共同设计SWF？

| AIR允许使用Loader.LoadBytes（）注入代码这允许将远程插件下载为swf文件，从而可以完全访问AIR应用程序有权访问的所有内容。这带来了安全风险，因此希望对SWF进行数字签名。做到这一点并验证代码签名的最佳方法是什么？我知道as3corelib具有一些加密功能，也具有X.509证书的功能-但是我没有找到解释如何使用它的资源。另外，也许可以通过某种“官方”方式对SWF进行代码签名？

已邀请:

1 个回复

臀夯脖锑

一种可靠的方法是使用公钥加密，它类似于以下内容：您将需要非对称加密算法（例如RSA）和哈希算法（例如SHA，MD5）。生成公私钥对。使用哈希算法生成并校验数据。使用加密算法使用私钥对校验和进行加密。这将成为“签名”。将数据和签名一起发送给客户端。使用公钥在客户端上解密签名以获得原始校验和。根据客户端上的数据生成校验和。比较校验和。如果它们匹配，那么您就知道数据来自您，没有任何更改。如果它们不匹配，那么您知道数据是在您发送或其他人发送后更改的。参见http://en.wikipedia.org/wiki/Public-key_cryptography 如果攻击者能够拦截连接并修改原始客户端SWF文件并更改公钥或完全删除安全性机制，则可以绕过此安全性。使用TLS或SSL防止攻击者拦截数据。 x.509证书仅是与某些元数据捆绑在一起的公共密钥。该标准还指定了一种依靠证书颁发机构（CA）来验证证书的机制（请参阅http://en.wikipedia.org/wiki/X.509）。 AS3Crypto库（除其他外）提供RSA，MD5的实现和x.509解析器（请参见http://code.google.com/p/as3crypto/）。这是一些代码。签名过程需要计算数据的哈希值，然后使用私钥对其进行签名以生成签名，例如：

var rsa:RSAKey;
var md5:MD5;
var data:ByteArray = getSWFBytes(); 
var signature:ByteArray = new ByteArray();
var originalHash:ByteArray;


// read private key
rsa = PEM.readRSAPrivateKey(private_key);

// create the checksum of the original data
md5 = new MD5();
originalHash = md5.hash(original);

// encrypt the data using the private key
rsa.sign(data, signature, original.length);

数据和签名发送到客户端。客户端使用存储在证书中的公钥解密签名，并将其与计算出的数据哈希进行比较，例如：

var rsa:RSAKey;
var md5:MD5;
var data:ByteArray = getSWFBytes(); 
var signature:ByteArray = new ByteArray();
var decryptedHash:ByteArray = new ByteArray();
var clientHash:ByteArray;

// load the certificate
var cert:X509Certificate = new X509Certificate(public_cert);

// get the public key from the cert
rsa = cert.getPublicKey();

// decrypt the signature with the public key
rsa.verify(signature, decryptedHash, encrypted.length);

// create a hash of the data
md5 = new MD5();
clientHash = md5.hash(data);

// compare the hashes
// isEqual compares the bytes in the input byte arrays, it returns true only of all bytes in both arrays match
if (isEqual(clientHash, decryptedHash))
    trace(\"signature valid\");
else
    trace(\"signature invalid\")

您可以像下面这样检查证书是否已签名：

var store:X509CertificateCollection = new MozillaRootCertificates();
var cert:X509Certificate = new X509Certificate(public_cert);
var isValid:Boolean = cert.isSigned(store, store);

您可以像这样加载原始SWF字节：

var loader:URLLoader = new URLLoader();
loader.dataFormat = URLLoaderDataFormat.BINARY;
loader.addEventListener(Event.COMPLETE, completeHandler);
loader.load(new URLRequest(url_of_swf_to_load));

示例x.509私钥（通常在您申请证书时创建）：

证书示例：

这两个示例均来自as3crypto。

要回复问题请先登录或注册

共同设计SWF？

1 个回复

发起人

code_signing

actionscript

air

问题状态

共同设计SWF？

与内容相关的链接

1 个回复

发起人

code_signing

actionscript

air

问题状态