利用 DES 加密算法保護 Java 類文件：自定義 ClassLoader 實現運行時解密

Java 代碼保護的必要性與挑戰

Java 類文件編譯為字節碼，JVM 規範完全透明，導致 反編譯極易 (JAD、JD-GUI、Fernflower 等工具可近乎完美還原源碼)。保護知識產權的三大路徑對比：

Java 密碼架構 (JCA/JCE) 基礎

• JCA：定義服務介面 (MessageDigest, Signature, KeyPairGenerator 等)，廠商無關
• JCE：擴充加密服務 (Cipher, KeyGenerator, SecretKeyFactory 等)，受出口管制歷史影響曾分離，現整合在 JDK
• Provider 機制：SunJCE (Oracle 預設)、BouncyCastle 等實現具體算法
• 核心原則：算法獨立性 (介面隔離)、實現獨立性 (Provider 可插拔)

DES 算法核心參數

注意：DES 已不再安全 (56 位密鑰可暴力破解)，生產環境強制使用 AES-256。本文以 DES 為教學示例，實戰請替換算法名稱。

完整加密解密流程與代碼

1. 生成密鑰 (離線一次性操作)

// 生成密鑰文件 key.dat
SecureRandom sr = new SecureRandom();
KeyGenerator kg = KeyGenerator.getInstance("DES"); // 實戰用 "AES"
kg.init(sr);
SecretKey key = kg.generateKey();
Files.write(Paths.get("key.dat"), key.getEncoded());

2. 加密類文件 (構建/部署階段)

// 加密單個 .class 文件
byte[] rawKey = Files.readAllBytes(Paths.get("key.dat"));
DESKeySpec dks = new DESKeySpec(rawKey);
SecretKeyFactory skf = SecretKeyFactory.getInstance("DES");
SecretKey key = skf.generateSecret(dks);

Cipher cipher = Cipher.getInstance("DES/ECB/PKCS5Padding"); // 明確指定模式/填充
cipher.init(Cipher.ENCRYPT_MODE, key, sr);

byte[] classData = Files.readAllBytes(Paths.get("Target.class"));
byte[] encrypted = cipher.doFinal(classData);
Files.write(Paths.get("Target.class.enc"), encrypted); // 發布 .enc 文件

3. 自定義 ClassLoader 運行時解密 (核心)

public class DecryptClassLoader extends ClassLoader {
    private final SecretKey key;
    private final String encryptedDir; // 加密類文件目錄
    
    public DecryptClassLoader(SecretKey key, String encryptedDir, ClassLoader parent) {
        super(parent);
        this.key = key;
        this.encryptedDir = encryptedDir;
    }
    
    @Override
    protected Class findClass(String name) throws ClassNotFoundException {
        // 1. 定位加密文件
        String path = name.replace('.', '/') + ".class.enc";
        File encFile = new File(encryptedDir, path);
        if (!encFile.exists()) {
            return super.findClass(name); // 委派父加載器 (系統類等)
        }
        
        try {
            // 2. 讀取並解密
            byte[] encrypted = Files.readAllBytes(encFile.toPath());
            Cipher cipher = Cipher.getInstance("DES/ECB/PKCS5Padding");
            cipher.init(Cipher.DECRYPT_MODE, key);
            byte[] decrypted = cipher.doFinal(encrypted);
            
            // 3. 定義類
            return defineClass(name, decrypted, 0, decrypted.length);
        } catch (Exception e) {
            throw new ClassNotFoundException("Decrypt failed: " + name, e);
        }
    }
}

4. 應用啟動入口整合

public class SecureLauncher {
    public static void main(String[] args) throws Exception {
        // 1. 載入密鑰 (可從硬件加密設備、環境變量、遠程服務獲取)
        byte[] rawKey = Files.readAllBytes(Paths.get("key.dat"));
        SecretKey key = SecretKeyFactory.getInstance("DES")
            .generateSecret(new DESKeySpec(rawKey));
        
        // 2. 安裝自定義 ClassLoader
        DecryptClassLoader loader = new DecryptClassLoader(key, "encrypted_classes", 
            SecureLauncher.class.getClassLoader());
        
        // 3. 啟動真正應用 (由自定義 Loader 載入)
        Class mainClass = loader.loadClass("com.myapp.Main");
        Method main = mainClass.getMethod("main", String[].class);
        main.invoke(null, (Object) args);
    }
}

關鍵安全強化措施

1. 密鑰保護：不落盤明文

• 密鑰存儲於硬件安全模組 (HSM)、TPM、SGX 機密計算環境
• 或使用白盒加密技術將密鑰融合在 ClassLoader 代碼中
• 啟動時從授權服務器動態下發 (需網絡)、硬件綁定授權文件

2. 算法升級：AES-256-GCM

// 現代標準：認證加密，防篡改
Cipher cipher = Cipher.getInstance("AES/GCM/NoPadding");
// 需管理 IV (12 bytes) 與認證標籤 (16 bytes)，建議隨密文一併存儲

3. 完整性驗證

• 類文件加密前計算 SHA-256，解密後驗證
• 防止中間人修改字節碼注入惡意代碼

4. 防調試與反逆向

• ClassLoader 代碼混淆 (ProGuard + 字符串加密)
• 運行時檢測調試器 (JDWP 端口、系統屬性、時序分析)
• 關鍵邏輯移至 Native 庫 (JNI) 或遠程授權服務

局限性與補充方案

總結

「類文件加密 + 自定義 ClassLoader 即時解密」是 Java 端側代碼保護的 工程化最佳方案。核心鏈路：構建期加密 → 發布密文 → 運行期解密 → defineClass。配合 AES-256-GCM、硬件級密鑰管理、完整性驗證、反調試混淆，可將逆向成本提升至經濟上不可行水平。但需認清：純軟件方案無法達到絕對安全，高價值資產需結合硬件信任錨 (TEE/HSM) 實施纵深防禦。