Java在Ubuntu上的安全设置如何配置 - 问答

Java 在 Ubuntu 上的安全设置配置指南

一系统与 Java 基础加固

保持系统与 JDK 更新：使用包管理器定期更新，及时获取安全补丁。示例：sudo apt update && sudo apt upgrade；如使用 Oracle JDK，也需同步关注官方安全补丁发布与升级。
正确安装与验证：安装常用版本如 OpenJDK 11：sudo apt install openjdk-11-jdk；验证版本：java -version、javac -version。
管理 JAVA_HOME 与 PATH：建议写入系统环境（如 /etc/environment 或发行版提供的 profile 片段），避免误用旧版本或不受控的 JDK。
基础系统防护：启用 UFW 防火墙仅放行必要端口（如 80/443/22）：sudo ufw enable、sudo ufw allow 80/tcp、sudo ufw status；SSH 加固（禁用 root 登录、优先密钥登录）可参考：PermitRootLogin no、PasswordAuthentication no。

二配置 Java 安全属性与加密策略

定位并编辑主安全属性文件：JDK 安装后，主安全配置文件位于 $JAVA_HOME/conf/security/java.security。该文件用于配置安全提供者顺序、算法限制、JSSE 参数等。
禁用不安全算法与协议：在 java.security 中调整或新增如下属性，限制已知弱算法与协议（示例为属性名与用途）：
- 证书路径与签名校验：jdk.certpath.disabledAlgorithms
- TLS/SSL 协议与套件：jdk.tls.disabledAlgorithms
- 其他算法限制（如 XML 签名等）：相应 jdk.*.disabledAlgorithms 项示例（按实际需求精简与调整）：
```
jdk.tls.disabledAlgorithms=SSLv3, TLSv1, TLSv1.1, RC4, DES, MD5withRSA
jdk.certpath.disabledAlgorithms=MD2, MD5, SHA1 jdkCA & usage TLSServerAuth
```
自定义安全属性文件与包含机制：可在主文件使用 include 指令引入其他安全属性片段，便于分环境管理；也可在应用启动前通过系统属性指定替代的安全属性文件，实现不同应用差异化策略。
动态与静态设置：安全属性既可在文件中静态配置，也可在应用代码里动态设置（如 Security.setProperty(...)），但生产环境建议以文件为主、代码为辅，便于审计与回滚。
故障排查：开启安全属性日志与跟踪有助于定位策略生效与算法协商问题，可在启动参数中启用相关调试日志（如 java.security.debug）。

三使用安全策略文件与安全管理器限制权限

策略文件位置与生效方式：
- 系统级策略文件通常位于 $JAVA_HOME/lib/security/java.policy（不同发行版或版本路径可能略有差异）。
- 应用级策略通过启动参数指定：-Djava.security.policy=/path/to/app.policy；如需合并系统策略，可使用 == 覆盖：java -Djava.security.policy==/path/to/app.policy ...。

编写最小权限策略示例（按需收紧）：

grant codeBase "file:/opt/myapp/-" {
    // 文件读写（示例目录）
    permission java.io.FilePermission "/opt/myapp/logs/-", "read,write,delete";
    // 仅允许本地回环端口监听
    permission java.net.SocketPermission "localhost:8080", "listen,resolve";
    // 允许 DNS 解析
    permission java.net.SocketPermission "*", "resolve";
    // 读取必要系统属性
    permission java.util.PropertyPermission "java.version", "read";
    permission java.util.PropertyPermission "file.separator", "read";
};

启用安全管理器：在启动命令中加入 -Djava.security.manager（若未显式指定策略文件，将使用默认策略与系统策略合并）。注意：SecurityManager 已在 Java 17 起标记为废弃，未来版本可能移除；在新项目中更推荐以容器/系统权限隔离、最小权限进程、代码审计等手段替代。
调试策略问题：使用 -Djava.security.debug=access,failure,policy 输出细粒度权限校验与策略加载日志，快速定位 AccessControlException 等权限不足问题。

四运行与运维安全实践

依赖与漏洞治理：将 OWASP Dependency-Check 集成到构建流水线（如 Maven/Gradle），定期扫描第三方依赖的已知漏洞，及时升级或替换风险组件。
传输与数据保护：为应用启用 TLS/HTTPS，禁用明文协议与弱套件；在服务端和客户端校验证书链与主机名，避免中间人攻击。
反序列化防护：避免反序列化不可信数据；使用白名单校验（如自定义 ObjectInputStream.resolveClass）或采用更安全的序列化框架与校验机制。
日志与审计：开启并集中采集 JVM 安全日志与应用日志，对异常登录、权限变更、策略加载失败、算法协商降级等进行告警与追溯。
持续更新与演练：保持 JDK/依赖/操作系统 的安全更新节奏；定期在测试环境验证安全策略与证书轮换流程，确保生产切换的可控与可回滚。

0 赞

0 踩