Expiration des fichiers jar de Forms 11.1.1.4 et versions ultérieures le 6 juillet 2013
S'APPLIQUE À : Oracle Forms - version 11.1.1.4.0 et ultérieures
Oracle Forms - version 11.1.1.4.0 et ultérieures
Les informations de ce document s'appliquent à toutes les plateformes.
OBJECTIF : fichiers jar Oracle Forms et messages Java Warning
Ce document couvre aussi Signature Time Stamp Support.
Le certificat de confiance utilisé pour signer les fichiers jar fournis par Oracle, comme frmall.jar, frmwebutil.jar, etc., expirera le 6 juillet 2013. Dans les versions précédentes de Forms, comme les premières versions de Forms 10gR2, des messages Java Warning s'affichaient après la date d'expiration. Pour voir des exemples de ces messages, consultez la Note 760645.1 et la Note 1307787.1.
Depuis Forms 11.1.1.4, l'équipe de développement de Forms utilise la fonction Signature Time Stamp Support de Java, qui évite tout avertissement si le fichier jar a été signé par un certificat valide au moment de sa création, avant la date d'expiration du certificat. Le passage de cette date ne modifie ni le comportement ni la fiabilité de la sécurité. Cette date signifie simplement que le fichier jar devait être signé avant celle-ci.
Avec la méthode Signature Time Stamp, il n'y a aucune incidence sur les utilisateurs finaux ni aucun changement dans les fonctionnalités de l'application. La date d'expiration passera sans qu'aucun avertissement d'expiration ne s'affiche.
Cette FAQ explique ce qui se passera après cette date et ce que les utilisateurs d'Oracle Forms doivent savoir à ce sujet.
QUESTIONS ET RÉPONSES : fichiers jar fournis par Oracle
Que verront les utilisateurs une fois la date d'expiration atteinte?
Ce sera transparent pour les utilisateurs finaux. Contrairement aux anciennes versions de Forms, comme les premières versions de 10gR2, les utilisateurs finaux ne verront pas les avertissements décrits dans la note 760645.1 et dans d'autres notes sur le sujet.
Y a-t-il des risques de sécurité associés?
Il n'y a aucun risque de sécurité lié aux fichiers jar fournis par Oracle. Comme l'indique la documentation sur Signature Time Stamp Support, les développeurs de Forms ont tiré parti d'une fonction Java qui permet de vérifier que le certificat a été signé avant son expiration; la date d'expiration ne présente donc aucun risque de sécurité.
Puisqu'aucun avertissement ne s'affichera, dois-je faire quoi que ce soit?
Vous n'avez rien à faire, puisque les fichiers jar que vous utilisez ont été correctement signés pendant la période de validité de signature du certificat. Toutefois, comme certains utilitaires d'analyse de sécurité ne tiennent peut-être pas encore compte de cette nouvelle fonction Java, ils pourraient signaler des faux positifs. Les clients qui utilisent des utilitaires de validation de sécurité ou des outils semblables devraient les mettre à jour en conséquence ou communiquer avec leur fournisseur dès que possible. Par courtoisie, Oracle fournira des correctifs signés de nouveau avec un certificat plus récent afin d'éviter ces faux signalements.
Les clients qui n'utilisent pas d'utilitaires d'analyse de sécurité, mais qui ont constaté manuellement que la date de validité est passée (ou approche), peuvent ignorer cette entrée pour les raisons mentionnées ci-dessus. Vous pouvez aussi installer le correctif de courtoisie mentionné plus haut s'il est ou lorsqu'il sera offert pour votre version d'Oracle Forms.
Sachez qu'Oracle ne continuera probablement pas à fournir de tels correctifs à l'avenir, puisque le passage de la date de validité ne change en rien le comportement et ne présente aucune vulnérabilité.
Pour l'instant, Oracle a fourni le correctif 17448420 pour mettre à jour la date de validité des fichiers jar fournis par Oracle. La date des fichiers jar de Forms inclus dans les futurs correctifs 11g sera le 22 janvier 2016.
Oracle encourage fortement ses clients à utiliser les plus récentes versions et les plus récents correctifs pris en charge, car ils contiennent les dernières corrections. Même si vous utilisez une version antérieure, comme 11.1.1.4, qui n'affichera pas d'avertissement d'expiration des fichiers jar, cette version a déjà plus de deux ans au moment de la rédaction de cette note et devrait être mise à niveau vers la plus récente version.
Comment puis-je connaître la date d'expiration de mes fichiers jar fournis par Oracle?
Il existe plusieurs façons de le faire. En voici deux :
1. Si vous avez accepté le certificat de frmall.jar dans le JRE, la date d'expiration peut être consultée dans le Java Control Panel.
Java Control Panel -> Security Tab -> Certificates -> cliquez sur Details pour "Oracle America, Inc."
Repérez la section "Validity" : vous y verrez la date d'expiration. Par exemple ->
2. Note 1268757.1 - How to Determine the Expiration Date of a Jar File Using the Java Keytool Command
Qu'en est-il des fichiers jar que j'ai créés moi-même ou qui ont été fournis par des fournisseurs autres qu'Oracle?
Si vous avez un fichier jar qui n'a pas été fourni par Oracle et qui n'a pas été signé avec Signature Time Stamp Support, vous recevrez un avertissement de sécurité lié à l'expiration. Le moment où vous recevrez cet avertissement dépendra donc de la date d'expiration du certificat utilisé pour signer les fichiers jar. Nous vous recommandons de mettre à jour la date d'expiration du fichier jar ou de communiquer avec le fournisseur tiers, selon le cas.
J'utilise encore la version 10gR2. Mes utilisateurs verront-ils des avertissements d'expiration des fichiers jar?
Cela dépend de la version de 10gR2. La version 10gR2 est en fin de cycle de vie et est passée au Sustaining Support. Consultez l'Oracle Lifetime Support Policy. Si vous avez appliqué les derniers correctifs recommandés dans la Note 1506026.1 "Forms/Reports 10g-R2 (10.1.2) Desupported", vous ne verrez aucun avertissement lié aux fichiers jar fournis par Oracle. Toutefois, comme mentionné plus haut, Oracle vous encourage fortement à passer à une version entièrement prise en charge.
RÉFÉRENCES
http://docs.oracle.com/javase/6/docs/technotes/guides/security/time-of-signing.html
http://www.oracle.com/us/support/library/lifetime-support-middleware-069163.pdf