Gibt es eine Möglichkeit, den Methoden-Aufrufer sicher zu erhalten, während die aufgerufene Methode (serverseitig) ausgeführt wird?rmi über ssl/tls, kann der Anrufer sicher identifiziert werden?
ich weiß, dass es eine Client-Zeichenfolge über die Servereigenschaften erreichbar ist, aber ist es nicht zu "schwach"? jeder Weg, um z.B. der Besitzer des Client-Zertifikats?
bitte geben Sie mir ein paar Hinweise, WILL gleich danach RTFD;)
Dank im Voraus
ich dies auch nicht gründlich gedacht haben, als ein Off-Hand, würde ich ein Aufstecken vorschlagen in einer benutzerdefinierten TrustManager, die nach der Authentifizierung des Aufrufers das Clientzertifikat mit dem Thread des Aufrufers verknüpft. Dies könnte einfach mit einem ThreadLocal oder mit der JAAS-Architektur getan werden.
vielen Dank; Ich werde es untersuchen. jeder andere Vorschlag wird geschätzt! – user120747
Dies ist einer der großen Probleme mit RMI/SSL. Es gibt keine Möglichkeit, das Peer-Zertifikat zu erhalten, außer über zusätzlichen Code wie den Vorschlag von Erickson. Das macht es tatsächlich unsicher, da es keinen Autorisierungsschritt gibt: Sie erhalten Privatsphäre, Integrität und Authentifizierung, aber keine Autorisierung. Eine ausführliche Diskussion finden Sie unter White Paper.
Schade: http://jcp.org/en/jsr/results?id=325 –