JRASP v1.1.1 新特性之插件运行时解密技术

    "打铁还需自身硬"，JRASP在防护业务安全的同时，也十分重视自身安全性建设。JRASP的防护策略(包括hook类、参数检测逻辑等) 仍然一定程度上于依赖信息不对称，如何保障策略在传输过程、运行时不被恶意窃取分析是一个重要问题。 JRASP对整个通信链路进行了加密，包括：

• 管理端下发给守护进程的的安全策略加密；

• 守护进程与agent通信的socket加密，防止插件被控制；

• 插件jar包传输全过程加密，在类加载时解密，最大程度防止jar包被反编译；

    上面的第1、2点易实现，技术难点不高，因此本文将介绍第三点运行时类加密解密技术。

1.编译时加密一般原理

    下面为java 对称加密基本实现代码。对于一个编译好的 class 文件，调用加密算法，将class 文件转为密文即可。‍‍

    /**     * AES 加密     *     * @param content 待加密内容     * @param aesKey  密码     * @return     */    public static byte[] encrypt(byte[] content, String aesKey) {        if (aesKey == null || aesKey.length() != 16) {            return null;        }        try {            byte[] bytes = aesKey.getBytes("UTF-8");            SecretKeySpec skeySpec = new SecretKeySpec(bytes, "AES");            Cipher cipher = Cipher.getInstance("AES/ECB/PKCS5Padding");            cipher.init(Cipher.ENCRYPT_MODE, skeySpec);            return cipher.doFinal(content);        } catch (Exception e) {            throw new RuntimeException(e);        }    }

        jrasp安全插件以 jar 包形式输出，以 file-hook 模块为例子，将 jar 解压后，com.jrasp.agent.module 包下的类需要加密，目标加密文件是FileHook.class （jar包依赖的三方包，如工具类，可以不加密）。‍‍‍‍‍‍‍‍

2.编译加密maven plugin 插件

    为了更友好的将加密逻辑嵌入打包编译流程中，避免繁琐的jar包解压、加密class文件、压缩jar包等流程。jrasp 官方将加密逻辑写入到了maven plugin 插件中，插件代码在jrasp-agent 项目下的 jrasp-encrypt 工程中。并且无需其他配置，仅需要在 bin/DECRYPT_KEY.txt 中配置 加密/解密 密钥即可，简化操作。‍‍

    jrasp-module 工程引入加密插件，并且配置插件参数配置：密钥文件路径和需要加密包(多个包，逗号分隔)

3.运行时解密

    jrasp 采用自定义类加载器加载jar包，在类加载器的loadClass环节（类加载器的该方法作用可以参考其他博文）（class 文件流转换为 class 对象过程），将加密后二进制文件解密为jvm可以识别的class文件。‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍

class 解密的技术实现细节：‍

4.加密算法与密钥保存分发

    1.加密算法的选择：‍‍

        由于 jrasp 要兼容不同的jdk版本，不同jdk版本加密算法差异较大，兼容性存在很大问题，考虑兼容性，这里 jrasp 采用了对称加密。（如果业务指为特定jdk如openjdk，可以采用该jdk支持的非对称加密）。

    2.密钥的保存：

    为了保障加密的安全性，密钥理论上是不允许明文配置在conf文件中（配置文件密钥容易泄漏）。密钥jrasp-daemon 编译时固化到可执行文件中。并且密钥与jrasp-daemon 可执行文件的md5一一对应，保证无法篡改。

    3.密钥的分发给：

   jrasp-daemon 通过attach 机制动态传递给 java agent。‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍‍

5.总结‍‍

   jrasp 目前是业内唯一采用运行时加密算法保障安全策略的rasp。安全策略jar包磁盘加密，运行时解密，密钥不落盘。大大提高了rasp自身的安全性。‍‍‍‍‍‍

原文始发于微信公众号（RASP安全技术）：JRASP v1.1.1 新特性之插件运行时解密技术