Full paper (pdf) - CDC

KeyStore der KeyStore eignet sich zur sicheren Aufbewahrung kryptographischer
Schlüssel. Die Integrität des Speichers sowie jeder einzelne Schlüssel
werden durch Paßworte gesichert. Die Art der Speicherung ist je nach
Implementierung unterschiedlich. Sun liefert eine proprietäte dateibasierte
Implementierung, den Java KeyStore (JKS). Andere Möglichkeiten sind
PKCS12 oder Chipkarten.
5.1.2 Zertifikate
Um Public-Key-Kryptographie sinnvoll betreiben zu können, ist der Umgang
mit Zertifikaten unerläßlich. Diese beinhaltet die Möglichkeit, die binär kodierten
Zertifikate einlesen und auswerten zu können, also öffentliche Schlüssel zu
entnehmen, Signaturen zu prüfen, Aussteller zu identifizieren und Zertifikatsinhalte
(Erweiterungen und Einschränkungen) zu behandeln.
Certificate diese Basisklasse stellt ein Public-Key-Zertifikat dar.
X509Certificate als Erweiterung von Certificate handelt es sich hierbei um
ein Zertifikat nach dem X.509-Standard. Es gibt unter anderem Methoden
um den Inhaber und seinen öffentlichen Schlüssel, den Aussteller oder den
Gültigkeitszeitraum zu erfahren, sowie um die Signatur zu prüfen (hierzu
muß der öffentliche Schlüssel des Ausstellers vorliegen).
CRL diese Klasse repräsentiert eine Revokationsliste (certificate revocation list).
Hier sind Zertifikate aufgeführt, die für ungültig erklärt wurden. Es gibt
auch eine Unterklasse für X.509-Revokationslisten.
CertificateFactory eine CertificateFactory erzeugt Certificate-Instanzen
aus Eingabeströmen, zum Beispiel aus Dateien.
KeyStore neben der Speicherung von Schlüsseln dient ein KeyStore auch dazu,
vertrauenswürdige Zertifikate abzulegen, anhand derer Signaturen auf
Benutzerzertifikaten überprüft werden sollen. Durch das Integritätspaßwort
wird sichergestellt, daß nicht unbemerkt Zertifikate entfernt oder
installiert werden können.
5.1.3 Algorithmen
Für die verschiedenen kryptographischen Operationen sind jeweils eigene Klassen
vorgesehen, die vom Programmierer mit einer getInstance()-Methode aktiviert
werden können. Die Implementierung wird dabei erst zur Laufzeit ausgewählt
und dynamisch geladen. Auf diese Weise wird eine Java-Anwendung
von den unterschiedlichen Algorithmen und den Bibliotheken, in denen diese
bereit gestellt werden, entkoppelt. Beispielsweise wird eine MD5withRSA-
Signatur gemäß JCA wie folgt erzeugt:
Signature signer = Signature.getInstance("MD5withRSA");
signer.initSign((PrivateKey)privateKey);
signer.update((byte[]) message);
byte[] signature = signer.sign();
46