[论文解读] Secure Component Deployment in the OSGi(tm) Release 4 Platform

Pierre Parrend, Stéphane Frénot|arXiv (Cornell University)|Jul 11, 2006

Security and Verification in Computing被引用 6

一句话总结

本文提出了一种基于OSSi R4平台的组件安全部署机制，通过加密签名OSSi捆绑包以确保其完整性和真实性。该研究引入了SFelix，即Apache Felix框架的安全扩展，以及SFelix JarSigner工具，用于捆绑包的签名与验证，实现了符合OSSi R4安全层规范的数字签名与证书验证机制。

ABSTRACT

Last years have seen a dramatic increase in the use of component platforms, not only in classical application servers, but also more and more in the domain of Embedded Systems. The OSGi(tm) platform is one of these platforms dedicated to lightweight execution environments, and one of the most prominent. However, new platforms also imply new security flaws, and a lack of both knowledge and tools for protecting the exposed systems. This technical report aims at fostering the understanding of security mechanisms in component deployment. It focuses on securing the deployment of components. It presents the cryptographic mechanisms necessary for signing OSGi(tm) bundles, as well as the detailed process of bundle signature and validation. We also present the SFelix platform, which is a secure extension to Felix OSGi(tm) framework implementation. It includes our implementation of the bundle signature process, as specified by OSGi(tm) Release 4 Security Layer. Moreover, a tool for signing and publishing bundles, SFelix JarSigner, has been developed to conveniently integrate bundle signature in the bundle deployment process.

研究动机与目标

• 应对组件化系统中日益增长的安全风险，特别是在使用OSSi平台的嵌入式环境中。
• 识别现有工具（如Sun Jarsigner）的漏洞，这些工具与OSSi的运行时约束和规范要求不兼容。
• 开发一种与OSSi R4安全层规范一致的、安全且集成的捆绑包签名与验证解决方案。
• 提供一个可投入生产的、可扩展的框架（SFelix）和工具（SFelix JarSigner），以支持真实OSSi环境中的安全部署。
• 通过实现完整且符合标准的签名与验证流程，弥补现有用于保护OSSi捆绑包的工具缺口。

提出的方法

• 基于OSSi R4安全层规范设计并实现一种安全的捆绑包签名流程，采用非对称密码学的数字签名。
• 将哈希函数（如SHA-256）、数字签名（如RSA）以及X.509证书验证等密码学机制集成到OSSi捆绑包生命周期中。
• 扩展Apache Felix OSSi框架，增加运行时捆绑包验证功能，确保仅加载已签名且可信的捆绑包。
• 开发SFelix JarSigner作为图形界面和命令行工具，自动化使用私钥对OSSi捆绑包进行签名，并生成清单文件、签名文件和块文件。
• 将签名后的捆绑包结构化为三个组件：清单文件（元数据）、签名文件（数字签名）和签名块文件（证书链）。
• 利用Bouncy Castle和FIPS认证的密码学库，确保密码学操作的高强度与标准合规性。

实验结果

研究问题

• RQ1 如何通过加密手段保障OSSi捆绑包在部署过程中的完整性和真实性？
• RQ2 在OSSi R4平台中集成安全签名与验证机制时，面临哪些架构与实现挑战？
• RQ3 为何现有工具（如Sun Jarsigner）在OSSi的运行时与安全模型下可能不足或不兼容？
• RQ4 实现安全、符合标准的OSSi捆绑包签名与验证的关键组件与工作流是什么？
• RQ5 如何设计并部署一个安全、可扩展且可投入生产的OSSi框架扩展（SFelix），以支持安全的组件部署？

主要发现

• SFelix平台成功扩展了Apache Felix，原生支持在运行时验证已签名的OSSi捆绑包，拒绝加载未签名或被篡改的捆绑包。
• SFelix JarSigner工具使开发人员能够通过单一、用户友好的流程，使用私钥对捆绑包进行签名，并生成所需的清单文件、签名文件和块文件。
• 该实现正确遵循了OSSi R4安全层规范，采用SHA-256和RSA等标准密码学原语进行数字签名。
• 使用Bouncy Castle和FIPS认证的密码学库，确保了强大的密码学安全性，并符合联邦标准。
• 该解决方案通过将签名与验证功能直接嵌入OSSi框架中，克服了外部工具（如Sun Jarsigner）的局限性，避免了对系统级命令行工具的依赖。
• SFelix中的运行时验证机制可防止未签名或恶意捆绑包的部署，测试用例证实了在SFelix Shell中会拒绝加载未签名捆绑包。