java - JarSigner - 到期后会发生什么

Question

如果我创建一个 keystore 并使用以下命令签署一个 jar:

keytool -genkey -alias myalias -keyalg RSA -validity 365 -keystore keys/my.keystore

jarsigner -verbose -keystore keys/my.keystore -signedjar my_signed.jar my_unsigned.jar myalias

然后我会生成一个有效期为 365 天的证书。365 天后 jar 文件会发生什么变化？它还可以运行吗？当他使用“jarsigner verify”时，有人还能得到它的签名者吗？如何更新证书？

Answer 1

根据 http://docs.oracle.com/javase/7/docs/technotes/guides/security/time-of-signing.html，jarsigner 工具有一个选项 (-tsa url)

如果您使用 tsa 选项，则在 jar 的签名中包含一个签名的时间戳。许多提供代码签名证书的 CA 都有这样的时间戳服务器。稍后验证 jar 的签名时，客户端会检查在签署 jar 时证书是否仍然有效。所以即使过了一年， jar 仍然可以被验证。您应该使用您的 CA 的时间服务器，因为随后可以验证时间戳的签名(证书链已经包含 - 因为您使用来自该 ca 的证书对代码进行了签名)