是否可以在Java Manifest文件中拥有SHA1-Digest而无需实际使用密钥

Question

目前，我们使用jarsigner对我们的jar进行签名。然后，我们为某些特定类显示一些SHA1-Digest值，以向外部审核员证明代码在两次发行之间没有更改。

我们仅依靠META-INF/xxx.SF文件来获取摘要信息，而我们从不使用META-INF/xxx.DSA签名块文件。

由于我们只需要在代码中进行摘要计算，我想知道是否有可能.SF使用某些Java工具生成文件而无需实际使用键。

我阅读了http://docs.oracle.com/javase/6/docs/technotes/tools/windows/jarsigner.html，但看起来该密钥是强制性的。

Answer 1

这应该是可能的。MANIFEST.MF文件包含各个类文件的Base64编码的SHA-1。

从您的文档中：

In the manifest file, the SHA digest value for each source file is the
digest (hash) of the binary data in the source file. In the .SF file,
on the other hand, the digest value for a given source file is the
hash of the three lines in the manifest file for the source file.

因此，遍历所有类文件，计算SHA-1，将其格式显示在MANIFEST.MF中，然后对其进行哈希处理并按其格式显示在SF文件中。

计算不涉及任何键。

示例：考虑“ jce1_2_2.jar”（或任何您已经正确签名的）。这包含

1. 表格的MANIFEST.MF条目

   Name: javax/crypto/KeyAgreement.class
   

   SHA1-Digest: c2p0JimzpV0dG+NChGLl5cI7MuY=
   
   

2. 它们是“ KeyAgreement.class”的Base64（SHA1-1）（路径无关）。注意第三个空行。行尾为CRLF（Windows）。

3. META-INF / 4JCEJARS.SF条目

   Name: javax/crypto/KeyAgreement.class
   

   SHA1-Digest: whGBXE+AvYO6wAoVCdnocOPIrsE=

这不是文件的哈希值，而是上面三行的哈希值。