運用加密技術保護Java源代碼/定製ClassLoader
爲何要加密？
對於傳統的C或C++之類的語言來講，要在Web上保護源代碼是很容易的，只要不發佈它就能夠。遺憾的是，Java程序的源代碼很容易被別人偷看。只要有一個反編譯器，任何人均可以分析別人的代碼。Java的靈活性使得源代碼很容易被竊取，但與此同時，它也使經過加密保護代碼變得相對容易，咱們惟一須要瞭解的就是Java的ClassLoader對象。固然，在加密過程當中，有關Java Cryptography Extension（JCE）的知識也是必不可少的。html
有幾種技術能夠「模糊」Java類文件，使得反編譯器處理類文件的效果大打折扣。然而，修改反編譯器使之可以處理這些通過模糊處理的類文件並非什麼難事，因此不能簡單地依賴模糊技術來保證源代碼的安全。java
咱們能夠用流行的加密工具加密應用，好比PGP（Pretty Good Privacy）或GPG（GNU Privacy Guard）。這時，最終用戶在運行應用以前必須先進行解密。但解密以後，最終用戶就有了一份不加密的類文件，這和事先不進行加密沒有什麼差異。算法
Java運行時裝入字節碼的機制隱含地意味着能夠對字節碼進行修改。JVM每次裝入類文件時都須要一個稱爲ClassLoader的對象，這個對象負責把新的類裝入正在運行的JVM。JVM給ClassLoader一個包含了待裝入類（好比java.lang.Object）名字的字符串，而後由ClassLoader負責找到類文件，裝入原始數據，並把它轉換成一個Class對象。數組
咱們能夠經過定製ClassLoader，在類文件執行以前修改它。這種技術的應用很是普遍――在這裏，它的用途是在類文件裝入之時進行解密，所以能夠當作是一種即時解密器。因爲解密後的字節碼文件永遠不會保存到文件系統，因此竊密者很可貴到解密後的代碼。安全
因爲把原始字節碼轉換成Class對象的過程徹底由系統負責，因此建立定製ClassLoader對象其實並不困難，只需先得到原始數據，接着就能夠進行包含解密在內的任何轉換。app
Java 2在必定程度上簡化了定製ClassLoader的構建。在Java 2中，loadClass的缺省實現仍舊負責處理全部必需的步驟，但爲了顧及各類定製的類裝入過程，它還調用一個新的findClass方法。框架
這爲咱們編寫定製的ClassLoader提供了一條捷徑，減小了麻煩：只需覆蓋findClass，而不是覆蓋loadClass。這種方法避免了重複全部裝入器必需執行的公共步驟，由於這一切由loadClass負責。dom
不過，本文的定製ClassLoader並不使用這種方法。緣由很簡單。若是由默認的ClassLoader先尋找通過加密的類文件，它能夠找到；但因爲類文件已經加密，因此它不會承認這個類文件，裝入過程將失敗。所以，咱們必須本身實現loadClass，稍微增長了一些工做量。函數
回頁首工具
定製類裝入器
每個運行着的JVM已經擁有一個ClassLoader。這個默認的ClassLoader根據CLASSPATH環境變量的值，在本地文件系統中尋找合適的字節碼文件。
應用定製ClassLoader要求對這個過程有較爲深刻的認識。咱們首先必須建立一個定製ClassLoader類的實例，而後顯式地要求它裝入另一個類。這就強制JVM把該類以及全部它所須要的類關聯到定製的ClassLoader。Listing 1顯示瞭如何用定製ClassLoader裝入類文件。
【Listing 1：利用定製的ClassLoader裝入類文件】 // 首先建立一個ClassLoader對象 ClassLoader myClassLoader = new myClassLoader(); // 利用定製ClassLoader對象裝入類文件 // 並把它轉換成Class對象 Class myClass = myClassLoader.loadClass( "mypackage.MyClass" ); // 最後，建立該類的一個實例 Object newInstance = myClass.newInstance(); // 注意，MyClass所須要的全部其餘類，都將經過 // 定製的ClassLoader自動裝入
如前所述，定製ClassLoader只需先獲取類文件的數據，而後把字節碼傳遞給運行時系統，由後者完成餘下的任務。
ClassLoader有幾個重要的方法。建立定製的ClassLoader時，咱們只需覆蓋其中的一個，即loadClass，提供獲取原始類文件數據的代碼。這個方法有兩個參數：類的名字，以及一個表示JVM是否要求解析類名字的標記（便是否同時裝入有依賴關係的類）。若是這個標記是true，咱們只需在返回JVM以前調用resolveClass。
【Listing 2：ClassLoader.loadClass()的一個簡單實現】
public Class loadClass( String name, boolean resolve )
throws ClassNotFoundException {
try {
// 咱們要建立的Class對象
Class clasz = null;
// 必需的步驟1：若是類已經在系統緩衝之中，
// 咱們沒必要再次裝入它
clasz = findLoadedClass( name );
if (clasz != null)
return clasz;
// 下面是定製部分
byte classData[] = /* 經過某種方法獲取字節碼數據 */;
if (classData != null) {
// 成功讀取字節碼數據，如今把它轉換成一個Class對象
clasz = defineClass( name, classData, 0, classData.length );
}
// 必需的步驟2：若是上面沒有成功，
// 咱們嘗試用默認的ClassLoader裝入它
if (clasz == null)
clasz = findSystemClass( name );
// 必需的步驟3：若有必要，則裝入相關的類
if (resolve && clasz != null)
resolveClass( clasz );
// 把類返回給調用者
return clasz;
} catch( IOException ie ) {
throw new ClassNotFoundException( ie.toString() );
} catch( GeneralSecurityException gse ) {
throw new ClassNotFoundException( gse.toString() );
}
}
Listing 2顯示了一個簡單的loadClass實現。代碼中的大部分對全部ClassLoader對象來講都同樣，但有一小部分（已經過註釋標記）是特有的。在處理過程當中，ClassLoader對象要用到其餘幾個輔助方法：
- findLoadedClass：用來進行檢查，以便確認被請求的類當前還不存在。loadClass方法應該首先調用它。
- defineClass：得到原始類文件字節碼數據以後，調用defineClass把它轉換成一個Class對象。任何loadClass實現都必須調用這個方法。
- findSystemClass：提供默認ClassLoader的支持。若是用來尋找類的定製方法不能找到指定的類（或者有意地不用定製方法），則能夠調用該方法嘗試默認的裝入方式。這是頗有用的，特別是從普通的JAR文件裝入標準Java類時。
- resolveClass：當JVM想要裝入的不只包括指定的類，並且還包括該類引用的全部其餘類時，它會把loadClass的resolve參數設置成true。這時，咱們必須在返回剛剛裝入的Class對象給調用者以前調用resolveClass。
加密、解密
Java加密擴展即Java Cryptography Extension，簡稱JCE。它是Sun的加密服務軟件，包含了加密和密匙生成功能。JCE是JCA（Java Cryptography Architecture）的一種擴展。
JCE沒有規定具體的加密算法，但提供了一個框架，加密算法的具體實現能夠做爲服務提供者加入。除了JCE框架以外，JCE軟件包還包含了SunJCE服務提供者，其中包括許多有用的加密算法，好比DES（Data Encryption Standard）和Blowfish。
爲簡單計，在本文中咱們將用DES算法加密和解密字節碼。下面是用JCE加密和解密數據必須遵循的基本步驟：
-
步驟1：生成一個安全密匙。在加密或解密任何數據以前須要有一個密匙。密匙是隨同被加密的應用一塊兒發佈的一小段數據，Listing 3顯示瞭如何生成一個密匙。
【Listing 3：生成一個密匙】 // DES算法要求有一個可信任的隨機數源 SecureRandom sr = new SecureRandom(); // 爲咱們選擇的DES算法生成一個KeyGenerator對象 KeyGenerator kg = KeyGenerator.getInstance( "DES" ); kg.init( sr ); // 生成密匙 SecretKey key = kg.generateKey(); // 獲取密匙數據 byte rawKeyData[] = key.getEncoded(); /* 接下來就能夠用密匙進行加密或解密，或者把它保存 爲文件供之後使用 */ doSomething( rawKeyData ); -
步驟2：加密數據。獲得密匙以後，接下來就能夠用它加密數據。除了解密的ClassLoader以外，通常還要有一個加密待發布應用的獨立程序（見Listing 4）。
【Listing 4：用密匙加密原始數據】 // DES算法要求有一個可信任的隨機數源 SecureRandom sr = new SecureRandom(); byte rawKeyData[] = /* 用某種方法得到密匙數據 */; // 從原始密匙數據建立DESKeySpec對象 DESKeySpec dks = new DESKeySpec( rawKeyData ); // 建立一個密匙工廠，而後用它把DESKeySpec轉換成 // 一個SecretKey對象 SecretKeyFactory keyFactory = SecretKeyFactory.getInstance( "DES" ); SecretKey key = keyFactory.generateSecret( dks ); // Cipher對象實際完成加密操做 Cipher cipher = Cipher.getInstance( "DES" ); // 用密匙初始化Cipher對象 cipher.init( Cipher.ENCRYPT_MODE, key, sr ); // 如今，獲取數據並加密 byte data[] = /* 用某種方法獲取數據 */ // 正式執行加密操做 byte encryptedData[] = cipher.doFinal( data ); // 進一步處理加密後的數據 doSomething( encryptedData ); -
步驟3：解密數據。運行通過加密的應用時，ClassLoader分析並解密類文件。操做步驟如Listing 5所示。
【Listing 5：用密匙解密數據】 // DES算法要求有一個可信任的隨機數源 SecureRandom sr = new SecureRandom(); byte rawKeyData[] = /* 用某種方法獲取原始密匙數據 */; // 從原始密匙數據建立一個DESKeySpec對象 DESKeySpec dks = new DESKeySpec( rawKeyData ); // 建立一個密匙工廠，而後用它把DESKeySpec對象轉換成 // 一個SecretKey對象 SecretKeyFactory keyFactory = SecretKeyFactory.getInstance( "DES" ); SecretKey key = keyFactory.generateSecret( dks ); // Cipher對象實際完成解密操做 Cipher cipher = Cipher.getInstance( "DES" ); // 用密匙初始化Cipher對象 cipher.init( Cipher.DECRYPT_MODE, key, sr ); // 如今，獲取數據並解密 byte encryptedData[] = /* 得到通過加密的數據 */ // 正式執行解密操做 byte decryptedData[] = cipher.doFinal( encryptedData ); // 進一步處理解密後的數據 doSomething( decryptedData );
應用實例
前面介紹瞭如何加密和解密數據。要部署一個通過加密的應用，步驟以下：
- 步驟1：建立應用。咱們的例子包含一個App主類，兩個輔助類（分別稱爲Foo和Bar）。這個應用沒有什麼實際功用，但只要咱們可以加密這個應用，加密其餘應用也就不在話下。
- 步驟2：生成一個安全密匙。在命令行，利用GenerateKey工具（參見GenerateKey.java）把密匙寫入一個文件：
% java GenerateKey key.data
- 步驟3：加密應用。在命令行，利用EncryptClasses工具（參見EncryptClasses.java）加密應用的類：
% java EncryptClasses key.data App.class Foo.class Bar.class
該命令把每個.class文件替換成它們各自的加密版本。 - 步驟4：運行通過加密的應用。用戶經過一個DecryptStart程序運行通過加密的應用。DecryptStart程序如Listing 6所示。
【Listing 6：DecryptStart.java，啓動被加密應用的程序】 import java.io.*; import java.security.*; import java.lang.reflect.*; import javax.crypto.*; import javax.crypto.spec.*; public class DecryptStart extends ClassLoader { // 這些對象在構造函數中設置， // 之後loadClass()方法將利用它們解密類 private SecretKey key; private Cipher cipher; // 構造函數：設置解密所須要的對象 public DecryptStart( SecretKey key ) throws GeneralSecurityException, IOException { this.key = key; String algorithm = "DES"; SecureRandom sr = new SecureRandom(); System.err.println( "[DecryptStart: creating cipher]" ); cipher = Cipher.getInstance( algorithm ); cipher.init( Cipher.DECRYPT_MODE, key, sr ); } // main過程：咱們要在這裏讀入密匙，建立DecryptStart的 // 實例，它就是咱們的定製ClassLoader。 // 設置好ClassLoader之後，咱們用它裝入應用實例， // 最後，咱們經過Java Reflection API調用應用實例的main方法 static public void main( String args[] ) throws Exception { String keyFilename = args[0]; String appName = args[1]; // 這些是傳遞給應用自己的參數 String realArgs[] = new String[args.length-2]; System.arraycopy( args, 2, realArgs, 0, args.length-2 ); // 讀取密匙 System.err.println( "[DecryptStart: reading key]" ); byte rawKey[] = Util.readFile( keyFilename ); DESKeySpec dks = new DESKeySpec( rawKey ); SecretKeyFactory keyFactory = SecretKeyFactory.getInstance( "DES" ); SecretKey key = keyFactory.generateSecret( dks ); // 建立解密的ClassLoader DecryptStart dr = new DecryptStart( key ); // 建立應用主類的一個實例 // 經過ClassLoader裝入它 System.err.println( "[DecryptStart: loading "+appName+"]" ); Class clasz = dr.loadClass( appName ); // 最後，經過Reflection API調用應用實例 // 的main()方法 // 獲取一個對main()的引用 String proto[] = new String[1]; Class mainArgs[] = { (new String[1]).getClass() }; Method main = clasz.getMethod( "main", mainArgs ); // 建立一個包含main()方法參數的數組 Object argsArray[] = { realArgs }; System.err.println( "[DecryptStart: running "+appName+".main()]" ); // 調用main() main.invoke( null, argsArray ); } public Class loadClass( String name, boolean resolve ) throws ClassNotFoundException { try { // 咱們要建立的Class對象 Class clasz = null; // 必需的步驟1：若是類已經在系統緩衝之中 // 咱們沒必要再次裝入它 clasz = findLoadedClass( name ); if (clasz != null) return clasz; // 下面是定製部分 try { // 讀取通過加密的類文件 byte classData[] = Util.readFile( name+".class" ); if (classData != null) { // 解密... byte decryptedClassData[] = cipher.doFinal( classData ); // ... 再把它轉換成一個類 clasz = defineClass( name, decryptedClassData, 0, decryptedClassData.length ); System.err.println( "[DecryptStart: decrypting class "+name+"]" ); } } catch( FileNotFoundException fnfe ) { } // 必需的步驟2：若是上面沒有成功 // 咱們嘗試用默認的ClassLoader裝入它 if (clasz == null) clasz = findSystemClass( name ); // 必需的步驟3：若有必要，則裝入相關的類 if (resolve && clasz != null) resolveClass( clasz ); // 把類返回給調用者 return clasz; } catch( IOException ie ) { throw new ClassNotFoundException( ie.toString() ); } catch( GeneralSecurityException gse ) { throw new ClassNotFoundException( gse.toString() ); } } }
對於未經加密的應用，正常執行方式以下：% java App arg0 arg1 arg2
對於通過加密的應用，則相應的運行方式爲：% java DecryptStart key.data App arg0 arg1 arg2
DecryptStart有兩個目的。一個DecryptStart的實例就是一個實施即時解密操做的定製ClassLoader；同時，DecryptStart還包含一個main過程，它建立解密器實例並用它裝入和運行應用。示例應用App的代碼包含在App.java、Foo.java和Bar.java內。Util.java是一個文件I/O工具，本文示例多處用到了它。完整的代碼請從本文最後下載。
注意事項
咱們看到，要在不修改源代碼的狀況下加密一個Java應用是很容易的。不過，世上沒有徹底安全的系統。本文的加密方式提供了必定程度的源代碼保護，但對某些攻擊來講它是脆弱的。
雖然應用自己通過了加密，但啓動程序DecryptStart沒有加密。攻擊者能夠反編譯啓動程序並修改它，把解密後的類文件保存到磁盤。下降這種風險的辦法之一是對啓動程序進行高質量的模糊處理。或者，啓動程序也能夠採用直接編譯成機器語言的代碼，使得啓動程序具備傳統執行文件格式的安全性。
另外還要記住的是，大多數JVM自己並不安全。狡猾的黑客可能會修改JVM，從ClassLoader以外獲取解密後的代碼並保存到磁盤，從而繞過本文的加密技術。Java沒有爲此提供真正有效的補救措施。
不過應該指出的是，全部這些可能的攻擊都有一個前提，這就是攻擊者能夠獲得密匙。若是沒有密匙，應用的安全性就徹底取決於加密算法的安全性。雖然這種保護代碼的方法稱不上十全十美，但它仍不失爲一種保護知識產權和敏感用戶數據的有效方案。
參考資料
- 在運行時刻更新功能模塊。介紹了一個利用類庫加載器ClassLoader 實如今運行時刻更新部分功能模塊的Java程序，並將其與C/C++中實現一樣功能的動態連接庫方案進行了比較。
- 要了解更多的 Java 安全信息，請閱讀 java.sun.com的 Java Security API 頁。
- 如何封鎖您的（或打開別人的） Java 代碼。Java 代碼反編譯和模糊處理的指南。
- 使您的軟件運行起來：擺弄數字。真正安全的軟件須要精確的隨機數生成器。
- 下載本文代碼： EncryptedJavaClass_code.zip
-
每一个你不满意的现在，都有一个你没有努力的曾经。