Se um serviço está sendo disponibilizado via RMI/IIOP (como em um EJB por exemplo), como alguém poderia acessa-lo sem possuir as classes de stub a as interfaces? Tem como fazer isso trabalhando em mais baixo nível com os protocolos em si?
Note que esta é uma pergunta de segurança. Imagine que eu deixe um EJB sem nenhuma proteção… Uma pessoa mal intencionada que não possui as minhas classes clientes conseguiria de alguma forma enviar uma requisição a esse EJB para obter uma resposta?
A menos que este mal intencionado construa um proxi a partir de uma decompilação do seu código fonte ou de informações sobre como exatamente funciona sua classe, não consigo imaginar como fazer isto.