Интерфейс GSSContext

public interface GSSContext

Этот интерфейс инкапсулирует контекст безопасности GSS-API и предоставляет доступные через него службы безопасности. Контексты безопасности устанавливаются между узлами, используя локальные учетные данные. Одновременно между парой узлов может существовать несколько контекстов, используя один и тот же или разные наборы учетных данных. Функции GSS-API работают независимо от базового транспортного протокола и полагаются на вызывающее приложение для передачи токенов, сгенерированных контекстом безопасности между узлами.

Если вызывающий элемент создает контекст, используя экземпляр по умолчанию GSSManager, то механизм Kerberos v5 GSS-API гарантированно будет доступен для установления контекста. Этот механизм идентифицируется Oid "1.2.840.113554.1.2.2" и определен в RFC 1964.

Перед началом фазы установления контекста инициатор контекста может запросить определенные характеристики желаемого контекста. Не все базовые механизмы поддерживают все характеристики, которые может пожелать вызывающий элемент. После установления контекста вызывающий элемент может проверить фактические характеристики и предоставляемые сервисы этого контекста с помощью различных методов запроса. При использовании механизма Kerberos v5 GSS-API, предоставляемого экземпляром по умолчанию GSSManager, все необязательные сервисы будут доступны локально. К ним относятся взаимная аутентификация, делегирование учетных данных, конфиденциальность и целостность защиты, а также обнаружение и упорядочивание повторов сообщений.

Установка контекста происходит циклически, где инициатор вызывает initSecContext, а акцептор вызывает acceptSecContext, пока контекст не будет установлен. В этом цикле методы initSecContext и acceptSecContext генерируют токены, которые приложение отправляет узлу-партнеру. Узел-партнер передает любой такой токен в качестве входных данных в свой метод acceptSecContext или initSecContext, в зависимости от ситуации.

Во время фазы установления контекста можно вызвать метод isProtReady, чтобы определить, может ли контекст использоваться для операций с сообщениями wrap и getMIC. Это позволяет приложениям использовать операции с сообщениями в контекстах, которые еще не полностью установлены.

После того как контекст установлен или метод isProtReady возвращает true, можно вызвать методы запроса для определения фактических характеристик и сервисов установленного контекста. Приложение также может начать использовать методы обработки сообщений wrap и getMIC для получения криптографических операций над данными, предоставленными приложением.

Когда контекст больше не нужен, приложение должно вызвать dispose для освобождения системных ресурсов, используемых контекстом.

Контекст безопасности обычно сохраняет информацию об упорядочении и обнаружении повторов токенов, которые он обрабатывает. Поэтому последовательность представления токенов для обработки в этом контексте может быть важна. Также обратите внимание, что ни один из методов в этом интерфейсе не синхронизирован. Поэтому не рекомендуется использовать GSSContext между несколькими потоками, если не реализована синхронизация на уровне приложения.

В конечном счете, разные поставщики механизмов могут устанавливать различные ограничения безопасности при использовании контекстов GSS-API. Эти ограничения будут документированы поставщиком механизма. Приложение должно убедиться, что у него есть соответствующие разрешения, если такие проверки выполняются на уровне механизма.

В Java SE 11 устарели методы, основанные на потоках GSSContext. Эти методы также были удалены из RFC 8353: Обновление Java-связей для API универсальной службы безопасности версии 2 по следующим причинам (см. раздел 11): «Перегруженные методы GSSContext, которые используют входные и выходные потоки как средство передачи аутентификации и токенов GSS-API для каждого сообщения, описанные в разделе 5.15 RFC 5653, удалены в этом обновлении, так как протокол связи должен определяться приложением, а не библиотекой. Также невозможно правильно реализовать эти методы, когда у токена нет самоопределения (где конец не может быть определен), или у библиотеки нет знаний о формате токена (например, в качестве моста, общающегося с другой библиотекой GSS).» К таким методам относятся initSecContext(InputStream, OutputStream), acceptSecContext(InputStream, OutputStream), wrap(InputStream, OutputStream, MessageProp), unwrap(InputStream, OutputStream, MessageProp), getMIC(InputStream, OutputStream, MessageProp) и verifyMIC(InputStream, InputStream, MessageProp).

Пример кода ниже демонстрирует использование интерфейса GSSContext для узла-инициатора. Представлены различные операции с объектом GSSContext, включая: создание объекта, установку желаемых флагов, установление контекста, запрос фактических флагов контекста, операции с данными приложения на уровне сообщения и, наконец, удаление контекста.

// Create a context using default credentials
    // and the implementation specific default mechanism
    GSSManager manager ...
    GSSName targetName ...
    GSSContext context = manager.createContext(targetName, null, null,
                                           GSSContext.INDEFINITE_LIFETIME);

    // set desired context options prior to context establishment
    context.requestConf(true);
    context.requestMutualAuth(true);
    context.requestReplayDet(true);
    context.requestSequenceDet(true);

    // establish a context between peers

    byte []inToken = new byte[0];

    // Loop while there still is a token to be processed

    while (!context.isEstablished()) {

        byte[] outToken
            = context.initSecContext(inToken, 0, inToken.length);

        // send the output token if generated
        if (outToken != null)
            sendToken(outToken);

        if (!context.isEstablished()) {
            inToken = readToken();
    }

     // display context information
     System.out.println("Remaining lifetime in seconds = "
                                          + context.getLifetime());
     System.out.println("Context mechanism = " + context.getMech());
     System.out.println("Initiator = " + context.getSrcName());
     System.out.println("Acceptor = " + context.getTargName());

     if (context.getConfState())
             System.out.println("Confidentiality (i.e., privacy) is available");

     if (context.getIntegState())
             System.out.println("Integrity is available");

     // perform wrap on an application supplied message, appMsg,
     // using QOP = 0, and requesting privacy service
     byte [] appMsg ...

     MessageProp mProp = new MessageProp(0, true);

     byte []tok = context.wrap(appMsg, 0, appMsg.length, mProp);

     sendToken(tok);

     // release the local-end of the context
     context.dispose();