JARの署名手順

**********************
Qiitaに投稿したのでそちらをご覧下さい。
https://qiita.com/_alice/items/546ab6449ef14571e46c
ここにある情報は修正前なので注意して下さい。
**********************

①環境変数を設定する
JDK向けに変数を設定済みの場合は飛ばして下さい

>set JAVA_HOME=(JDKのインストールパスにあるbinフォルダーの場所)
>set PATH=%PATH%;%JAVA_HOME%\bin

②証明書を作成する
認証局からコードサイニング証明書を発行している、あるいはOpenSSL等で作成したPKCS12形式のファイルがある場合は飛ばして下さい

>keytool -genkeypair -keystore <作成する証明書のファイル名> -alias <名前> -keyalg ec -keysize 384 -validity 3650

aliasの名前は、Windowsの証明書のプロパティではフレンドリ名として表示されます。

keyalgとkeysizeは、ここでは楕円曲線暗号の384bitを指定していますが、Javaが対応していれば何でもかまいません。
https://docs.oracle.com/javase/jp/9/docs/specs/security/standard-names.html
ここのKeyPairGeneratorアルゴリズムの項目にあるものが使用できます。

validityは作成日からの有効期限で、ここでは10年(3650日)としています。

コマンドを実行すると、ここで作成する証明書を使用するときのパスワードを尋ねられます。
入力しても画面には表示されないので注意して下さい。
パスワードの入力が終わると、次の順で項目を尋ねられます。
①姓名
　ニックネームでもかまいません
②組織単位名
　部門の名前ですが、部活動のクラブ名とかそのへんです
③組織名
　個人の場合はとりあえずウェブサイトの名前でもいいでしょう
④都市名or地域名
　住所を知られたくないならとりあえず何でも
⑤都道府県名
　④に同じく
⑥国
　日本ならJPになります
ここまで入力が終わると、最後に[いいえ]と訊かれますが、「y」とだけ入力して下さい。
これで証明書が作成されました。

作成した証明書をPKCS12形式にしたい場合は、次のコマンドを実行して下さい。
>keytool -importkeystore -srckeystore <証明書のファイル名> -destkeystore <証明書のファイル名.p12> -deststoretype pkcs12
この形式にした場合、Windowsで証明書を登録できるようになります。

③JARファイルに署名する

以前に作成したことがある等で、フィンガープリントの値が既に判っている場合は、③の前に次の⑤を実行してください。

>jarsigner -sigalg SHA256withECDSA -digestalg SHA256 -tsa http://timestamp.digicert.com -keystore <証明書のファイル名> <JARファイル名> <aliasの名前>

sigalgとdigestalgは、ここでは楕円曲線DSAとSHA256を指定していますが、Javaが対応していれば何でもかまいません。
https://docs.oracle.com/javase/jp/9/docs/specs/security/standard-names.html
sigalgはここのSignatureアルゴリズム、digestalgはここのMessageDigestアルゴリズムから選択できます。

tsaはタイムスタンプサーバーのURLです。無くても署名は出来ますが、証明書の有効期限が切れると署名が無効になってしまいます。

証明書のファイル名は、keytoolで作成した物か、認証局またはOpenSSH等で作成したPKCS12形式の証明書を指定します。

パスワードを尋ねられますので、正しいパスワードを指定すれば署名が完了します。

④フィンガープリントの値を調べる
検証自体はJava側で行われますが、MOD側でForgeのイベントを定義することで検証結果を受け取ることが出来ます。
その際、必要となってくるのがフィンガープリントの値です。

フィンガープリントの値は、証明書をバイナリデータ(ASN-1)で表現したときのハッシュです。
フィンガープリントの値は、ForgeではSHA-1ハッシュを使います。
同じ証明書はフィンガープリントも同じですので、一度フィンガープリントの値を調べた後は、証明書を作り直さない限り有効です。

③で署名したJARファイルからフィンガープリントの値を確認できます。

>keytool -printcert -jarfile <JARファイル名>

これを実行すると長々と出力されますが、必要なのは最初の方にある署名です。
所有者と発行者が、②で入力した情報と同じであれば、そのすぐ下にあるフィンガープリントがそれです。

ForgeではSHA-1形式のフィンガープリントが必要なので、SHA1の後の16進表記を取っておいて下さい。

この16進表記は2桁ずつ「:」で区切られていますが、不要なので全て削ってつなげて下さい。
次に、大文字は小文字に書き換えて下さい。

これでMOD側に記述するフィンガープリントの値が出来ました。

⑤MOD側で検証する
④で調べたフィンガープリントの値を@ModアノテーションのcertificateFingerprintに文字列として記述します。

@Mod(certificateFingerprint="フィンガープリントの値")

次に、フィンガープリントの値が一致しなかった場合に警告を出すようにしたい場合は、FMLFingerprintViolationEventを記述する必要があります。
このイベントはFMLPreInitializationEventやFMLInitializationEventと同じように@Mod.EventHandlerアノテーションを使い宣言します。

@Mod.EventHandler
public void badSignature(FMLFingerprintViolationEvent event)
{
    System.err.println("署名が一致しません!オリジナルの配布ファイルではありません!");
}

⑥動作確認
debug.logに次の表記があるかどうか確認します。

[??:??:??] [main/DEBUG] [FML]: Found signing certificates for coremod <Mod名> (クラス名)
[??:??:??] [main/DEBUG] [FML]: Found certificate <フィンガープリントの値>

さらに下の方に、Valid Signaturesの方にMOD名が出てくれば成功です。
Mod signature data
[??:??:??] [main/DEBUG] [FML]: Mod signature data
[??:??:??] [main/DEBUG] [FML]:  Valid Signatures:
[??:??:??] [main/DEBUG] [FML]:  (フィンガープリントの値) <Mod名> (Mod表示名) <JARファイル名>

Missing Signaturesの方に出てきた場合は署名に失敗しています。

[??:??:??] [main/DEBUG] [FML]:  Missing Signatures:
[??:??:??] [main/DEBUG] [FML]:   <Mod名> (Mod表示名) <JARファイル名>

⑦おわり
お疲れ様でした。