jarsigner(1)

名前
jarsigner - JAR署名および検証ツール

Java ARchive(JAR)ファイルの署名を生成し、署名付きJARファイルの署名を検証します。

形式

jarsigner [ options ] jar-file alias
jarsigner -verify [ options ] jar-file [alias...]

jarsignerの-verifyコマンドでは、JARファイル名の後に0個以上のキーストア別名を指定できます。キーストア別名が指定された場合、jarsignerは、JARファイル内の各署名付きエンティティの検証に使用される証明書が、いずれかのキーストア別名に一致することをチェックします。別名は、-keystoreで指定されたキーストア内またはデフォルトのキーストア内に定義されます。

説明

jarsignerツールは、次の2つの目的で使用します。

    1.  Java ARchive(JAR)ファイルに署名する目的

    2.  署名付きJARファイルの署名と整合性を検証する目的

JAR機能を使用すると、クラス・ファイル、イメージ、サウンドおよびその他のデジタル・データを単一のファイルにパッケージ化できるので、ファイルを迅速かつ容易に配布できます。開発者は、jar(1)という名前のツールを使用してJARファイルを作成できます。(技術的な観点から言えば、すべてのZIPファイルもJARファイルとみなすことができます。ただし、jarによって作成されたJARファイル、またはjarsignerによって処理されたJARファイルには、META-INF/MANIFEST.MFファイルが含まれています。)

デジタル署名は、なんらかのデータ(「署名」の対象となるデータ)と、エンティティ(人、会社など)の秘密鍵とに基づいて計算されるビット列です。手書きの署名同様、デジタル署名には多くの利点があります。

    o   署名の生成に使用された秘密鍵と対になる公開鍵を使用して計算を行うことで、デジタル署名が本物かどうかを検証できます。

    o   秘密鍵が他人に知られない限り、デジタル署名の偽造は不可能です。

    o   デジタル署名は、その署名が付いたデータのみを対象とするものであり、他のデータの署名として機能することはありません。

    o   署名付きのデータは変更できません。データが変更された場合は、その署名によってデータが本物ではないことが検証されます。

ファイルに対してエンティティの署名を生成するには、まず、エンティティは、そのエンティティに関連する公開鍵と秘密鍵のペアを持つ必要があります。また、公開鍵を認証する1つまたは複数の証明書も必要です。証明書とは、あるエンティティが発行したデジタル署名付きの文書で、別なエンティティの公開鍵が特定の値であることを証明しています。

jarsignerは、キーストアに含まれる鍵と証明書情報を使用して、JARファイルのデジタル署名を生成します。キーストアは、秘密鍵、および対応する公開鍵を認証するためのX.509証明書チェーンが収められたデータベースです。キーストアの作成と管理には、keytool(1)ユーティリティを使用します。

jarsignerは、エンティティの秘密鍵を使用して署名を生成します。署名付きJARファイルには、ファイルの署名に使用された秘密鍵に対応する公開鍵に対する、キーストア内の証明書のコピーなどが含まれています。jarsignerは、署名付きJARファイル内(署名ブロック・ファイル内)にある証明書を使用してそのファイルのデジタル署名を検証できます。

jarsignerはタイムスタンプを含む署名を生成するので、システムやデプロイヤ(Java Plug-inを含む)はJARファイルが署名証明書の有効期間中に署名されたかどうかをチェックできます。さらに、APIを使用すると、アプリケーションからタイムスタンプ情報を取得できます。

現時点では、jarsignerで署名できるのは、SDKのjar(1)ツールで作成されたJARファイル、またはZIPファイルのみです。(JARファイルはZIPファイルと同じですが、JARファイルにはMETA-INF/MANIFEST.MFファイルが含まれている点が異なります。このファイルは、jarsignerがZIPファイルに署名を付けるときに自動的に作成されます。)

デフォルトでは、jarsignerはJAR(またはZIP)ファイルに署名します。署名付きJARファイルを検証する場合は、-verifyオプションを指定します。

  キーストアの別名

キーストアのすべてのエントリは、一意の別名を介してアクセスされます。

jarsignerを使用してJARファイルに署名を付けるときは、署名の生成に必要な秘密鍵を含むキーストア・エントリの別名を指定する必要があります。たとえば、次の例は、workingディレクトリのmystoreという名前のキーストアに含まれる別名dukeに関連付けられた秘密鍵を使用して、MyJARFile.jarという名前のJARファイルに署名を付けます。出力ファイルは指定されていないので、MyJARFile.jarは署名付きのJARファイルによって上書きされます。

    jarsigner -keystore /working/mystore -storepass <keystore password>
      -keypass <private key password> MyJARFile.jar duke

キーストアはパスワードで保護されているので、ストアのパスワードを指定する必要があります。コマンドラインでストアのパスワードを指定しないと、パスワードの入力を求められます。同様に、秘密鍵もキーストア内でパスワードによって保護されているため、秘密鍵のパスワードを指定する必要があります。コマンドラインで秘密鍵のパスワードを指定していない場合、または指定したパスワートが保存されているパスワードと違っている場合には、秘密鍵のパスワードの入力を求められます。

  キーストアの場所

jarsignerには、使用するキーストアのURLを指定する-keystoreオプションがあります。キーストアはデフォルトで、user.homeシステム・プロパティで決まるユーザーのホーム・ディレクトリの.keystoreという名前のファイル内に格納されます。Solarisシステムの場合、user.homeのデフォルトはユーザーのhomeディレクトリになります。

-keystoreオプションからの入力ストリームは、KeyStore.loadメソッドに渡されます。URLとしてNONEが指定されている場合は、nullのストリームがKeyStore.loadメソッドに渡されます。NONEは、KeyStoreがファイルベースではない場合、たとえば、ハードウェア・トークン・デバイス上に存在している場合などに指定してください。

  キーストアの実装

java.securityパッケージで提供されているKeyStoreクラスは、キーストア内の情報へのアクセスおよび情報の変更を行うための、明確に定義されたインタフェースを提供します。キーストアの固定実装としては、それぞれが特定のタイプのキーストアを対象とする複数の異なる実装が存在可能です。

現在、キーストアの実装を使用するものとして、keytoolとjarsignerの2つのコマンドライン・ツールと、Policy Toolという名前の1つのGUIベースのツールがあります。KeyStoreは公開されているので、Java 2 SDKユーザーはKeyStoreを使用する他のセキュリティ・アプリケーションも作成できます。

キーストアには、Sun Microsystemsが提供する組込みのデフォルトの実装があります。これは、JKSという名前の独自のキーストア・タイプ(形式)を利用するもので、キーストアをファイルとして実装しています。この実装では、個々の秘密鍵は個別のパスワードによって保護され、キーストア全体の整合性も(秘密鍵とは別の)パスワードによって保護されます。

キーストアの実装は、プロバイダベースです。具体的には、KeyStoreによって提供されるアプリケーション・インタフェースが「サービス・プロバイダ・インタフェース」(SPI)に基づいて実装されます。つまり、対応するKeystoreSpi抽象クラス(これもjava.securityパッケージに含まれています)があり、このクラスが、「プロバイダ」が実装する必要のあるService Provider Interfaceのメソッドを定義しています。(ここで、「プロバイダ」とは、Java Security APIによってアクセス可能なサービスのサブセットに対し、その固定実装を提供するパッケージまたはパッケージの集合のことです。)したがって、キーストアの実装を提供するには、 Java暗号化アーキテクチャ用プロバイダの実装方法 @
http://docs.oracle.com/javase/7/docs/technotes/guides/security/crypto/HowToImplAProvider.htmlで説明しているように、クライアントが「プロバイダ」を実装し、KeystoreSpiサブクラスの実装を提供する必要があります。

アプリケーションでは、KeyStoreクラスが提供するgetInstanceファクトリ・メソッドを使用することで、様々なプロバイダから異なるタイプのキーストアの実装を選択できます。キーストアのタイプは、キーストア情報の格納形式とデータ形式を定義するとともに、キーストア内の秘密鍵とキーストア自体の整合性を保護するために使用されるアルゴリズムを定義します。異なるタイプのキーストアの実装には、互換性はありません。

keytoolは、任意のファイルベースのキーストア実装で動作します。(これは、コマンドラインから渡されたキーストアの場所をファイル名として扱い、これをFileInputStreamに変換して、FileInputStreamからキーストアの情報をロードします。)一方、jarsignerツールとpolicytoolツールは、URLで指定可能な任意の場所からキーストアを読み込むことができます。

jarsignerとkeytoolの場合、-storetypeオプションを使用してコマンドラインでキーストアのタイプを指定できます。Policy Toolの場合は、「Edit」メニューの「Change Keystore」コマンドを使用してキーストアのタイプを指定できます。

ユーザーがキーストアのタイプを明示的に指定しなかった場合は、単純にセキュリティ・プロパティ・ファイルで指定されたkeystore.typeプロパティの値に基づいて、キーストアの実装が選択されます。このセキュリティ・プロパティ・ファイルはjava.securityと呼ばれ、SDKセキュリティ・プロパティ・ディレクトリjava.home/lib/security内に存在しています。ここで、java.homeは実行時環境のディレクトリ(SDKのjreディレクトリまたはJava 2 Runtime Environmentのトップレベル・ディレクトリ)です。

各ツールは、keystore.typeの値を取得し、この値で指定されたタイプのキーストアを実装しているプロバイダが見つかるまで、現在インストールされているすべてのプロバイダを調べます。目的のプロバイダが見つかると、そのプロバイダからのキーストアの実装を使用します。

KeyStoreクラスに定義されているstaticメソッドgetDefaultTypeを使用すると、アプリケーションやアプレットからkeystore.typeプロパティの値を取得できます。次のコードは、デフォルトのキーストア・タイプ(keystore.typeプロパティで指定されたタイプ)のインスタンスを生成します。

    KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());

デフォルトのキーストア・タイプはjks(Sunが提供する独自のタイプのキーストアの実装)です。これは、セキュリティ・プロパティ・ファイル内の次の行によって指定されています。

    keystore.type=jks

注意: キーストアのタイプの指定では、大文字と小文字は区別されません。たとえば、JKSとjksは同じものとして扱われます。

各ツールでデフォルト以外のキーストアの実装を使用するには、上の行を変更して別のキーストアのタイプを指定します。たとえば、pkcs12と呼ばれるタイプのキーストアの実装を提供しているプロバイダ・パッケージを使用するには、上の行を次のように変更します。

    keystore.type=pkcs12

PKCS#11プロバイダ・パッケージを使用する場合の詳細は、Java PKCS#11リファレンス・ガイドにある KeyToolとJarSigner @
http://docs.oracle.com/javase/7/docs/technotes/guides/security/p11guide.html#KeyToolJarSignerの項を参照してください。

  サポートされるアルゴリズム

jarsignerはデフォルトで、次のいずれかを使用してJARファイルに署名します。

    o   SHA1ダイジェスト・アルゴリズムを使用したDSA(デジタル署名アルゴリズム)

    o   SHA256ダイジェスト・アルゴリズムを使用したRSAアルゴリズム

    o   SHA256とECDSA(楕円曲線デジタル署名アルゴリズム)を使用したEC(楕円曲線)暗号方式アルゴリズム

具体的には、署名者の公開鍵と秘密鍵がDSA鍵である場合、jarsignerはSHA1withDSAアルゴリズムを使用してJARファイルに署名を付けます。署名者の鍵がRSA鍵である場合、jarsignerはSHA256withRSAアルゴリズムを使用してJARファイルに署名を付けます。署名者の鍵がEC鍵である場合、jarsignerはSHA256withECDSAアルゴリズムを使用してJARファイルに署名を付けます。

これらのデフォルトの署名アルゴリズムは、-sigalgオプションを使用してオーバーライドできます。

  署名付きJARファイル

jarsignerを使用してJARファイルに署名を付けた場合、出力される署名付きJARファイルは入力JARファイルと同じですが、次の2つの追加ファイルがMETA-INFディレクトリに置かれる点が異なります。

    o

    o

これら2つのファイルのベース・ファイル名は、-sigFileオプションの値から作成されます。たとえば、次のようにオプションを指定したとします。

-sigFile MKSIGN

この場合、ファイル名はそれぞれMKSIGN.SFとMKSIGN.DSAになります。

コマンドラインで-sigfileオプションを指定しなかった場合、.SFファイルと.DSAファイルのベース・ファイル名は、コマンドラインで指定された別名の先頭の8文字をすべて大文字に変換したものになります。別名が8文字未満の場合は、別名がそのまま使用されます。別名の中に、署名ファイル名に使用できない文字が含まれている場合は、該当する文字を下線(_)に置き換えてファイル名が作成されます。使用できる文字は、アルファベット、数字、下線(_)、ハイフンです。

署名(.SF)ファイル

署名ファイル(.SFファイル)は、jarsignerで署名を付けたJARファイルに常に含まれるマニフェスト・ファイルと似ています。つまり、マニフェスト・ファイル同様、.SFファイルには、JARファイルに含まれているソース・ファイルごとに、次の3つの行があります。

    o   ファイル名

    o   使用されているダイジェスト・アルゴリズム(SHA)の名前

    o   SHAダイジェストの値

マニフェスト・ファイルでは、各ソース・ファイルのSHAダイジェストの値は、ソース・ファイルのバイナリ・データのダイジェスト(ハッシュ)になります。一方、.SFファイルでは、ソース・ファイルのダイジェストの値は、ソース・ファイルのマニフェスト・ファイル内のこれら3行のハッシュになります。

署名ファイルには、デフォルトでマニフェスト・ファイル全体のハッシュが格納されたヘッダーも含まれています。JARファイルの検証で説明するように、このヘッダーの存在によって検証の最適化が可能になっています。

署名ブロック・ファイル

  署名タイムスタンプ

jarsignerツールでは、JARファイルの署名時に署名タイムスタンプを生成して保存できます。さらに、jarsignerは代替署名機構をサポートします。この動作は省略可能で、署名時に次の各オプションによって制御されます。

    o   -tsa url

    o   -tsacert alias

    o   -altsigner class

    o   -altsignerpath classpathlist

これらの各オプションの詳細は、オプションの項を参照してください。

  JARファイルの検証

JARファイルの検証が成功するのは、署名が有効であり、かつ署名の生成以後にJARファイル内のどのファイルも変更されていない場合です。JARファイルの検証は、次の手順で行われます。

    1.
        この手順では、各署名ブロック(.DSA)ファイルに格納されている署名が、実際に、公開鍵に対応する秘密鍵を使用して生成されたものであることが確認されます。.DSAファイルには、公開鍵の証明書(または証明書チェーン)も含まれています。また、この手順では、目的の署名が、対応する署名(.SF)ファイル内の有効な署名であるかどうかを調べ、.SFファイルが改変されていないことも確認されます。

    2.
        ハッシュが一致しない場合は、効率的には劣る方法を使用した検証が必要になります。具体的には、.SFファイル内の各ソース・ファイル情報セクションのハッシュが、マニフェスト・ファイル内の対応するセクションのハッシュと一致するかどうかが確認されます(署名(.SF)ファイルを参照)。

    3.  JARファイル内のファイルのうち、.SFファイル内にエントリを持つ各ファイルを読み込みます。読込み中にファイルのダイジェストを計算し、結果をマニフェスト・セクション内の該当するファイルのダイジェストと比較します。2つのダイジェストは同じである必要があり、そうでない場合は検証が失敗します。

検証プロセスの途中でなんらかの重大な検証エラーが発生した場合、検証プロセスは中止され、セキュリティ例外がスローされます。例外は、jarsignerがキャッチして表示します。

  1つのJARファイルを対象とする複数の署名

1つのJARファイルに対してjarsignerツールを複数回実行し、実行のたびに、異なるユーザーの別名を指定すれば、JARファイルに複数のユーザーの署名を付けることができます。

  jarsigner myBundle.jar susan
  jarsigner myBundle.jar kevin

JARファイルが複数回署名されている場合、そのJARファイルには.SFファイルと.DSAファイルのペアが複数含まれることになります。.SFファイルと.DSAファイルのペアは、1回の署名に対して1つ作成されます。したがって、上の例で出力されるJARファイルには、次の名前を持つファイルが含まれます。

  SUSAN.SF
  SUSAN.DSA
  KEVIN.SF
  KEVIN.DSA

注意: JARファイルでは、JDK 1.1のjavakeyツールで生成された署名とjarsignerで生成された署名が混在できます。つまり、すでにjavakeyを使用して署名が付けられているJARファイルに、jarsignerを使用して署名を付けることができます。

オプション

次に、jarsignerのオプションについて説明します。注意:

    o   どのオプション名にも先頭にマイナス記号(-)が付きます。

    o   オプションは任意の順序で指定できます。

    o   イタリック体の項目の実際の値(オプションの値)は、指定する必要があります。

    o   -keystore、-storepass、-keypass、-sigfile、-sigalg、-digestalgおよび-signedjarオプションを使用できるのは、署名付きJARファイルを検証する場合ではなく、JARファイルに署名する場合のみです。同様に、別名をコマンドラインで指定するのは、JARファイルに署名を付ける場合のみです。

    -keystore url
        キーストアの場所を示すURLを指定します。デフォルトは、ユーザーのホーム・ディレクトリ内のファイル.keystoreです。ユーザーのホーム・ディレクトリは、user.homeシステム・プロパティによって決まります。
        署名するときはキーストアが必要です。このため、デフォルトのキーストアが存在しない場合(またはデフォルト以外のキーストアを使用する場合)は、キーストアを明示的に指定する必要があります。
        検証するときはキーストアは必要ありません。ただし、キーストアが指定されているか、あるいはデフォルトのキーストアが存在していて、さらに-verboseオプションも指定されていた場合、JARファイルの検証に使用される証明書がそのキーストアに1つでも含まれているかどうかに関する追加情報が出力されます。
        注意: -keystoreの引数には、URLのかわりにファイル名(とパス)を指定できます。ファイル名(とパス)を指定した場合は、「file:」URLとして扱われます。次に例を示します。

          -keystore filePathAndName

        これは、次の指定と同じものとして扱われます。

          -keystore file:filePathAndName

        JREの$JAVA_HOME/lib/securityディレクトリに格納されたjava.securityセキュリティ・プロパティ・ファイル内でSun PKCS#11プロバイダが構成されている場合、keytoolとjarsignerはPKCS#11トークンに基づいて動作できます。次のオプションを指定します。

        o   -keystore NONE

        o   -storetype PKCS11
    たとえば、次のコマンドは、構成されたPKCS#11トークンの内容を一覧表示します。

       jarsigner -keystore NONE -storetype PKCS11 -list

    -storetype storetype
        インスタンスを生成するキーストアのタイプを指定します。デフォルトのキーストア・タイプは、セキュリティ・プロパティ・ファイル内のkeystore.typeプロパティの値で指定されたタイプです。この値は、java.security.KeyStoreのstatic getDefaultTypeメソッドによって返されます。
        -storepassオプションを使用してPCKS#11トークンのPINを指定することもできます。何も指定しなかった場合、keytoolとjarsignerはユーザーにトークンPINの入力を求めます。トークンに保護された認証パス(専用のPINパッドや生体読取り機など)がある場合、-protectedオプションを指定する必要がありますが、パスワード・オプションは指定できません。

    -storepass[:env | :file] argument
        キーストアにアクセスするのに必要なパスワードを指定します。これが必要なのは、JARファイルに署名を付けるときのみです(検証するときには不要です)。その場合、-storepassオプションをコマンドラインで指定しないと、パスワードの入力を求められます。
        修飾子envまたはfileが指定されていない場合、パスワードの値はargumentになります。それ以外の場合、パスワードは次のようにして取得されます。

        o   env: argumentという名前の環境変数からパスワードを取得します。

        o   file: argumentという名前のファイルからパスワードを取得します。
    注意: テストを目的とする場合、またはセキュリティ保護されたシステムを使用している場合以外は、コマンドラインやスクリプトでパスワードを指定しないでください。

    -keypass[:env | :file] argument
        コマンドラインで指定された別名に対応するキーストア・エントリの秘密鍵を保護するのに使用するパスワードを指定します。jarsignerを使用してJARファイルに署名を付けるときは、パスワードが必要です。コマンドラインでパスワードが指定されておらず、必要なパスワードがストアのパスワードと異なる場合は、パスワードの入力を求められます。
        修飾子envまたはfileが指定されていない場合、パスワードの値はargumentになります。それ以外の場合、パスワードは次のようにして取得されます。

        o   env: argumentという名前の環境変数からパスワードを取得します。

        o   file: argumentという名前のファイルからパスワードを取得します。
    注意: テストを目的とする場合、またはセキュリティ保護されたシステムを使用している場合以外は、コマンドラインやスクリプトでパスワードを指定しないでください。

    -sigfile file
        fileに使用できる文字は「a-zA-Z0-9_-」です。つまり、文字、数字、下線およびハイフンのみを使用できます。注意: .SFおよび.DSAのファイル名では、小文字はすべて大文字に変換されます。
        コマンドラインで-sigfileオプションを指定しなかった場合、.SFファイルと.DSAファイルのベース・ファイル名は、コマンドラインで指定された別名の先頭の8文字をすべて大文字に変換したものになります。別名が8文字未満の場合は、別名がそのまま使用されます。別名の中に、署名ファイル名に使用できない文字が含まれている場合は、該当する文字を下線(_)に置き換えてファイル名が作成されます。

    -sigalg algorithm
        JARファイルの署名に使用する署名アルゴリズムの名前を指定します。
        標準署名アルゴリズム名の一覧は、Java暗号化アーキテクチャの 付録A @
        http://docs.oracle.com/javase/7/docs/technotes/guides/security/crypto/CryptoSpec.html#AppAを参照してください。このアルゴリズムには、JARファイルの署名に使用する秘密鍵との互換性が必要です。このオプションを指定しなかった場合、秘密鍵のタイプに応じてSHA1withDSA、SHA256withRSA、SHA256withECDSAのいずれかが使用されます。指定されたアルゴリズムの実装を提供するプロバイダが静的にインストールされているか、-providerClassオプションを使用してそのようなプロバイダをユーザーが指定する必要があります。そうでない場合、コマンドの実行が失敗します。

    -digestalg algorithm
        JARファイルのエントリをダイジェストする際に使用するメッセージ・ダイジェスト・アルゴリズムの名前を指定します。
        メッセージ・ダイジェスト・アルゴリズム名の一覧は、Java暗号化アーキテクチャの 付録A @
        http://docs.oracle.com/javase/7/docs/technotes/guides/security/crypto/CryptoSpec.html#AppAを参照してください。このオプションを指定しなかった場合、SHA256が使用されます。指定されたアルゴリズムの実装を提供するプロバイダが静的にインストールされているか、-providerClassオプションを使用してそのようなプロバイダをユーザーが指定する必要があります。そうでない場合、コマンドの実行が失敗します。

    -signedjar file
        署名付きJARファイルの名前を指定します。
        コマンドラインで名前を指定しなかった場合は、入力JARファイル(署名の対象となるJARファイル)の名前と同じ名前が使用されます。つまり、入力JARファイルは署名付きJARファイルによって上書きされます。

    -verify
        コマンドラインでこのオプションが指定されている場合は、指定されたJARファイルの署名ではなく検証が行われます。検証が成功すると、「jarが検証されました。」というメッセージが表示されます。署名されていないJARファイル、またはサポートされていないアルゴリズム(RSAプロバイダのインストールを終了していない場合のRSAなど)を使用して署名されたJARファイルを検証しようとすると、「jarは署名されていません。(署名が見つからないか、構文解析できません)」というメッセージが表示されます。
        署名付きJARファイルは、jarsignerまたはJDK 1.1のjavakeyツールのどちらかまたは両方を使用して検証できます。
        検証の詳細は、JARファイルの検証を参照してください。

    -certs
        コマンドラインで、-verifyおよび-verboseオプションとともにこのオプションを指定した場合、JARファイルの各署名者の証明書情報が出力に含まれます。この情報には次のものが含まれます。

        o   署名者の公開鍵を証明する(.DSAファイルに格納された)証明書タイプの名前

        o   証明書がX.509証明書(つまり、java.security.cert.X509Certificateのインスタンス)である場合は、署名者の識別名
    キーストアの確認も行われます。コマンドラインでキーストアの値が指定されていない場合、デフォルトのキーストア・ファイルがあれば、検査されます。署名者の公開鍵の証明書がキーストア内のエントリと一致した場合は、次の情報も表示されます。

        o   署名者に該当するキーストア・エントリの別名。この別名は括弧で囲まれます。ただし、キーストアではなくJDK 1.1のアイデンティティ・データベースに由来する署名者の場合は、括弧ではなく大括弧で囲まれます。

    -certchain file
        コマンドラインで指定した別名で決まるキーストア・エントリの秘密鍵に関連付けられた証明書チェーンが完全でない場合に、使用する証明書チェーンを指定します。そのような状態になる可能性があるのは、キーストアがハードウェア・トークン上に格納されているが、そこには証明書チェーンの全体を保持できる領域が存在していないような場合です。このファイルは一連のX.509証明書が順に連結されたもの、PKCS#7形式の単一データ・ブロックのいずれかとなり、そのエンコーディング形式はバイナリ・エンコーディング形式、Internet RFC 1421標準で規定される印刷可能エンコーディング形式(BASE64エンコーディングとも呼ばれる)のいずれかになります。

    -verbose
        コマンドラインでこのオプションが指定されている場合、jarsignerは「冗長」モードで動作し、JARの署名または検証の進行状況に関する追加情報を出力します。

    -internalsf
        以前は、JARファイルの署名時に生成された.DSA(署名ブロック)ファイルの中に、生成された.SFファイル(署名ファイル)の完全なコピーが符号化された形で含まれていました。この動作は変更されました。現在では、出力JARファイル全体のサイズを小さくするために、デフォルトでは.SFファイルのコピーが.DSAファイルに含まれないようになっています。ただし、-internalsfオプションをコマンドラインで指定すると、以前と同じように動作します。このオプションは、テストを行う場合には便利ですが、それ以外には使用しないでください。このオプションを使用すると、有益な最適化が行われなくなります。

    -sectionsonly
        コマンドラインでこのオプションが指定されている場合、JARファイルの署名時に生成される.SFファイル(署名ファイル)には、マニフェスト・ファイル全体のハッシュを含むヘッダーは含まれません。この場合、.SFファイルに含まれるのは、JARファイル内の各ソース・ファイルに関する情報およびハッシュのみです。詳細は、署名(.SF)ファイルを参照してください。
        デフォルトでは、最適化のために、このヘッダーが追加されます。ヘッダーが存在する場合は、JARファイルの検証時に、まずヘッダー内のハッシュが、マニフェスト・ファイル全体のハッシュと実際に一致するかどうかが確認されます。一致する場合、検証は次の手順に進みます。ハッシュが一致しない場合は、効率的には劣る方法を使用して検証する必要があります。具体的には、.SFファイル内の各ソース・ファイル情報セクションのハッシュが、マニフェスト・ファイル内の対応するセクションのハッシュと一致するかどうかが確認されます。
        詳細は、JARファイルの検証を参照してください。
        このオプションは、テストを行う場合には便利ですが、それ以外には使用しないでください。このオプションを使用すると、有益な最適化が行われなくなります。

    -protected
        trueまたはfalseのいずれか。専用PINリーダーなどの保護された認証パスを介してパスワードを指定する必要がある場合には、この値にtrueを指定してください。

    -providerClass provider-class-name
        サービス・プロバイダがセキュリティ・プロパティ・ファイル(java.security)のリストに入っていないときに、暗号化サービス・プロバイダのマスター・クラス・ファイルの名前を指定するために使用します。
        -providerArg ConfigFilePathオプションと組み合せて使用します。keytoolとjarsignerはプロバイダを動的にインストールします(ここで、ConfigFilePathはトークン構成ファイルへのパスです)。セキュリティ・プロパティ・ファイル内でSun PKCS#11プロバイダが構成されていない場合にPKCS#11キーストアを一覧表示するコマンドの例を次に示します。

        jarsigner -keystore NONE -storetype PKCS11 \
                  -providerClass sun.security.pkcs11.SunPKCS11 \
                  -providerArg /foo/bar/token.config \
                  -list

    -providerName providerName
        java.securityセキュリティ・プロパティ・ファイル内で2つ以上のプロバイダが構成されている場合、-providerNameオプションを使用して特定のプロバイダ・インスタンスを選択できます。このオプションの引数は、プロバイダの名前です。
        Sun PKCS#11プロバイダの場合、providerNameはSunPKCS11-TokenNameという形式になります。ここでTokenNameは、プロバイダ・インスタンスが構成された名前の接尾辞です。詳細は 構成属性の表 @
        http://docs.oracle.com/javase/7/docs/technotes/guides/security/p11guide.html#ATTRSを参照してください。たとえば、次のコマンドは、名前接尾辞SmartCardのPKCS#11キーストア・プロバイダ・インスタンスの内容をリストします。

        jarsigner -keystore NONE -storetype PKCS11 \
                -providerName SunPKCS11-SmartCard \
                -list

    -Jjavaoption
        指定されたjavaoption文字列をJavaインタプリタに直接渡します。(jarsignerは、実際にはJavaインタプリタに対する「ラッパー」です。)このオプションには、空白を含めることはできません。このオプションは、実行環境またはメモリー使用を調整する場合に便利です。指定できるインタプリタ・オプションを一覧表示するには、コマンドラインでjava -hまたはjava -Xと入力してください。

    -tsa url
        「-tsa http://example.tsa.url」がJARファイルの署名時にコマンドラインにある場合、署名のタイムスタンプが生成されます。URLhttp://example.tsa.urlは、TSA(Time Stamping Authority)の場所を示しています。これは、-tsacertオプションで検出されたURLをオーバーライドします。-tsaオプションでは、TSAの公開鍵証明書をキーストアに配置する必要はありません。
        タイムスタンプを生成するために、jarsignerは、 RFC 3161 @
        http://www.ietf.org/rfc/rfc3161.txtで定義されているタイムスタンプ・プロトコル(TSP)を使用してTSAと通信します。成功すると、TSAから返されたタイムスタンプ・トークンは署名ブロック・ファイルの署名とともに保存されます。

    -tsacert alias
        「-tsacert alias」がJARファイルの署名時にコマンドラインにある場合、署名のタイムスタンプが生成されます。aliasは、キーストア内の現在有効なTSAの公開鍵証明書を示しています。エントリの証明書で、TSAの場所を特定するURLを含むSubject Information Access拡張機能が確認されます。
        -tsacertを使用した場合は、TSAの公開鍵証明書がキーストアに配置されている必要があります。

    -altsigner class
        代替署名機構を使用することを指定します。完全修飾クラス名で、com.sun.jarsigner.ContentSigner抽象クラスを拡張するクラス・ファイルを指定します。このクラス・ファイルへのパスは、-altsignerpathオプションによって定義されます。-altsignerオプションが使用されると、jarsignerは、指定されたクラスが提供する署名機構を使用します。それ以外の場合、jarsignerはデフォルトの署名機構を使用します。
        たとえば、com.sun.sun.jarsigner.AuthSignerという名前のクラスが提供する署名機構を使用するには、jarsignerで「-altsigner com.sun.jarsigner.AuthSigner」というオプションを使用します。

    -altsignerpath classpathlist
        クラス・ファイル(クラス・ファイル名は前述の-altsignerオプションで指定します)およびそのクラスが依存するすべてのJARファイルへのパスを指定します。クラス・ファイルがJARファイル内にある場合、以下の例のようにJARファイルへのパスが指定されます。
        絶対パスまたは現在のディレクトリからの相対パスを指定できます。classpathlistに複数のパスやJARファイルが含まれる場合には、それらをSolarisの場合はコロン(:)で、Windowsの場合はセミコロン(;)でそれぞれ区切ります。目的のクラスがすでに検索パス内にある場合は、このオプションは不要です。
        クラス・ファイルを含む、JARファイルへのパスを指定する例を示します。

        -altsignerpath /home/user/lib/authsigner.jar

        JARファイル名が含まれていることに注意してください。
        クラス・ファイルを含むJARファイルへのパスを指定する例を示します。

        -altsignerpath /home/user/classes/com/sun/tools/jarsigner/

        JARファイル名は含まれていないことに留意してください。

    -strict
        署名または検証処理中に、なんらかの警告メッセージが表示される場合があります。コマンドラインでこのオプションを指定すると、見つかった警告メッセージがツールの終了コードに反映されます。詳細は、警告の項を参照してください。

    -verbose:sub-options
        検証処理の場合、表示する情報の量を決定するサブオプションを-verboseオプションに指定できます。-certsも指定した場合、デフォルト・モード(またはサブオプションall)では、エントリが処理されるたびにそれらの各エントリが表示され、その後にJARファイルの各署名者の証明書情報も表示されます。-certsと-verbose:groupedサブオプションを指定した場合、同じ署名者情報を持つエントリとその証明書情報が、グループ化されて表示されます。-certsと-verbose:summaryサブオプションを指定した場合、同じ署名者情報を持つエントリとその証明書情報がグループ化されて表示されますが、各エントリの詳細が「1つのエントリ(およびそれ以上)」として要約されて表示されます。詳細は、例の項を参照してください。

例

  JARファイルの署名

bundle.jarという名前のJARファイルがあるとします。このファイルに、workingというディレクトリのmystoreというキーストアにあるキーストアの別名がjaneであるユーザーの秘密鍵を使用して、署名を付けるとします。次のコマンドを実行すると、JARファイルに署名を付けてsbundle.jarという署名付きJARファイルを作成できます。

    jarsigner -keystore /working/mystore -storepass <keystore password>
      -keypass <private key password> -signedjar sbundle.jar bundle.jar jane

上のコマンドでは-sigfileが指定されていないため、署名付きJARファイルに格納される.SFファイルと.DSAファイルの名前は、別名からデフォルト名が付けられます。つまり、それらの名前はJANE.SFおよびJANE.DSAになります。

ストアのパスワードと秘密鍵のパスワードの入力を求めるプロンプトを表示する場合は、上のコマンドを短縮して次のように入力できます。

    jarsigner -keystore /working/mystore
      -signedjar sbundle.jar bundle.jar jane

デフォルトのキーストア(ホーム・ディレクトリ内の.keystoreという名前のキーストア)を使用する場合は、次に示すように、キーストアの指定を省略できます。

    jarsigner -signedjar sbundle.jar bundle.jar jane

最後に、入力JARファイル(bundle.jar)を署名付きJARファイルで単純に上書きする場合は、次のように-signedjarオプションを指定する必要はありません。

    jarsigner bundle.jar jane

  署名付きJARファイルの検証

署名付きJARファイルを検証する、つまり署名が有効でJARファイルが改変されていないことを確認するには、次のようなコマンドを入力します。

    jarsigner -verify sbundle.jar

検証が成功すると、

    jar verified.

と表示されます。それ以外の場合は、エラー・メッセージが表示されます。

-verboseオプションを使用すると、より多くの情報が表示されます。-verboseオプション付きでjarsignerを使用する例とその出力例を、次に示します。

    jarsigner -verify -verbose sbundle.jar
           198 Fri Sep 26 16:14:06 PDT 1997 META-INF/MANIFEST.MF
           199 Fri Sep 26 16:22:10 PDT 1997 META-INF/JANE.SF
          1013 Fri Sep 26 16:22:10 PDT 1997 META-INF/JANE.DSA
    smk   2752 Fri Sep 26 16:12:30 PDT 1997 AclEx.class
    smk    849 Fri Sep 26 16:12:46 PDT 1997 test.class
      s = signature was verified
      m = entry is listed in manifest
      k = at least one certificate was found in keystore
    jar verified.

  証明書情報を使用した検証

検証時に-verifyと-verboseオプションに加えて-certsオプションを指定した場合は、JARファイルの各署名者の証明書情報も出力されます。これには、証明書タイプ、署名者識別名情報(X.509証明書の場合のみ)、およびJARファイルの公開鍵の証明書がキーストア・エントリの証明書に一致した場合には、括弧で囲まれた署名者のキーストア別名が含まれます。次に示します。

    jarsigner -keystore /working/mystore -verify -verbose -certs myTest.jar
           198 Fri Sep 26 16:14:06 PDT 1997 META-INF/MANIFEST.MF
           199 Fri Sep 26 16:22:10 PDT 1997 META-INF/JANE.SF
          1013 Fri Sep 26 16:22:10 PDT 1997 META-INF/JANE.DSA
           208 Fri Sep 26 16:23:30 PDT 1997 META-INF/JAVATEST.SF
          1087 Fri Sep 26 16:23:30 PDT 1997 META-INF/JAVATEST.DSA
    smk   2752 Fri Sep 26 16:12:30 PDT 1997 Tst.class
      X.509, CN=Test Group, OU=Java Software, O=Sun Microsystems, L=CUP, S=CA, C=US (javatest)
      X.509, CN=Jane Smith, OU=Java Software, O=Sun, L=cup, S=ca, C=us (jane)
      s = signature was verified
      m = entry is listed in manifest
      k = at least one certificate was found in keystore
    jar verified.

署名者の証明書がX.509証明書でない場合は、識別名情報は表示されません。その場合には、証明書のタイプと別名のみが表示されます。たとえば、証明書がPGP証明書で、別名がbobの場合は、次のように表示されます。

      PGP, (bob)

  アイデンティティ・データベースの署名者を含むJARファイルの検証

JARファイルが、JDK 1.1のjavakeyツールを使用して署名されている場合、署名者はアイデンティティ・データベース内の別名です。この場合、検証の出力には「i」という記号が含まれます。JARファイルが、アイデンティティ・データベース内の別名とキーストア内の別名の両方によって署名されている場合は、「k」と「i」の両方が表示されます。

-certsオプションを指定した場合、キーストアの別名は括弧で囲まれるのに対し、アイデンティティ・データベース内の別名は角括弧で囲まれて表示されます。次に例を示します。

    jarsigner -keystore /working/mystore -verify -verbose -certs writeFile.jar
           198 Fri Sep 26 16:14:06 PDT 1997 META-INF/MANIFEST.MF
           199 Fri Sep 26 16:22:10 PDT 1997 META-INF/JANE.SF
          1013 Fri Sep 26 16:22:10 PDT 1997 META-INF/JANE.DSA
           199 Fri Sep 27 12:22:30 PDT 1997 META-INF/DUKE.SF
          1013 Fri Sep 27 12:22:30 PDT 1997 META-INF/DUKE.DSA
   smki   2752 Fri Sep 26 16:12:30 PDT 1997 writeFile.html
      X.509, CN=Jane Smith, OU=Java Software, O=Sun, L=cup, S=ca, C=us (jane)
      X.509, CN=Duke, OU=Java Software, O=Sun, L=cup, S=ca, C=us [duke]
      s = signature was verified
      m = entry is listed in manifest
      k = at least one certificate was found in keystore
      i = at least one certificate was found in identity scope
    jar verified.

別名dukeは角括弧で囲まれているので、この別名はキーストアの別名ではなく、アイデンティティ・データベースの別名です。

警告

署名/検証処理中には、jarsignerから様々な警告が表示される可能性があります。これらの警告コードは次のように定義されています。

         hasExpiringCert         2
             This jar contains entries whose signer certificate will expire within six months
         hasExpiredCert          4
             This jar contains entries whose signer certificate has expired.
         notYetValidCert         4
             This jar contains entries whose signer certificate is not yet valid.
         chainNotValidated       4
             This jar contains entries whose certificate chain cannot be correctly validated.
         badKeyUsage             8
             This jar contains entries whose signer certificate's KeyUsage extension doesn't allow code signing.
         badExtendedKeyUsage     8
             This jar contains entries whose signer certificate's ExtendedKeyUsage extension
             doesn't allow code signing.
         badNetscapeCertType     8
             This jar contains entries whose signer certificate's NetscapeCertType extension
             doesn't allow code signing.
         hasUnsignedEntry        16
             This jar contains unsigned entries which have not been integrity-checked.
         notSignedByAlias        32
             This jar contains signed entries which are not signed by the specified alias(es)
         aliasNotInStore         32
             This jar contains signed entries that are not signed by alias in this keystore

-strictオプションを指定した場合、検出された警告のORを取った値がツールの終了コードとして返されます。たとえば、エントリの署名に使用される証明書が期限切れになっていて、かつその証明書のkeyUsage拡張でファイルの署名が許可されていない場合、終了コード12(=4+8)が返されます。

注意: UNIXで使用可能な値は0から255のみであるため、終了コードは再利用されます。いずれにしても、署名/検証処理が失敗すると、次の終了コードが返されます。

failure                 1

  JDK 1.1との互換性

keytoolツールとjarsignerツールは、JDK 1.1で提供されていたjavakeyツールを完全に置き換えるものです。これらの新しいツールは、キーストアと秘密鍵をパスワードで保護する機能や、署名の生成に加えて署名を検証する機能など、javakeyより多くのを機能を備えています。

新しいキーストア・アーキテクチャは、javakeyが作成して管理していたアイデンティティ・データベースに代わるものです。キーストア形式と、1.1のjavakeyが使用していたデータベース形式との間には下位互換性はありません。ただし、次のことは可能です。

    o   keytoolの-identitydbコマンドを使用すると、アイデンティティ・データベースの情報をキーストアにインポートできます。

    o   jarsignerは、以前にjavakeyを使用して署名されたJARファイルに署名を付けることができます。

    o   jarsignerは、javakeyを使用して署名されたJARファイルを検証できます。したがって、Java 2 SDKのキーストアではなくJDK 1.1のアイデンティティ・データベースからの署名者別名を認識し、これらを対象に処理を行うことができます。

次の表は、JDK 1.1.xで署名されたJARファイルが、Java 2プラットフォームでどのように扱われるかを示しています。

注意:

    1.  ポリシー・ファイル内にアイデンティティ/別名についての言及がある場合、それをキーストアにインポートして、付与された特権にポリシー・ファイルの設定が反映されるようにする必要があります。

    2.  ポリシー・ファイル/キーストアの組合せは、アイデンティティ・データベース内の信頼できるアイデンティティよりも優先されます。

    3.  Java 2プラットフォームでは、信頼できないアイデンティティは無視されます。

    4.  Java 2 SDKキーストアにインポートできるのは、信頼できるアイデンティティのみです。

関連項目

    o   jar(1)ツールのドキュメント

    o   keytool(1)ツールのドキュメント

    o   jarsignerツールの使用例は、 Javaチュートリアル @
        http://docs.oracle.com/javase/tutorial/index.htmlの セキュリティ @
        http://docs.oracle.com/javase/tutorial/security/index.htmlを参照