访问jar文件时的安全问题

Question

最近我们进行了一次安全审计，发现我们系统中存在一个漏洞。 我们有一个自定义的，我们使用的服务资源（HTML帮助文件，图像，jar文件）

我们的应用程序是Java Webstart的一个，在服务器上生成的JNLP并在浏览器中加载时非常简单的Web服务器它会调用我们的Web服务器来下载应用程序所需的jar文件。最后，当应用程序启动时，会向用户提示登录屏幕。

但是您可以输入浏览器并能够下载jnlp在场景后面执行的任何jar包，并且这个事实被视为安全漏洞。主要担心的是未经身份验证的用户可以访问我们的jar文件而无需拥有有效的帐户。

我的问题是：1。 是安全漏洞，要求合理的，因为jar文件需要在登录屏幕 2.之前到达客户端机器如果担心是有道理的我怎么能保证对应用的访问罐子文件？

谢谢 - 马吕斯

Answer 1

不知道你最终要保护，我不知道是否露出JNLP资源是一个安全漏洞。但是，如果您绝对需要限制对通过身份验证的用户的JNLP资源访问权限，我相信您可以使用相互身份验证通过SSL执行整个Java Web Start会话。当然，这意味着双方的证书交换和安装。