Maven 中央仓库启用 SSL

  • Ben Evans
  • 赵震一

2014 年 8 月 7 日

话题:JavaDevOps语言 & 开发

为了应对黑客可以向 Maven 中央仓库上传普通代码库的恶意版本这一问题,Sonatype 公司发布了新的版本并默认使用了 SSL 连接。Sonatype 公司的产品管理副总裁 Brian Fox 主动对此事进行了评论,并说明最早提出 SSL 连接需求的是 Sonatype 公司的商业客户。他将这一问题之所以持续了这么久的原因归咎于大众的“安全盲点”,目前的事实就是从 2012 年以来,只有 12 个用户签约了启用 SSL 的 Nexus。

上周,安全顾问 Max Veytsman 发布了一篇标题为“如何接管任何 Java(或者是 Clojure 或 Scala)开发者的计算机”的博文,该博文发表之后,Maven 在明文的 HTTP 协议之上进行操作的安全问题显得格外显著。在该博文中,Veytsman 重点强调了 Maven 中央仓库在“中间人攻击”这一类网络攻击面前的脆弱性。

Sonatype 马上对此事做出了响应,并向外界透露:一个为所有用户修复安全漏洞的项目已经在紧锣密鼓的进行中,而当前的计划是 8 月 12 日前,将 SSL 支持作为 CLM 和 Nexus 的默认选项。

Maven 中央仓库的 SSL 连接在 8 月 3 日已经可以使用,而现有的工具则可以通过配置来将https://repo1.maven.org/maven2/作为默认中央仓库地址,当前的 Maven 用户可以通过在 settings.xml 文件中重新定义“central”来将 https 替换掉 http。

更多的信息可以查看该用户页面

查看英文原文:Maven Central Enables SSL

JavaDevOps语言 & 开发