Java 27 ist \u2013 wie schon Java 26<\/a> \u2013 ein sehr \u00fcberschaubares Release: Es enth\u00e4lt lediglich neun JEPs. Mehr als die H\u00e4lfte davon sind wiedervorgelegte Preview- und Incubator-Features: drei mit kleinen \u00c4nderungen (Lazy Constants<\/a>, Structured Concurrency<\/a> und PEM Encodings<\/a>) und zwei ganz ohne \u00c4nderungen (Primitive Type Patterns<\/a> und die Vector API<\/a>).<\/p>\n\n\n\n Vier Features sind neu: Compact Object Headers sind ab Java 27 standardm\u00e4\u00dfig aktiviert<\/a>; G1 ist auch auf kleinen Instanzen der Default Garbage Collector<\/a>; TLS unterst\u00fctzt jetzt quantensichere Verschl\u00fcsselung<\/a>, und der Java Flight Recorder kann vertrauliche Informationen in Umgebungsvariablen, System Properties und Programmargumenten schw\u00e4rzen<\/a>.<\/p>\n\n\n\n F\u00fcr alle JEPs und \u00c4nderungen aus den Release Notes verwende ich wie immer die originalen, englischen Bezeichnungen.<\/p>\n\n\n\n\n\n Compact Object Headers (von 96 auf 64 Bit komprimierte Objekt-Header) wurden in Java 24<\/a> als experimentelles Feature eingef\u00fchrt. In Java 25<\/a> wurden sie zu einem produktiven Feature, mussten aber noch explizit mit In Java 27 werden sie durch JDK Enhancement Proposal 534<\/a> standardm\u00e4\u00dfig aktiviert. Sie k\u00f6nnen aktuell noch mit Jedes Java-Objekt besteht im Speicher aus zwei Teilen: dem Objekt-Header und den eigentlichen Nutzdaten. Der Objekt-Header war bisher in zwei Teile aufgeteilt: das Mark Word<\/em> (auch als Lock Word<\/em> bezeichnet) und das Class Word<\/em>.<\/p>\n\n\n Das Mark Word enthielt:<\/p>\n\n\n\n Das Class Word enthielt einen 32-Bit-Offset zu den Klassen-Metadaten im sogenannten Compressed Class Space. Durch das Class Word wei\u00df die JVM von welcher Klasse ein Objekt ist.<\/p>\n\n\n\n Im neuen kompakten Objekt-Header sind Mark Word und Class Word zu einem einzigen 64-Bit-Wert verschmolzen. <\/p>\n\n\n Dieser enth\u00e4lt unver\u00e4ndert:<\/p>\n\n\n\n Die 27 zuvor ungenutzten Bits werden im kompakten Header wie folgt belegt:<\/p>\n\n\n\n Durch die standardm\u00e4\u00dfige Aktivierung von Compact Object Headers wird der Heap-Verbrauch bei einem Upgrade auf Java 27 \u2013 insbesondere bei Anwendungen mit vielen kleinen Objekten \u2013 um ca. 10\u201320 % reduziert und der Durchsatz um ca. 5\u201310 % erh\u00f6ht.<\/p>\n\n\n\n Wird eine Java-Anwendung mit aktiviertem JDK Flight Recorder<\/a> gestartet (dem in die JVM integrierten Monitoring- und Profiling-Tool), zeichnet dieser u. a. die Umgebungsvariablen, die System Properties und die Programm-Argumente mit auf.<\/p>\n\n\n\n Oft werden jedoch vertrauliche Informationen \u2013 wie Access Tokens f\u00fcr APIs oder Passw\u00f6rter f\u00fcr Datenbanken oder Keystores \u2013 \u00fcber Umgebungsvariablen, System Properties oder Programm-Argumente an die Anwendung \u00fcbergeben, wie in folgendem Beispiel:<\/p>\n\n\n Ein Angreifer mit Zugriff auf die Flight-Recorder-Aufzeichnung k\u00f6nnte Token und Passw\u00f6rter problemlos aus der Aufzeichnung extrahieren.<\/p>\n\n\n\n Um das zu verhindern, wird ab Java 27 alles, was wahrscheinlich ein Token oder ein Passwort ist, automatisch in der JFR-Aufzeichnung geschw\u00e4rzt (englisch: redacted<\/em>) und erscheint als Woher wei\u00df der Flight Recorder, was ein Token oder ein Passwort ist?<\/p>\n\n\n\n Standardm\u00e4\u00dfig schw\u00e4rzt der Flight Recorder alle Umgebungsvariablen oder System Properties mit einem Key, der auf eines der folgenden Pattern matcht (Gro\u00df-\/Kleinschreibung wird dabei ignoriert, und das Sternchen ist ein Platzhalter f\u00fcr beliebige andere Zeichen):<\/p>\n\n\n Zudem werden alle Programm-Argumente (oder Paare von Programm-Argumenten) geschw\u00e4rzt, die auf eines der folgenden Pattern matchen (ein Leerzeichen steht dabei f\u00fcr das Leerzeichen zwischen zwei aufeinanderfolgenden Argumenten):<\/p>\n\n\n Im Beispiel zu Beginn des Abschnitts wurden die folgenden sensitiven Informationen beim Programmstart angegeben: <\/p>\n\n\n\n Diese Pattern matchen bewusst gro\u00dfz\u00fcgig \u2013 im Zweifel wird lieber zu viel als zu wenig geschw\u00e4rzt. Das kann auch harmlose Werte treffen: Eine Umgebungsvariable namens Die Konfiguration, was geschw\u00e4rzt werden soll, kann auch ge\u00e4ndert werden:<\/p>\n\n\n\n Wenn wir beispielsweise nur<\/em> den Key Alternativ k\u00f6nnten wir eine Text-Datei erstellen, die die zwei Keys in je einer Zeile enth\u00e4lt. Hie\u00dfe diese Datei beispielsweise Wenn wir die Standard-Schw\u00e4rzungslisten nicht ersetzen<\/em>, sondern erweitern<\/em> wollen, k\u00f6nnen wir der Liste von Keys (oder dem Dateinamen) ein In diesem Fall w\u00fcrden alle Environment Variablen oder System Properties geschw\u00e4rzt werden, die entweder auf ein Pattern aus der Standardliste matchen oder die den Begriff \u201econfidential\u201c enthalten.<\/p>\n\n\n\n Um das vorherige Verhalten wiederherzustellen, k\u00f6nnen wir das Schw\u00e4rzen durch Angabe von \u201enone\u201c vollst\u00e4ndig deaktivieren:<\/p>\n\n\n\n Damit werden Umgebungsvariablen, System Properties und Programm-Argumente wieder uneingeschr\u00e4nkt aufgezeichnet.<\/p>\n\n\n\n Die JFR In-Process Data Redaction ist in JDK Enhancement Proposal 536<\/a> spezifiziert.<\/p>\n\n\n\n In Java 24 wurden Algorithmen zur quantensicheren Schl\u00fcsselkapselung (Key Encapsulation)<\/a> und f\u00fcr quantensichere digitale Signaturen<\/a> eingef\u00fchrt.<\/p>\n\n\n\n Warum schon jetzt? Es gibt zwar aktuell noch keine Quantencomputer, die heutige Verschl\u00fcsselungsverfahren brechen k\u00f6nnen \u2013 aber ein Angreifer k\u00f6nnte schon heute verschl\u00fcsselten Datenverkehr mitschneiden und speichern \u2013 um ihn Jahre sp\u00e4ter, sobald ausreichend leistungsf\u00e4hige Quantencomputer bereitstehen, zu entschl\u00fcsseln. Dieses Szenario nennt man \u201eHarvest now, decrypt later<\/a>\u201c. Alles, was du heute klassisch verschl\u00fcsselt \u00fcbertr\u00e4gst, ist damit potenziell gef\u00e4hrdet.<\/p>\n\n\n\n Java 27 f\u00fcgt nun quantensichere Verschl\u00fcsselung f\u00fcr TLS (den Nachfolger von SSL) hinzu \u2013 und zwar in Form von sogenanntem hybridem Schl\u00fcsselaustausch<\/em> (englisch: hybrid key exchange<\/em>). Hybrider Schl\u00fcsselaustausch bedeutet, dass mehrere Schl\u00fcsselaustauschverfahren kombiniert werden \u2013 und der Schl\u00fcsselaustausch selbst dann noch sicher ist, wenn alle der verwendeten Verfahren bis auf eines geknackt wurden.<\/p>\n\n\n\n In der Java-Implementierung wird je ein ECDHE<\/a>-Algorithmus (nicht quantensicher) mit einem ML-KEM<\/a>-Algorithmus (quantensicher) kombiniert \u2013 in drei Varianten mit jeweils unterschiedlichen Schl\u00fcssell\u00e4ngen.<\/p>\n\n\n\n Sofern vom Server unterst\u00fctzt, setzt Java 27 den neuen, quantensicheren Schl\u00fcsselaustausch automatisch ein \u2013 ohne dass es einer speziellen Konfiguration bedarf. So l\u00e4sst sich aufgezeichneter Datenverkehr auch mit einem k\u00fcnftigen Quantencomputer nicht mehr entschl\u00fcsseln.<\/p>\n\n\n\n Welche Varianten der Algorithmen genau eingesetzt werden \u2013 und wie du beim Aufbau einer TLS-Verbindung die Standard-Algorithmen-Auswahl von Java \u00fcberschreiben kannst, kannst du in JDK Enhancement Proposal 527<\/a> nachlesen. <\/p>\n\n\n\n Der G1 Garbage Collector ist seit Java 9 der Default-Garbage-Collector \u2013 in der Regel<\/em>. Eine Ausnahme galt bisher f\u00fcr leistungsschwache Maschinen mit entweder nur einer CPU oder weniger als 1.792 MB RAM. Auf solchen Maschinen wurde standardm\u00e4\u00dfig der Serial GC aktiviert, da dieser mit diesen begrenzten Ressourcen einen signifikant h\u00f6heren Durchsatz und niedrigeren Speicherverbrauch hatte als der G1.<\/p>\n\n\n\n Durch die kontinuierlichen Verbesserungen am G1 \u2013 zuletzt durch die Verbesserungen des Durchsatzes in Java 26<\/a> \u2013 erreicht der G1 auch auf leistungsschw\u00e4cheren Maschinen nun ann\u00e4hernd den Durchsatz des Serial GC. <\/p>\n\n\n\n Da die Latenzen des G1 grunds\u00e4tzlich besser sind als die des Serial GC, entschied das JDK-Team nun, die Ausnahmeregel f\u00fcr leistungsschwache Maschinen zu entfernen und den G1 in allen Umgebungen \u2013 unabh\u00e4ngig von CPU-Anzahl und Speichergr\u00f6\u00dfe \u2013 zum Default-Garbage-Collector zu machen.<\/p>\n\n\n\n Es ist nicht geplant, den Serial GC zu entfernen; dieser kann (genau wie zuvor dort, wo er nicht standardm\u00e4\u00dfig ausgew\u00e4hlt wurde) \u00fcber Die \u00c4nderung ist in JDK Enhancement Proposal 523<\/a> spezifiziert.<\/p>\n\n\nCompact Object Headers by Default \u2013 JEP 534<\/h2>\n\n\n\n
-XX:+UseCompactObjectHeaders<\/code> aktiviert werden.<\/p>\n\n\n\n-XX:-UseCompactObjectHeaders<\/code> deaktiviert werden \u2013 diese Option wird aber in einer zuk\u00fcnftigen Java-Version entfernt werden.<\/p>\n\n\n\nHerk\u00f6mmliche Objekt-Header: 96 Bit \/ 12 Byte<\/h3>\n\n\n\n
![\"Java](\"https:\/\/www.happycoders.eu\/wp-content\/uploads\/2024\/11\/jep-450-java-object-header-mark-word-class-word.v3-800x217.png\")
\n
System.identityHashCode()<\/code> zur\u00fcckgegebene Wert), <\/li>\n\n\n\nsynchronized<\/code>-Locking verwendet werden,<\/li>\n\n\n\nCompact Object Headers: 64 Bit \/ 8 Byte<\/h3>\n\n\n\n
![\"Aufbau](\"https:\/\/www.happycoders.eu\/wp-content\/uploads\/2024\/11\/jep-450-compact-object-header-java.v2-800x174.png\")
\n
\n
JFR In-Process Data Redaction \u2013 JEP 536<\/h2>\n\n\n\n
$ export<\/span> ACCESS_TOKEN=SECRET_ACCESS_TOKEN\n$ java -XX:StartFlightRecording:filename=recording.jfr \\\n -Djavax.net.ssl.keyStorePassword=SECRET_KEYSTORE_PASSWORD \\\n -jar application.jar \\\n --dbpassword SECRET_DATABASE_PASSWORD<\/code><\/span>Code-Sprache:<\/span> Bash<\/span> (<\/span>bash<\/span>)<\/span><\/small><\/pre>\n\n\n[REDACTED]<\/code>.<\/p>\n\n\n\nStandardkonfiguration<\/h3>\n\n\n\n
*api*key*\n*auth*\n*client*secret*\n*credential*\n*jaas*config*\n*jwt*\n*passphrase*\n*passwd*\n*password*\n*private*key*\n*pwd*\n*secret*\n*token*<\/code><\/span>Code-Sprache:<\/span> Klartext<\/span> (<\/span>plaintext<\/span>)<\/span><\/small><\/pre>\n\n\n-*api*key *\n-*client*secret *\n-*credential *\n-*jaas*config *\n-*jwt *\n-*passphrase *\n-*passwd *\n-*password *\n-*private*key *\n-*pwd *\n-*secret *\n-*token *\n*api*key*\n*client*secret*\n*credential*\n*jaas*config*\n*passphrase*\n*passwd*\n*password*\n*private*key*\n*pwd*\n*secret*\n*token*<\/code><\/span>Code-Sprache:<\/span> Klartext<\/span> (<\/span>plaintext<\/span>)<\/span><\/small><\/pre>\n\n\n\n
ACCESS_TOKEN<\/code> \u2013 diese matcht auf *token*<\/code> und wird daher ab Java 27 geschw\u00e4rzt,<\/li>\n\n\n\njavax.net.ssl.keyStorePassword<\/code> \u2013 diese matcht auf *password*<\/code> und wird daher geschw\u00e4rzt <\/li>\n\n\n\n--dbpassword SECRET_DATABASE_PASSWORD<\/code> \u2013 dieses matcht auf -*password *<\/code> und wird daher ebenfalls geschw\u00e4rzt.<\/li>\n<\/ul>\n\n\n\nTOKEN_REFRESH_INTERVAL<\/code> etwa enth\u00e4lt kein Geheimnis, matcht aber auf *token*<\/code> und erscheint dementsprechend als [REDACTED]<\/code>. Falls dich die Schw\u00e4rzung eines konkreten, unkritischen Werts st\u00f6rt, kannst du die beiden Listen \u00fcber die im Folgenden gezeigten Parameter redact-key<\/code> und redact-argument<\/code> gezielt einschr\u00e4nken.<\/p>\n\n\n\n\u00c4nderung der Standardkonfiguration<\/h3>\n\n\n\n
\n
redact-key<\/code> k\u00f6nnen wir die erste der zwei oben gezeigten Listen (die Pattern f\u00fcr Environment Variablen und System Properties) \u00fcberschreiben oder erweitern.<\/li>\n\n\n\nredact-argument<\/code> k\u00f6nnen wir die zweite der oben gezeigten Listen (die Pattern f\u00fcr Programm-Argumente) \u00fcberschreiben oder erweitern.<\/li>\n<\/ul>\n\n\n\nACCESS_TOKEN<\/code> und die System Property javax.net.ssl.keyStorePassword<\/code> schw\u00e4rzen wollten, k\u00f6nnten wir den Flight Recorder wie folgt starten:<\/p>\n\n\n\njava -XX:FlightRecorderOptions:'redact-key=ACCESS_TOKEN;*keyStorePassword' ...<\/code><\/p>\n\n\n\nkeys.txt<\/code>, dann k\u00f6nnten wir auch den Namen dieser Datei \u2013 mit einem @<\/code> voran \u2013 angeben:<\/p>\n\n\n\njava -XX:FlightRecorderOptions:'redact-key=@keys.txt' ...<\/code><\/p>\n\n\n\n+<\/code> voranstellen, z. B. so:<\/p>\n\n\n\njava -XX:FlightRecorderOptions:'redact-key=+*confidential*' ...<\/code><\/p>\n\n\n\nSchw\u00e4rzen ausschalten<\/h3>\n\n\n\n
java -XX:FlightRecorderOptions:'redact-key=none,redact-argument:none' ...<\/code><\/p>\n\n\n\nPost-Quantum Hybrid Key Exchange for TLS 1.3 \u2013 JEP 527<\/h2>\n\n\n\n
Make G1 the Default Garbage Collector in All Environments \u2013 JEP 523<\/h2>\n\n\n\n
-XX:+UseSerialGC<\/code> aktiviert werden.<\/p>\n\n\n\n