, controllare una marea di cose, ma controllare chi ti ha firmato.
Di base, chi esegue il tuo jnlp deve avere nel suo truststore almeno le informazioni del firmatario (in un controllo molto lasco si può fidare solo dell'issuer senza verificare tutto del cert).

Non mi ricordo in dettaglio tutte le policy della jvm (devo rivederle per benino), stasera o domani ci guardo meglio