[5.5.3] Änderungskontrolle

[Voidi]

Im Ereignislog werden seit neusten bei allen Charakteren folgende Zeilen angezeigt:

Code: Alles auswählen

Änderungskontrolle	Held wurde extern verändert. Änderungskontrolle wieder aktiviert.		0		[ALLESHELDENSOFTWARE, EDITOREINGEGEBEN]	21.01.22
Änderungskontrolle	Held wurde extern verändert. Änderungskontrolle wieder aktiviert.		0		[EDITOREINGEGEBEN, BROKENSIG]	07.02.22
Änderungskontrolle	Held wurde extern verändert. Änderungskontrolle wieder aktiviert.		0		[EDITOREINGEGEBEN, BROKENSIG]	07.02.22
Änderungskontrolle	Held wurde extern verändert. Änderungskontrolle wieder aktiviert.		0		[BROKENSIG, EDITOREINGEGEBEN]	15.02.22
Änderungskontrolle	Held wurde extern verändert. Änderungskontrolle wieder aktiviert.		0		[BROKENSIG, EDITOREINGEGEBEN]	18.02.22
Änderungskontrolle	Held wurde extern verändert. Änderungskontrolle wieder aktiviert.		0		[EDITOREINGEGEBEN, BROKENSIG]	18.02.22

Anscheinend wird bei jedem speichern ein entsprechender Eintrag hinzugefügt. Was hat es damit auf sich?

Ich benutze die Heldensoftware unter Linux mit OpenJDK; ich vor kurzen von von Java Version 16 auf 17 aktualisert.
Nach einen kurzen Test mit älteren Versionen scheint es so als könnte es mit dem Update auf Version 17 zusammenhängen. Ist aber nur eine erste Vermutung.

Gruß Voidi

[Isu]

In Java 17 gibt es folgende Änderungen, die passend aussehen:

Enable XML Signature Secure Validation Mode by Default

The XML Signature secure validation mode has been enabled by default (previously it was not enabled by default unless running with a security manager). When enabled, validation of XML signatures are subject to stricter checking of algorithms and other constraints as specified by the jdk.xml.dsig.secureValidationPolicy security property.

If necessary, and at their own risk, applications can disable the mode by setting the org.jcp.xml.dsig.secureValidation property to Boolean.FALSE with the DOMValidateContext.setProperty() API.

Quellen: https://www.oracle.com/java/technologie ... ssues.html und https://bugs.openjdk.java.net/browse/JDK-8259801

Disable SHA-1 XML Signatures

XML signatures that use SHA-1 based digest or signature algorithms have been disabled by default. SHA-1 is no longer a recommended algorithm for digital signatures. If necessary, and at their own risk, applications can workaround this policy by modifying the jdk.xml.dsig.secureValidationPolicy security property and re-enabling the SHA-1 algorithms.

Quellen: https://www.oracle.com/java/technologie ... ssues.html und https://bugs.openjdk.java.net/browse/JDK-8259709

Ich tippe auf Zweiteres, da die Heldensoftware auf jeden Fall SHA1-Signaturen nutzt.

[little.yoda]

Disable SHA-1 XML Signatures

XML signatures that use SHA-1 based digest or signature algorithms have been disabled by default. SHA-1 is no longer a recommended algorithm for digital signatures. If necessary, and at their own risk, applications can workaround this policy by modifying the jdk.xml.dsig.secureValidationPolicy security property and re-enabling the SHA-1 algorithms.

Quellen: https://www.oracle.com/java/technologie ... ssues.html und https://bugs.openjdk.java.net/browse/JDK-8259709

Ich tippe auf Zweiteres, da die Heldensoftware auf jeden Fall SHA1-Signaturen nutzt.

Danke für den HInweis.
Hat jemand ein Beispiel Code dafür gefunden, wie man SHA-1 wieder aktiviert?
Wir werden sicherlich weiterhin bei SHA1 bleiben. Alles andere macht zu viel Arbeit.


Gibt es irgendwie Fehermeldung auf der Konsole, wenn man Java 17 nutzt?

[Starjon]

In der java.security Konfigurationsdatei (im JVM-Verzeichnis unter conf/security) kann man unter jdk.xml.dsig.secureValidationPolicy die entsprechenden disallowAlg-Einträge löschen. Das dürfte aber leider nur ein client-seitiger Workaround sein, wenn ihr nicht eine vollständige JVM mit der Software bundlen wollt.

[little.yoda]

Hi

Das Problem waren tatsächlich die SHA1-Signaturen.
Problem ließ sich über setProperty lösen.

Code: Alles auswählen

			DOMValidateContext valContext = new DOMValidateContext(ks, nl.item(0));
			valContext.setProperty("org.jcp.xml.dsig.secureValidation", Boolean.FALSE);

Werden wir dann mit einer neuen Version (sicherlich erst in ein paar Wochen) korrigieren.

Gruß,
Sven

[abclex]

Hallo, kurze Nachfrage zum Stand einer neuen Version, die Beta aus dem Dezember lässt sich seit gestern (01.07.2023) nicht mehr starten, da Entwickler-Version mit offenbar eingebautem Ablaufdatum.

[little.yoda]

da habe ich wohl geschlafen.
Ich erstelle die Tage eine neue

[little.yoda]

Neue Version hochgeladen:
http://www.helden-software.de/down/deve ... elden5.jar