(1)生成MANIFEST.MF文件
生成MANIFEST.MF是对APK包中所有未签名文件逐个用算法SHA1进行数字签名,再对数字签名信息采用Base64进行编码,最后将编完码的签名写入MANIFEST.MF文件中。添加数字签名到manifest文件通过调用addDigestsToManifest方法实现,具体代码如下:
(简言之:MANIFESt.MF 文件中的内容就是通过遍历apk中所有文件(entry),逐一生成SHA-1数字签名,然后通过Base64编码转码)
- private static Manifest addDigestsToManifest(JarFile jar)
- {
- ……
- //遍历update.apk包中所有文件
- //得到签名文件内容
- InputStream data = jar.getInputStream(entry);
- //更新文件内容
- while ((num = data.read(buffer)) > 0) {
- md.update(buffer, 0, num);
- }
- ……
- //进行SHA1签名,并采用Base64进行编码
- attr.putValue("SHA1-Digest", base64.encode(md.digest()));
- output.getEntries().put(name, attr);
- ……
- }
需要说明,生成MANIFEST.MF使用了SHA1算法进行数字签名,SHA1是一种Hash算法,两个不同的信息经Hash运算后不会产生同样的信息摘要,由于SHA1是单向的,所以不可能从消息摘要中复原原文。如果恶意程序改变了APK包中的文件,那么在进行APK安装校验时,改变后的摘要信息与MANIFEST.MF的检验信息不同,应用程序便不能安装成功。
(2)生成CERT.SF文件
在生成MANIFEST.MF文件之后,用SHA1-RSA算法对其进行私钥签名(使用SHA1-RSA算法,用私钥对MANIFEST.MF摘要文件签名,并对其中每个文件摘要签名),便生成CERT.SF。具体代码如下:
- Signature signature = Signature.getInstance("SHA1withRSA");
- signature.initSign(privateKey);
- je = new JarEntry(CERT_SF_NAME);
- je.setTime(timestamp);
- outputJar.putNextEntry(je);
- writeSignatureFile(manifest, newSignatureOutputStream(outputJar, signature));
RSA是目前最有影响力的公钥加密算法,是一种非对称加密算法、能够同时用于加密和数字签名。由于RSA是非对称加密算法,因此用私钥对生成MANIFEST.MF的数字签名加密后,在APK安装时只能使用公钥才能解密它。
(3)生成CERT.RSA文件
生成CERT.RSA文件与生成CERT.SF文件不同之处在于,生成CERT.RSA文件使用了公钥文件。CERT.RSA文件中保存了公钥以及所用的采用加密算法等信息。具体代码如下:
- je = new JarEntry(CERT_RSA_NAME);
- je.setTime(timestamp);
- outputJar.putNextEntry(je);
- writeSignatureBlock(signature, publicKey, outputJar);
通过以上对Android应用程序签名的代码分析,可以看出Android系统通过对第三方APK包进行签名,达到保护系统安全的目的。应用程序签名主要用于对开发者身份进行识别,达到防范恶意攻击的目的,但不能有效地限制应用程序被恶意修改,只能够检测应用程序是否被修改过,如果应用程序被修改应该再采取相应的应对措施。
联系客服