Java 9+ JarSigner API でタイムスタンプ要求にプロキシを設定する

内部コマンドクラスではなく、プロキシの要求元・ホスト・ポートを検査する Java 9+ の公開 JarSigner 設定を使用します。

System.setProperty("http.proxyHost", "proxy.example");
System.setProperty("http.proxyPort", "8080");

java.net.Authenticator.setDefault(new java.net.Authenticator() {
    @Override
    protected java.net.PasswordAuthentication getPasswordAuthentication() {
        if (getRequestorType() == RequestorType.PROXY
                && "proxy.example".equalsIgnoreCase(getRequestingHost())
                && getRequestingPort() == 8080) {
            return new java.net.PasswordAuthentication(
                proxyUser, proxyPassword.toCharArray());
        }
        return null;
    }
});

var signer = new jdk.security.jarsigner.JarSigner.Builder(signingEntry)
    .tsa(java.net.URI.create("http://tsa.example/"))
    .build();

signingEntry は既存の KeyStore.PrivateKeyEntry です。プロキシのアカウント値はアプリケーションの認証情報ソースから渡し、そのうえでこの署名機構を通常の ZipFile および出力ストリームの処理で使用します。

要求元の種類を判定する述語によりプロキシ認証と宛先認証が分離され、宛先からのチャレンジにプロキシのパスワードが渡るのを防ぎます。ホストとポートは中継先を限定します。

システムプロパティと既定の Authenticator は JVM 全体に影響します。並行ジョブの周辺で切り替えるのではなく、起動時に有効期間を設定してください。

公開 jdk.security.jarsigner API は sun.security.tools.jarsigner.Main や旧式の tools.jar 配置を避けます。例は HTTP TSA を使用しています。HTTPS TSA には HTTPS 経路と通常の検証・認証ポリシーも必要です。

関連記事