是SignedObject中安全交付给客户端应用程序

Question

SignedObject (Serializable object, PrivateKey signingKey, Signature signingEngine) 

它是安全的序列化和实现这一目标的客户端应用程序？有没有办法通过反思来获得PrivateKey？

我想用这个对象来保存数字签名以及签名的数据。

Answer 1

的序列化对象只包括对象本身和签名（与用于签名目的的算法），如前所述这里：

http://java.sun.com/j2se/1.4.2/docs/api/serialized-form.html#java.security.SignedObject

结果，它是安全的周围通过这些。不仅可以通过该对象单独确定私钥，而且它也不能在一路上被篡改，所以对象将保持可信（只要客户端验证它）。

Answer 2

可以FINDE更多关于此Java安全：

http://java.sun.com/javase/6/docs/technotes/guides/security/crypto/CryptoSpec.html