技術的雑談-JacORBでSSLIOPを試す

WindowsXP sp2
JDK 1.5.0_06
JacORB-2.2.4

目的

JacORB同士のCORBA通信にSSLIOP(IIOP+SSL)を使用してみる。

JacORBの再コンパイル

JacORBのbinary配布ファイルはデフォルトでセキュリティー機能がOFFになっているので、SSLIOPを有効にするには再コンパイルする必要があるらしい。

JacORB-2.2.4-source.zipをダウンロードして展開して、

ant clean
ant

でJacORBを再コンパイルする。
(JacORBを展開したディレクトリ)/lib/jacorb.jarが新しくなっていることを確認する。

CLASSPATH上にIKIAライブラリが存在するか、もしくはJDK1.4.2以上であればSSLIOPが有効なJacORBがビルドされるとの事。
(JDK1.5.0_06を使った限りは再コンパイル時に特に何もしないでJSSEサポートが有効になっているっぽい。)

キーストアの作成

TOP ↑ ↓

一般的なJavaのSSL Socketを使った場合と同じようにキーストアを作ってやる必要がある。

C:\temp>keytool -genkey -alias test -keystore test.ks -storepass password
姓名を入力してください。
  [Unknown]:  Dummy man   【←秘密鍵の持ち主の名前を入力】
組織単位名を入力してください。
  [Unknown]:   【←Enterキーのみ。何か入力してもOK。】
組織名を入力してください。
  [Unknown]:  sample co.ltd.    【←秘密鍵の持ち主の組織名・会社名を入力】
都市名または地域名を入力してください。
  [Unknown]:  Yokohama    【←都市名】
州名または地方名を入力してください。
  [Unknown]:  Kanagawa     【←都道府県名】
この単位に該当する 2 文字の国番号を入力してください。
  [Unknown]:  JP          【←日本ならJP】
CN=Dummy man, OU=Unknown, O=sample co.ltd., L=Yokohama, ST=Kanagawa, C=JP でよろしいですか?
  [no]:  yes              【←yesを入力】

<test> の鍵パスワードを入力してください。
        (キーストアのパスワードと同じ場合は RETURN を押してください):    【←Enterキーのみ】

C:\temp>

これで、C:\temp\test.ksというファイル名でキーストアファイルが作られ、中にtestという名前(alias)で秘密鍵と公開鍵が作られる。
キーストアのアクセスパスワードはpasswordになる。

実験用アプリの用意

TOP ↑ ↓

今回は実験用に簡単なServant/Clientを用意する。
(このページ一番下の添付ファイルJacORB-SSLIOP-Sample01.zip(316))

SSLを使わないでも動くようにしてあるので、まずこれが動くことを確認する。

添付の.zipを自分のPCに展開し、eclipseから既存プロジェクトとしてimportする。
(プロジェクトの作成環境はeclipse3.4、JacORBは「D:\JacORB-2.2.4」にインストールされている事を想定したプロジェクトなので、適宜調整してください。)
.zip内のlibにあるjacorb-2.2.4.jarは再コンパイルしたjacorb.jarをリネームしたものです。

Servant.batを実行し、Servantを起動。
そのままの状態でClient.batに適当な引数を1つつけて実行するとClient側の標準出力に「Hello 【引数】 !!」と表示される。
ただそれだけのサンプルです。
とりあえずこれがマトモに動くことを確認しておく。

このとき、プロジェクトのルートディレクトリに「ior.txt」というファイルができているので、JacORB付属のdiorコマンドで中身を確認しておく。

[ No configuration properties found for configuration jacorb ]
------IOR components-----
TypeId	:	IDL:idl/Sample:1.0
TAG_INTERNET_IOP Profiles:
	Profile Id:  	IIOP Version :  1.2
	Host	:	10.3.93.27
	Port	:	1936
	Object key (URL):      3151816784/%00%157%17%03%15%16%1F%01$5
	Object key (hex):    0x33 31 35 31 38 31 36 37 38 34 2F 00 15 37 17 03 15 16 1F 01 24 35 
	-- Found 1 Tagged Components--
	#0: TAG_ORB_TYPE
		Type: 1245790976 (JacORB)

SSLIOPを有効化するにはORB.init()の引数の中にSSLを有効化するためのパラメータを入れてやらなくてはならない。
もちろんコーディングで引数を作成しても良いが、パラメータが変更になったりキーストアの場所が変更になったときに再コンパイルが必要になってしまうので、ここでは起動引数のString配列と、System.getProperties()のプロパティーをそのままORB.init()に突っ込む。
(ORB.init()は自分の知らないパラメータやプロパティーは華麗に無視するので問題ない。)

JacORBの場合、ORB.init()の引数に「-DORBid=abcd」という値を与えておくと、ORBの初期化の際に「abcd.properties」ファイルの内容を「jacorb.properties」の代わりに使用することができる。
これを利用して同一プログラム内で複数のORBを生成する場合(例：プレーンのORBとSSLIOPのORB)に設定ファイルで分けることができる。
(そもそも、-DORBidの省略時の値が「jacorb」になったいるので、jacorb.propertiesが使用されるというだけの話…。)

Servant.batとClient.batの中に「jaco.bat」が含まれている「rem」でコメントアウトされている行が1行ずつある。
それを切り替えてやることでJava側の再コンパイル無しでORBの挙動を切り替えることができる。

「-DORBid」が含まれている側ではJacORBの設定ファイルとしてsample_ssl_servant_orb.propertiesとsample_ssl_client_org.propertiesをそれぞれ使用するようになる。
これによって設定されたORBはCORBA通信(IIOP)の代わりにSSLIOPを使うようになる。

sample_ssl_servant_orb.propertiesの内容

TOP ↑ ↓

# debug logを標準出力へ
jacorb.log.default.verbosity=4

# SSLを有効化
jacorb.security.support_ssl=on
# SSL Socket Factoryの実装classを指定
jacorb.ssl.socket_factory=org.jacorb.security.ssl.sun_jsse.SSLSocketFactory
# SSL Server Socket Factoryの実装classを指定(ServantなのでServer socketが必要なのは当然)
jacorb.ssl.server_socket_factory=org.jacorb.security.ssl.sun_jsse.SSLServerSocketFactory

# サーバ自身を証明する秘密鍵を持ったキーストアの指定
jacorb.security.keystore=test.ks
# キーストアを開く為のキーストア パスワード
jacorb.security.keystore_password=password

# EstablishTrustInTarget (これらの値は16進数として扱われるので注意)
# 多分、サーバ側の証明書が正しいことを確認し、Client側の認証は不要という意味…だと思われる。
jacorb.security.ssl.server.supported_options=20
jacorb.security.ssl.server.required_options=20

sample_ssl_client_orb.propertiesの内容

TOP ↑ ↓

# debug logを標準出力へ
jacorb.log.default.verbosity=4

# SSLを有効化
jacorb.security.support_ssl=on
# SSL Socket Factoryの実装classを指定
jacorb.ssl.socket_factory=org.jacorb.security.ssl.sun_jsse.SSLSocketFactory

# JSSE キーストアを指定
jacorb.security.keystore=test.ks
# キーストアのアクセスパスワードを設定
jacorb.security.keystore_password=password
# 信頼する署名をキーストアから探す
jacorb.security.jsse.trustees_from_ks=on

# EstablishTrustInTarget (これらの値は16進数として扱われるので注意)
# 多分、サーバ側の証明書が正しいことを確認し、Client側の認証は不要という意味…だと思われる。
jacorb.security.ssl.client.supported_options=20
jacorb.security.ssl.client.required_options=20

SSLでは「サーバ認証」と「クライアント認証」がある。
基本的に「サーバ認証」がONでないSSLというのは聞いたことがない。

サーバ認証とは、サーバが自分自身の証明(=自分が正当なサーバであることを証明する)鍵を持っており、クライアントが自分自身の持っている「信頼できるサーバを表す鍵」とそれを比較することで「自分の意図しないサーバに接続しない」技術のこと。
一般に使われている「https」と同じようなものだと思えばよい。

一方、「クライアント認証」とは、サーバ認証の逆で、サーバ側が「信頼できるクライアントの証明書」を持っており、クライアントの持つ「クライアント証明書」がその中に含まれているかによって「サーバが信頼できると認めたクライアント以外は接続させない」技術のこと。

今回の場合は、サーバもクライアントも「test.ks」というキーストアファイルを自分の証明書、かつ信頼できる相手の証明書リストとして使用している為、ちょっと変といえば変だが、実験だからとりあえずこんなもので良いっぽい。

ちなみに、下記はSSLIOPを使用しているときのIORのdior結果だが、Tagged Componentsの中に「TAG_SSL_SEC_TRANS」があり、SSLを使用する場合のポート番号が示され、一方TAG_INTERNET_IOP ProfilesのPortが0になっていてSSL以外では接続不能になっていることがわかる。

TypeId	:	IDL:idl/Sample:1.0
TAG_INTERNET_IOP Profiles:
	Profile Id:  	IIOP Version :  1.2
	Host	:	10.3.93.27
	Port	:	0
	Object key (URL):      5726843567/%00%157%16H%06-%18%02%22
	Object key (hex):    0x35 37 32 36 38 34 33 35 36 37 2F 00 15 37 16 48 06 2D 18 02 22 
	-- Found 2 Tagged Components--
	#0: TAG_SSL_SEC_TRANS
		target_supports	:	Integrity, DetectReplay, DetectMisordering, EstablishTrustInTarget
		target_requires	:	EstablishTrustInTarget
		SSL Port	:	1855
	#1: TAG_ORB_TYPE
		Type: 1245790976 (JacORB)

このように、JacORBでは外部の.propertiesファイルとORB.init()に与える引数によって、再コンパイル無しにSSLIOP化することが可能です。