android 签名文件的作用,Android 签名机制:Key的产生方法和签名原理

(1)生成MANIFEST.MF文件

生成MANIFEST.MF是对APK包中所有未签名文件逐个用算法SHA1进行数字签名，再对数字签名信息采用Base64进行编码，最后将编完码的签名写入MANIFEST.MF文件中。添加数字签名到manifest文件通过调用addDigestsToManifest方法实现，具体代码如下：

(简言之：MANIFESt.MF 文件中的内容就是通过遍历apk中所有文件(entry)，逐一生成SHA-1数字签名，然后通过Base64编码转码)private static Manifest addDigestsToManifest(JarFile jar)

{

……

//遍历update.apk包中所有文件

//得到签名文件内容

InputStreamdata=jar.getInputStream(entry);

//更新文件内容

while ((num=data.read(buffer))>0) {

md.update(buffer, 0, num);

}

……

//进行SHA1签名，并采用Base64进行编码

attr.putValue("SHA1-Digest", base64.encode(md.digest()));

output.getEntries().put(name, attr);

……

}

需要说明，生成MANIFEST.MF使用了SHA1算法进行数字签名，SHA1是一种Hash算法，两个不同的信息经Hash运算后不会产生同样的信息摘要，由于SHA1是单向的，所以不可能从消息摘要中复原原文。如果恶意程序改变了APK包中的文件，那么在进行APK安装校验时，改变后的摘要信息与MANIFEST.MF的检验信息不同，应用程序便不能安装成功。

(2)生成CERT.SF文件

在生成MANIFEST.MF文件之后，用SHA1-RSA算法对其进行私钥签名(使用SHA1-RSA算法，用私钥对MANIFEST.MF摘要文件签名，并对其中每个文件摘要签名)，便生成CERT.SF。具体代码如下：Signaturesignature=Signature.getInstance("SHA1withRSA");

signature.initSign(privateKey);

je=newJarEntry(CERT_SF_NAME);

je.setTime(timestamp);

outputJar.putNextEntry(je);

writeSignatureFile(manifest, newSignatureOutputStream(outputJar, signature));

RSA是目前最有影响力的公钥加密算法，是一种非对称加密算法、能够同时用于加密和数字签名。由于RSA是非对称加密算法，因此用私钥对生成MANIFEST.MF的数字签名加密后，在APK安装时只能使用公钥才能解密它。

(3)生成CERT.RSA文件

生成CERT.RSA文件与生成CERT.SF文件不同之处在于，生成CERT.RSA文件使用了公钥文件。CERT.RSA文件中保存了公钥以及所用的采用加密算法等信息。具体代码如下：je=newJarEntry(CERT_RSA_NAME);

je.setTime(timestamp);

outputJar.putNextEntry(je);

writeSignatureBlock(signature, publicKey, outputJar);

通过以上对Android应用程序签名的代码分析，可以看出Android系统通过对第三方APK包进行签名，达到保护系统安全的目的。应用程序签名主要用于对开发者身份进行识别，达到防范恶意攻击的目的，但不能有效地限制应用程序被恶意修改，只能够检测应用程序是否被修改过，如果应用程序被修改应该再采取相应的应对措施。