O que é Bouncy Castle?

Depois de acessar a página do Bouncy Castle, a definição no Wikipedia e a definição no Java Glossary me atrevo a dizer que Bounce Castle é uma API de criptografia para Java e também um provedor das especificações JCE e JCA da Sun.

Algo curioso sobre Bouncy Castle é que por ser um projeto australiano ele não precisa cumprir as leis de Estados Unidos que proíbem a exportação de algoritmos fortes de criptografia. Mais informação aqui.

O que é RSA?

De acordo com a Wikipedia, RSA é

um algoritmo de encriptação de dados, (…) até à data (2008), a mais bem sucedida implementação de sistemas de chaves assimétricas, e fundamenta-se em Teorias Clássicas dos Números. É considerado dos mais seguros, já que mandou por terra todas as tentativas de quebrá-lo. Foi também o primeiro algoritmo a possibilitar encriptação e assinatura digital, e uma das grandes inovações em criptografia de chave pública.

RSA é um algoritmo que cria duas chaves, uma delas sendo pública e a outra privada. Toda mensagem que for cifrada utilizando a chave pública somente vai poder ser decifrada utilizando a chave privada.

Trabalhando com RSA

Vamos por as mãos na massa e brincar um pouco. Construiremos uma aplicação web simples que utilizando RSA crie uma chave privada e mande uma pública ao cliente. A aplicação servidor depois ira decifrar mensagens que foram cifradas com a chave publica. Para cifrar a chave pública na aplicação cliente utilizaremos a biblioetaca jsbn, dos estudandes de Stanford, implementada em JavaScript.

Começarei criando uma aplicação web dinâmica no Eclipse que rodara sobre o Tomcat e adicionarei ao meu pacote uma classe serviço que fará as operações relacionadas com Bouncy Castle e RSA e uma servlet que delegara as chamadas HTTP para o serviço correspondente.

Vou começar a implementar o serviço de RSA que utilizara Bouncy Castle como implementação, pelo que terei que incluir a livraria correspondente no meu classpath. As livrarias podem ser descarregadas de aqui. Nesse caso somente precisaremos da livraria Provider e OpenPGP/BCPG.

O primeiro passo ao trabalhar com Bouncy Castle é adicionar o provedor Bouncy Castle à lista de provedores. Colocarei o seguinte código no construtor da minha classe serviço:

Security.addProvider(new BouncyCastleProvider());

Agora vou criar um gerador de chaves pares para o algoritmo RSA utilizando como provedor o Bouncy Castle (BC) e depois inicializar ele especificando que o tamanho das chaves vai ser 1024 e que o provedor de números aleatórios vai ser SecureRandom, do pacote java.security. Essas operações irão estar num método chamado generateKeys que terminara devolvendo um par de chaves. O método fica assim:

public KeyPair generateKeys() throws Exception {
	KeyPairGenerator keyGenerator = KeyPairGenerator.getInstance("RSA",
			"BC");
	keyGenerator.initialize(1024, new SecureRandom());
	return keyGenerator.generateKeyPair();
}

O segundo método da classe serviço recebera uma mensagem cifrada junto com a chave privada correspondente à chave pública utilizada para cifrar a mensagem e retornara a mensagem decifrada.

O primeiro passo é pegar uma instância da classe Cipher. A classe Cipher é encarregada de cifrar e de decifrar arrays de bytes. Para pegar uma instância da classe Cipher chamamos o método estático getInstance da mesma. Ela recebe dois parâmetros: a transformação a ser utilizada e o provedor. Já sabemos que o provedor é Bouncy Castle, mas o que é a transformação?

A transformação é o método que foi utilizado para cifrar nossa mensagem. No nosso caso a transformação é RSA/NONE/PKCS1Padding, que define que utilizamos RSA como algoritmo de criptografia, que não utilizamos nenhuma técnica especial para cifragem em bloco e que utilizamos PKCS #1 como técnica de enchimento. Escolhi essa transformação porque é compatível com a livraria JavaScript utilizada.

Talvez agora surgiram mais dúvidas. Técnica para cifragem em bloco? Técnica de enchimento?

Quando ciframos um texto utilizando RSA, partimos ele em vários blocos e cada bloco vai sendo cifrado de alguma maneira. Como os blocos se relacionam e o tamanho deles, entre outras coisas, são características que definem as diferentes técnicas de cifragem em bloco. Para aprender mais podem acessar a definição no site da Wikipedia.

Agora imaginemos que nossos blocos devem ser de 10 bytes mas ao particionar nossa mensagem o último bloco ficou de 4 bytes. Nesse caso temos que fazer alguma operação para completar esses 6 bytes restantes. Essa operação e chamada de padding e existem varias técnicas. Mas detalhes podem ser obtidos novamente na definição no site da Wikipedia.

Uma vez com nossa instância da classe Cipher nosso seguinte passo é inicializar ele indicando que vamos a realizar um processo de descriptografia utilizando tal chave privada. Finalmente realizamos o processo chamando o método doFinal do cipher passando como parámetro os bytes da mensagem criptograda. O método doFinal ira retornar os bytes da mensagem decifrada, os quais utilizaremos para criar uma string e devolver ela como retorno do método, o qual fica assim:

public String decrypt(PrivateKey key, byte[] message) throws Exception {
	Cipher decrypt = Cipher.getInstance("RSA/NONE/PKCS1Padding", "BC");
	decrypt.init(Cipher.DECRYPT_MODE, key);
	return new String(decrypt.doFinal(message));
}

Começarei agora a desenvolver a classe que atuara como servlet. A classe servlet ira ter duas funções. A primeira função e mandar o serviço criar um par de chaves, guardar a chave privada na sessão e mandar os dados necessários da chave pública para o cliente (modulus e exponente). A segunda função é receber um texto em formato hexadecimal, passar ele para uma seqüencia de bytes e chamar o método do serviço encarregado de decifrar a cadeia de bytes. Finalmente devolvera a mensagem decifrada para o usuário.

Como o código da servlet é Java de todos os dias, não tem muito para explicar. Segue o código dos dois métodos encarregados de realizar as operações:

private void decrypt(HttpServletRequest request,
		HttpServletResponse response) throws Exception {
	KeyPair keys = (KeyPair) request.getSession().getAttribute("keyPair");
	PrivateKey privateKey = keys.getPrivate();
	RSAService service = new RSAService();
	byte[] bytes = Hexadecimal.parseSeq(request.getParameter("Decrypt"));
	String decrypted = service.decrypt(privateKey, bytes);
	response.getWriter().write(decrypted);
}

private void getPublicKey(HttpServletRequest request,
		HttpServletResponse response) throws Exception {
	RSAService service = new RSAService();
	KeyPair keys = service.generateKeys();
	request.getSession().setAttribute("keyPair", keys);
	RSAPublicKey publicKey = (RSAPublicKey) keys.getPublic();
	String modulus = publicKey.getModulus().toString(16);
	String exponent = publicKey.getPublicExponent().toString(16);
	PrintWriter writer = response.getWriter();
	writer.append("{'modulus':'");
	writer.append(modulus);
	writer.append("','exponent':'");
	writer.append(exponent);
	writer.append("'}");
	writer.flush();
}

O código cliente é bem simples. Quando a página carregar, a página ira solicitar ao servidor o modulus e o exponente da chave pública. Quando o usuário acionar um botão escolhido, ira ser chamada a função sendMessage. A função sendMessage ira instanciar um objeto do tipo RSAKey que sera o encarregado de cifrar o texto escrito no devido textbox. Apos instanciar um objecto do tipo RSAKey, a função sendMessage especificara o modulus e o exponente da chave pública e logo cifrara a mensagem. Finalmente a função enviara ela pro servidor e mostrara uma alerta com a resposta. Nosso código em JavaScript fica assim:

$(document).ready(function() {
	$.getJSON("do?GetPublicKey", function(key) {
		$("#exponent").val(key.exponent);
		$("#modulus").val(key.modulus);
	})
});

function sendMessage() {
	var rsa = new RSAKey();
	rsa.setPublic($("#modulus").val(), $("#exponent").val());
	var message = rsa.encrypt($("#text").val());
	$("#encrypted").html(message);
	$.get("do?Decrypt=" + message, function(data) {
		window.alert(data);
	})
}

O código da aplicação, incluíndo o jQuery, a classe Hexadecimal pegada da Internet, a biblioteca jsbn e o web.xml pode ser descarregado de aqui. Não esquecer que devem ser descarregadas ainda as bibliotecas do Bouncy Castle referentes a versão da JVM.

Se tiver dito alguma bobagem, por favor me perdoem e me corrijam nos comentários ou por email.

Ate a próxima!

Também nesses últimos dias chegamos a conhecer alguns projetos interessantes como o JoSQL que nos permite executar código SQL para selecionar coleções de objetos, similar ao LINQ da plataforma .NET e o JsonSQL que funciona similar mas para objetos em JavaScript, notação Json. Outros trabalhos interessante são os feitos na livraria Highslide JS que nos ajuda a simular o efeito do conhecido lightbox nas nossas aplicações, o Crap4j que se encarrega de qualificar nosso código Java em função a diferentes métricas, o AjaxSwing, que magicamente converte nossos projetos em Swing para aplicações web Ajax, o CajuScript, uma simples e poderosa implementação de script para usar com Java feito no território nacional, o Mibbit, um chat que trabalha com o protocolo IRC e desenvolvido com Ajax e finalmente o Jiggy, que nos permite criar aplicações para o iPhone de maneira muito simples e fácil.

Algumas leituras interessantes sobre Java e Design Patterns foram selecionadas também. Uma de elas é a conversação que se deu no forum GUJ chamada Então você gostaria de saber sobre AOP? que trata sobre a programação orientada a aspectos ou as que encontramos no site Core J2EE Patterns, com muita informação sobre os diferentes design patterns da especificação J2EE. Outro site interessante é Domain Driven Design, com muita informação sobre o tema que leva o mesmo nome.

Alguns tutoriais e artigos técnicos interessantes que chamaram nossa atenção foram aqueles chamados Autotestando JavaScript em Rails, de Dr. Nic, que explica como testar nossos scripts em JavaScript desde um script em Rails, Clousures do JavaScript para Dummies, de Morris Johns, que ensina de maneira muito clara como funcionam os poderosos clousures em JavaScript, um excelente tutorial sobre Ruby escrito por Eustaquio Rangel no seu periodo de aprendizagem da linguagem e Ultimo tutorial JAAS para comunicação com a base de dados que partiu de uma duvida no forum do JBoss sobre como implementar a especificação de seguridade e autenticação JAAS utilizando a base de dados num servidor de aplicação JBoss.

Também relacionado com JBoss, seguridade e autenticação são os wiki SecureJBoss que é uma fonte de conhecimento compartilhada sobre como configurar o JBoss para máxima seguridade e a definicação na Wikipedia de Single sign-on (SSO) que consiste em criar um único sistema de autenticação para diferentes aplicações.

O software livre não ficou atrás e assim chegamos a conhecer o WinLibre, um portal com muito software livre para o sistema operativo Windows. Os que deixaram Windows atrás ficaram contentes ao ver o post chamado 10 sites oferecendo cursos de Linux online de graça, do blog italiano Vagabondo Digitale, que recompilo alguns sites como o da IBM ou da Novell com excelentes cursos. Para os que gostam de especialmente Ubuntu, foi interessante conhecer a revista Full Circle Magazine que trata sobre tudo o relacionado com o sistema operativo Ubuntu e também o programa Ubuntu Tweak, que oferece muitas opções para alterar o mesmo. Muita gente pode estar querendo instalar o Java 6 no Ubuntu para treinar para alguma prova e o processo fica muito fácil depois de ler o artigo do Mundo Hev chamado Instalando Java 6 (1.6) no Ubuntu. Uma vez o Java corretamente instalado, a pagina sobre as certificações Java no portal JavaRanch pode nos ajudar bastante.

Voltando aos browsers, foi muito legal ver a aplicação de demonstração de SVG criada por Amaltas, o release 1.2.2 do jQuery, a comparação dos diferentes CSS Selectors em torno a velocidade realizada pelo pessoal do Ext JS e também a enorme quantidade (perto de 1000) de exemplos sobre Ajax, JavaScript e Dhtml que encontramos no site AjaxRain.

Finalmente, outros dois links interessantes foram o do Overview sobre Eclipse RAP e o Screencast de demostração criado por Michael Coté e o artigo escrito por Daniel Tenner chamado Como reconhecer um bom programador.

• Escrevendo uma API sólida
• Implementação
• Aplicações complexas
• Bugs dos browsers
• Documentação
• Testes
• Manutenção

uma implementação da especificação do Web Forms 2.0 realizada pela WHATWG. Essa especificação é um working draft maduro é tem sido adotado pela W3C para servir como ponto de inicio para a próxima versão do HTML. Essa implementação vai seguir a evolução da especificação do HTML 5 a partir do processo da W3C.

Dei uma olhada nos testes é não vejo a hora do HTML 5 chegar, definitivamente vai fazer o processo de criação de aplicações web um processo bem mais simples.

Com a chegada dos novos aparelhos moveis, as interfaces caligráficas estão crescendo mais do que nunca. A pesar disso, nos não vemos muitos sites como forums ou blogs pegando proveito disso. Nosso objetivo foi criar um widget caligráfico para ser usado nos formulários de maneira simples e transparante, algo como <input type="draw" />

Fiquei curioso e decidi experimentar.

Primeiro descarreguei a versão 1.2, que além dos três arquivos necessários (dois .js e um .swf chamado SWFObject, que serve para trabalhar com JavaScript e Flash), contem uma página de exemplo, outra com a documentação e uma ultima com as características da versão selecionada, assim como uma imagem que é utilizada na mostra.

Seguidamente, conforme indicado, fiz a inclusão dos dois arquivos js:

e por ultimo, inclui no meu corpo um elemento div que serviria como o editor, um elemento oculto que guardaria o resultado do meu desenho e uma instrução em JavaScript que se encarregaria de criar o widget depois do meu documento ter carregado perfeitamente:

Tentei visualizar o resultado do editor em forma de código da mesma maneira que pode ser visualizada na pagina do projeto, mas não consegui. Vou tentar me comunicar com os responsáveis para descobrir se fiz algo errado ou existe algum bug. Uma vez tendo controle com o resultado, posso salvar ele e depois visualizar o produto utilizando um visualizador que a mesma livraria traz.

De qualquer maneira, o editor pode ser testado aqui mesmo:

Espero que gostem.

Functional é uma livraria para programação funcional em JavaScript. Ela define funções padrão de ordem maior como map, reduce (vulgo foldl) e select (vulgo filter). Define também funções como curry, rcurry e partial para a aplicação de funções parciais […]. Todas as funções aceitam strings do tipo ‘x -> x+1′, ‘x+1′ ou ‘+1′ como sinônimo para a função function(x) {return x + 1}

Imaginemos que temos um array de números inteiros e queremos incrementar cada valor em uma unidade. Normalmente faríamos:

map(function(x){return x+1}, [1,2,3])

mas com Functional podemos fazer:

map('x+1', [1,2,3])

Se quiséssemos multiplicar um valor por aquele mesmo ate ser maior que 100, empezando com 2, com Functional poderiamos usar a função until:

until('>100', 'x*x')(2)

que vai fazer o seguinte: (((2 * 2) * 4) * 16) -> 256

No caso que desejemos fazer uma seleção de valores num vetor, teríamos como opção a função select. Nesse caso pegaremos os números maiores que 2:

select('x>2', [1,2,3,4])

Esse foi somente um simples exemplo do poderio do Functional. Os exemplos mostrados foram os mais simples, mas dependendo do programador, se podem criar expressões bem complexas e efetivas. Na página do Functional se podem testar algumas expressões e assim descobrir como ira se comportar o script nos casos indicados.

Incluir esse script no teu arquivo HTML basicamente quer dizer que o Internet Explorer vai ser comportar da mesma maneira que o Firefox, Opera e qualquer outro browser que corresponda às recomendações da W3C sobre como tratar eventos.

O script se encontra atualmente na versão 1.2 e podem aprender mais sobre ele com a documentação.