자바프로그램(JCE 1.2.1) 사용기한 만료에 따른 장애발생 가능성

[yasu]

자바1.2.1버전의 Java Cryptography Extension의 사용기간이 7.27일부로 만료됨에 따라 자바로 개발된 제품에 대한 서비스에 장애가 발생할 가능성이 매우 높다고 합니다.
자바1.2.1버전이하로 개발된 제품이 있다면 자바프로그램버전을 업그레이드를 하셔야 됩니다.

[관련기사 ]
1) http://www.etnews.co.kr/news/detail.html?id=200507210190&keyword=자바
2) http://www.etnews.co.kr/news/detail.html?id=200507200053&keyword=자바
3) http://www.etnews.co.kr/news/detail.html?id=200507190171&keyword=자바

[ 국가사이버안전센타 긴급공지사항 ]
출처 : 국가사이버안전센타 (http://www.ncsc.go.kr )

자바프로그램(JCE 1.2.1) 사용기한 만료에 따른 장애발생 가능성 확인요망


썬마이크로시스템이 JCE 버젼 1.2.1 (Java Cryptography Extension)에 대한 사용기간이 7월 27일로 만료될 것이라고 발표함에 따라, 이를 이용하여 개발된 어플리케이션에서 서비스 장애 발생이 우려되므로 각급기관은 7월28일 이전까지 아래 내용을 참조, 조치 완료하시기 바랍니다.

--------------------------------------------------------------------------------

■ 주요특징

o JCE1.2.1은 패키지 보안을 위해 JCE1.2.1에서 제공되는 jar 패키지에 디지털 서명을 이용하여 Sign하였는데, 이때 사용된 디지털 서명의 유효기간이 2005년 7월 27일 이므로 해당 패키지를 읽을 수가 없어서, JCE에서 제공되는 클래스를 사용할 수 없게 되고 이를 이용한 홈페이지 서비스 등 각종 어플리케이션의 기능 정지가 우려됨

o JCE(Java Cryptography Extension)는 썬社에서 제공하는 보안 관련 패키지로 암호화및 Message Authentication Code 알고리즘을 구현해주고 그것을 사용하기 위한 프레임워크 클래스임

o JCE1.2.1은 JDK 1.2 및 1.3 버젼에 포함되어 있거나 따로 설치하게 되어있어 JDK 1.2 및 1.3을 이용하여 프로그램을 개발한 경우에는 JCE 버젼을 확인한 후 JCE 1.2.2로 업데이트 해야함 (JDK 1.4 버젼 이상은 무관)

--------------------------------------------------------------------------------

■ 대응책

구 분
대응 방법

JDK를 사용하는 개인사용자
1. 설치된 JDK 또는 SDK 버젼을 확인한다.

[JDK의 버젼 확인법]
c:\> java -version
java version "1.4.1_06"
Java(TM) 2 Runtime Environment, Standard Edition (build 1.4.1_06-b01)
Java HotSpot(TM) Client VM (build 1.4.1_06-b01, mixed mode)

또는

http://java.com/en/download/manual.jsp 페이지에서
'Verify Installation' 버튼을 클릭하여 확인

2. JDK 1.2 및 1.3 버젼을 사용하는 경우에는 '검색' 기능을 이용하여, 시스템 내에 "jce1_2_1.jar"파일의 존재 여부를 확인한다.

3. jce1_2_1.jar 파일이 존재할 경우 다음 사이트로부터 JCE 1.2.2 버젼을 업그레이드한다.

[다운로드 URL]
http://java.sun.com/products/jce/index-122.html

4. 업그레이드 후 jce1.2.1.jar를 Classpath내에서 삭제하고, Classpath를 다음과 같은 패키지가 포함될 수 있도록 수정한다.

US_export_policy.jar
local_policy.jar
jce1_2_2.jar
sunjce_provider.jar

시스템 운영자
1. 사용중인 웹어플리케이션 제품 및 버젼을 확인한다.

2. 해당 제품이 JDK 1.2 및 1.3기반으로 작성되었는지의 여부를 확인한다.

3. JCE 1.2.1 패키지 포함 여부 또는 사용 여부를 확인한다.

4. 자체적으로 JDK를 이용하여 개발한 어플리케이션이 있는 경우에는 개발에 이용된 JDK 버젼을 확인한다.

5. JCE 1.2.1 패키지를 사용하는 것이 확인되면, JDK 또는 JCE 버젼을 업그레이드 한다.

1) JDK의 업그레이드
- J2SE1.4.x, J2SE1.5버젼을 사용한다.
[ 다운로드 URL]
http://java.sun.com/j2se/1.4.2/download.html
http://java.sun.com/j2se/1.5.0/download.jsp

2) JCE 패키지 업그래이드
- JCE1.2.2 버젼을 사용한다.
[다운로드 URL]
http://java.sun.com/products/jce/index-122.html

■ JCE 1.2.1 설치확인 방법 (전문가용)

1. java1.3.0_02/jre/lib/security/java.security 파일에서 다음 내용의 존재여부를 확인한다.

security.provider.1=sun.security.provider.Sun
security.provider.2=com.sun.crypto.provider.SunJCE
security.provider.3=com.sun.rsajca.Provider
security.provider.4=javaland.org.jSec.provider.jSec

2. lib(또는 jre/lib/ext 폴더)에 4개 jar 파일의 존재여부를 확인한다.

jce1_2_1.jar
local_policy.jar
sunjce_provider.jar
US_export_policy.jar


[참고] JCE 설치여부 테스트용 프로그램 (버젼체크는 2번을 참조)

import javax.crypto.*;
public class JCEInstallationTest {
public static void main(String[] args) {
Cipher cipher = null;
try {
cipher = Cipher.getInstance("DES");
System.out.println("JCE Installed!");
} catch(Exception e) {
System.out.println("JCE Installation Failure!");
}
}
}

--------------------------------------------------------------------------------

■ 참고사이트

o Sun(sm) Alert Notification : Java Cryptography Extension (JCE) 1.2.1 Package (Signing Certificate) Expires on July 27, 2005
→ http://sunsolve.sun.com/search/document.do?assetkey=1-26-101796-1&searchclause=101796

o 한국 썬 마이크로시스템즈 [ JCE 보도 관련 공지 ]
→ http://kr.sun.com/developers/notice/jul05_jce_pop.html

o JCE 사용여부와 버전 확인 방법
→ http://kr.sun.com/developers/notice/jce_esol.pdf

o OS별 최신 자바프로그램 다운로드 사이트 (한글)
→ http://java.com/ko/download/manual.jsp