java中的安全模型(沙箱機制)

本博文轉載自java中的安全模型(沙箱機制)

本博文整合自:Java安全——了解Java沙箱、Java 安全模型介紹、Java的沙箱機制原理入門

沙箱包含的要素:

1. 權限

權限是指允許代碼執行的操作。包含三部分：權限類型、權限名和允許的操作。權限類型是實作了權限的Java類名，是必需的。權限名一般就是對哪類資源進行操作的資源定位（比如一個檔案名或者通配符、網絡主機等），一般基于權限類型來設定，有的比如java.security.AllPermission不需要權限名。允許的操作也和權限類型對應，指定了對目标可以執行的操作行為，比如讀、寫等。如下面的例子：

permission java.security.AllPermission;    //權限類型
permission java.lang.RuntimePermission "stopThread";    //權限類型+權限名
permission java.io.FilePermission "/tmp/foo" "read";    //權限類型+權限名+允許的操作

标準權限:

說明	類型	權限名	操作	例子
檔案權限	java.io.FilePermission	檔案名（平台依賴）	讀、寫、删除、執行	允許所有問價的讀寫删除執行：permission java.io.FilePermission "<< ALL FILES>>", "read,write,delete,execute";。允許對使用者主目錄的讀：permission java.io.FilePermission "${user.home}/-", "read";
套接字權限	java.net.SocketPermission	主機名:端口	接收、監聽、連接配接、解析	允許實作所有套接字操作：permission java.net.SocketPermission ":1-", "accept,listen,connect,resolve";。允許建立到特定網站的連接配接：permission java.net.SocketPermission ".abc.com:1-", "connect,resolve";
屬性權限	java.util.PropertyPermission	需要通路的jvm屬性名	讀、寫	讀标準Java屬性：permission java.util.PropertyPermission "java.", "read";。在sdo包中建立屬性：permission java.util.PropertyPermission "sdo.", "read,write";
運作時權限	java.lang.RuntimePermission	多種權限名[見附錄A]	無	允許代碼初始化列印任務：permission java.lang.RuntimePermission "queuePrintJob"
AWT權限	java.awt.AWTPermission	6種權限名[見附錄B]		允許代碼充分使用robot類：permission java.awt.AWTPermission "createRobot"; permission java.awt.AWTPermission "readDisplayPixels";
網絡權限	java.net.NetPermission	3種權限名[見附錄C]		允許安裝流處理器：permission java.net.NetPermission "specifyStreamHandler";。
安全權限	java.security.SecurityPermission	多種權限名[見附錄D]
序列化權限	java.io.SerializablePermission	2種權限名[見附錄E]
反射權限	java.lang.reflect.ReflectPermission	suppressAccessChecks（允許利用反射檢查任意類的私有變量）
完全權限	java.security.AllPermission	無（擁有執行任何操作的權限）

2. 代碼源

代碼源是類所在的位置，表示為以URL位址。

3. 保護域

保護域用來組合代碼源和權限，這是沙箱的基本概念。保護域就在于聲明了比如由代碼A可以做權限B這樣的事情。

4. 政策檔案

政策檔案是控制沙箱的管理要素，一個政策檔案包含一個或多個保護域的項。政策檔案完成了代碼權限的指定任務，政策檔案包括全局和使用者專屬兩種。

為了管理沙箱，政策檔案我認為是最重要的内容。JVM可以使用多個政策檔案，不過一般兩個最常用。一個是全局的：$JREHOME/lib/security/java.policy，作用于JVM的所有執行個體。另一個是使用者自己的，可以存儲到使用者的主目錄下。政策檔案可以使用jdk自帶的policytool工具編輯。

預設的政策檔案我們先參考一下：

// Standard extensions get all permissions by default
grant codeBase "file:${{java.ext.dirs}}/*" {
        permission java.security.AllPermission;
};
// default permissions granted to all domains
grant {
        // Allows any thread to stop itself using the java.lang.Thread.stop()
        // method that takes no argument.
        // Note that this permission is granted by default only to remain
        // backwards compatible.
        // It is strongly recommended that you either remove this permission
        // from this policy file or further restrict it to code sources
        // that you specify, because Thread.stop() is potentially unsafe.
        // See the API specification of java.lang.Thread.stop() for more
        // information.
        permission java.lang.RuntimePermission "stopThread";
        // allows anyone to listen on dynamic ports
        permission java.net.SocketPermission "localhost:0", "listen";
        // permission for standard RMI registry port
        permission java.net.SocketPermission "localhost:1099", "listen";
        // "standard" properies that can be read by anyone
        permission java.util.PropertyPermission "java.version", "read";
        permission java.util.PropertyPermission "java.vendor", "read";
        permission java.util.PropertyPermission "java.vendor.url", "read";
        permission java.util.PropertyPermission "java.class.version", "read";
        permission java.util.PropertyPermission "os.name", "read";
        permission java.util.PropertyPermission "os.version", "read";
        permission java.util.PropertyPermission "os.arch", "read";
        permission java.util.PropertyPermission "file.separator", "read";
        permission java.util.PropertyPermission "path.separator", "read";
        permission java.util.PropertyPermission "line.separator", "read";
        permission java.util.PropertyPermission "java.specification.version", "read";
        permission java.util.PropertyPermission "java.specification.vendor", "read";
        permission java.util.PropertyPermission "java.specification.name", "read";
        permission java.util.PropertyPermission "java.vm.specification.version", "read";
        permission java.util.PropertyPermission "java.vm.specification.vendor", "read";
        permission java.util.PropertyPermission "java.vm.specification.name", "read";
        permission java.util.PropertyPermission "java.vm.version", "read";
        permission java.util.PropertyPermission "java.vm.vendor", "read";
        permission java.util.PropertyPermission "java.vm.name", "read";
};

政策檔案的内容格式就是這樣，grant授權允許操作某個權限。這個預設的政策檔案就指明了jdk擴充包可以有全部權限，允許代碼stop線程，允許監聽1099端口(1099号端口，是預設的伺服器端RMI監聽端口)等等。

另一個很重要的是參數檔案——java.security，這個檔案和政策檔案在同一個目錄下。這個參數檔案定義了沙箱的一些參數。比如預設的沙箱檔案是這樣的（截取部分）：

# The default is to have a single system-wide policy file,
# and a policy file in the user's home directory.
policy.url.1=file:${java.home}/lib/security/java.policy
policy.url.2=file:${user.home}/.java.policy
# whether or not we expand properties in the policy file
# if this is set to false, properties (${...}) will not be expanded in policy
# files.
policy.expandProperties=true
# whether or not we allow an extra policy to be passed on the command line
# with -Djava.security.policy=somefile. Comment out this line to disable
# this feature.
policy.allowSystemProperty=true

policy.url.*這個屬性指明了使用的政策檔案，如上文所述，預設的兩個位置就在這裡配置，使用者可以自行更改順序和存儲位置。而policy.allowSystemProperty指明是否允許使用者自行通過指令行指定policy檔案。

5. 密鑰庫

儲存密鑰證書的地方。

預設沙箱

通過Java指令行啟動的Java應用程式，預設不啟用沙箱。要想啟用沙箱，啟動指令需要做如下形式的變更：

java -Djava.security.manager <other args>

沙箱啟動後，安全管理器會使用兩個預設的政策檔案來确定沙箱啟動參數。當然也可以通過指令指定：

java -Djava.security.policy=<URL>

如果要求啟動時隻遵循一個政策檔案，那麼啟動參數要加個等号，如下：

java -Djava.security.policy==<URL>

如何使用

1. 限制讀檔案

這個例子很簡單，首先寫一個r.txt檔案，裡面的内容是“abcd”，再寫個程式如下讀取這個r.txt。

import java.io.File;
import java.io.FileInputStream;
import java.io.FileNotFoundException;
import java.io.IOException;
import java.io.InputStream;
public class PolicyTest {
    public static void file() {
        File f = new File("D:\\github\\CDLib\\src\\main\\resources\\security\\r.txt");
        InputStream is;
        try {
            is = new FileInputStream(f);
            byte[] content = new byte[1024];
            while (is.read(content) != -1) {
                System.out.println(new String(content));
            }
        } catch (FileNotFoundException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        } catch (IOException e) {
            // TODO Auto-generated catch block
            e.printStackTrace();
        }
    }
    public static void main(String[] args) {
        // test read file.
        file();
    }
}

發現輸出是abcd。

接下來修改java啟動參數，加入-Djava.security.manager，啟動了安全沙箱。再運作，輸出變成了異常

Exception in thread "main" java.security.AccessControlException: access denied ("java.io.FilePermission" "D:\github\CDLib\src\main\resources\security\r.txt" "read") 
at java.security.AccessControlContext.checkPermission(Unknown Source) 
at java.security.AccessController.checkPermission(Unknown Source) 
at java.lang.SecurityManager.checkPermission(Unknown Source) 
at java.lang.SecurityManager.checkRead(Unknown Source) 
at java.io.FileInputStream.(Unknown Source) 
at com.taobao.cd.security.PolicyTest.main(PolicyTest.java:15)

這裡已經提示了，通路被拒絕，說明了沙箱啟動，同時也驗證了預設沙箱——禁止本地檔案通路。

再來，我們建構一個custom.policy檔案如下：

grant {
    permission java.io.FilePermission "D:\\github\\CDLib\\src\\main\\resources\\security\\*", "read";
};

這裡建構了一條安全政策——允許讀取security目錄下的檔案。

-Djava.security.policy=D:\\github\\CDLib\\src\\main\\resources\\security\\custom.policy

附錄

A

	用途說明
accessClassInPackage.	允許代碼通路指定包中的類
accessDeclaredMembers	允許代碼使用反射通路其他類中私有或保護的成員
createClassLoader	允許代碼執行個體化類加載器
createSecurityManager	允許代碼執行個體化安全管理器，它将允許程式化的實作對沙箱的控制
defineClassInPackage.	允許代碼在指定包中定義類
exitVM	允許代碼關閉整個虛拟機
getClassLoader	允許代碼通路類加載器以獲得某個特定的類
getProtectionDomain	允許代碼通路保護域對象以獲得某個特定類
loadlibrary.	允許代碼裝載指定類庫
modifyThread	允許代碼調整指定的線程參數
modifyThreadGroup	允許代碼調整指定的線程組參數
queuePrintJob	允許代碼初始化一個列印任務
readFileDescriptor	允許代碼讀檔案描述符（相應的檔案是由其他保護域中的代碼打開的）
setContextClassLoader	允許代碼為某線程設定上下文類加載器
setFactory	允許代碼建立套接字工廠
setIO	允許代碼重定向System.in、System.out或System.err輸入輸出流
setSecurityManager	允許代碼設定安全管理器
stopThread	允許代碼調用線程類的stop()方法
writeFileDescriptor	允許代碼寫檔案描述符

B


accessClipboard	允許通路系統的全局剪貼闆
accessEventQueue	允許直接通路事件隊列
createRobot	允許代碼建立AWT的Robot類
listenToAllAWTEvents	允許代碼直接監聽事件分發
readDisplayPixels	允許AWT Robot讀顯示屏上的像素
showWindowWithoutWarningBanner	允許建立無标題欄的視窗

C


specifyStreamHandler	允許在URL類中安裝新的流處理器
setDefaultAuthenticator	可以安裝鑒别類
requestPassworkAuthentication	可以完成鑒别

D


addIdentityCertificate	為Identity增加一個證書
clearProviderProperties.	針對指定的提供者，删除所有屬性
createAccessControlContext	允許建立一個存取控制器的上下文環境
getDomainCombiner	允許撤銷保護域
getPolicy	檢索可以實作沙箱政策的類
getProperty.	讀取指定的安全屬性
getSignerPrivateKey	由Signer對象擷取私有密鑰
insertProvider.	将指定的提供者添加到響應的安全提供者組中
loadProviderProperties.	裝載指定的提供者的屬性
printIdentity	列印Identity類内容
putAllProviderProperties.	更新指定的提供者的屬性
putProviderProperty.	為指定的提供者增加一個屬性
removeIdentityCertificate	取消Identity對象的證書
removeProvider.	将指定的提供者從相應的安全提供者組中删除
removeProviderProperty.	删除指定的安全提供者的某個屬性
setIdentityInfo	為某個Identity對象設定資訊串
setIdentityPublicKey	為某個Identity對象設定公鑰
setPolicy	設定可以實作沙箱政策的類
setProperty.	設定指定的安全屬性
setSignerKeyPair	在Signer對象中設定密鑰對
setSystemScope	設定系統所用的IdentityScope

E


enableSubstitution	允許實作ObjectInputStream類的enableResolveObject()方法和ObjectOutputStream類的enableReplaceObject()方法
enableSubclassImplementation	允許ObjectInputStream和ObjectOutputStream建立子類，子類可以覆寫readObject()和writeObject()方法

java中的安全模型(沙箱機制)

相關介紹:

什麼是沙箱？