Android的APK应用签名机制以及读取签名的方法

发布过android应用的朋友们应该都知道，android apk的发布是需要签名的。签名机制在android应用和框架中有着十分重要的作用。例如，android系统禁止更新安装签名不一致的apk；如果应用需要使用system权限，必须保证apk签名与framework签名一致，等等。

什么是签名
首先我们得知道什么是摘要，摘要是指采用单向hash函数对数据进行计算生成的固定长度的hash值，摘要算法有md5，sha1等，md5生成的hash值是128位的数字，即16个字节，用十六进制表示是32个字符，sha1生成的hash值是160位的数字，即20个字节，用十六进制表示是40个字符。我们是不能通过摘要推算出用于计算摘要的数据，如果修改了数据，那么它的摘要一定会变化(其实这句话并不正确，只是很难正好找到不同的数据，而他们的摘要值正好相等)。摘要经常用于验证数据的完整性，很多下载网站都会列出下载文件的md5值或者sha1值。
摘要和签名没有任何关系，网上常常将摘要和签名混为一谈，这是错误的。签名和数字签名是同一个概念，是指信息的发送者用自己的私钥对消息摘要加密产生一个字符串，加密算法确保别人无法伪造生成这段字符串，这段数字串也是对信息的发送者发送信息真实性的一个有效证明。其他发送者用他们的私钥对同一个消息摘要加密会得到不同的签名，接收者只有使用发送者签名时使用的私钥对应的公钥解密签名数据才能得到消息摘要，否则得到的不是正确的消息摘要。
数字签名是非对称密钥加密技术+数字摘要技术的结合。
数字签名技术是将信息摘要用发送者的私钥加密，和原文以及公钥一起传送给接收者。接收者只有用发送者的公钥才能解密被加密的信息摘要，然后接收者用相同的hash函数对收到的原文产生一个信息摘要，与解密的信息摘要做比对。如果相同，则说明收到的信息是完整的，在传输过程中没有被修改；不同则说明信息被修改过，因此数字签名能保证信息的完整性。并且由于只有发送者才有加密摘要的私钥，所以我们可以确定信息一定是发送者发送的。
另外还需要理解一个概念：数字证书。数字证书是一个经证书授权中心数字签名的包含公钥及其拥有者信息的文件。数字证书的格式普遍采用的是x.509v3国际标准，一个标准的x.509数字证书包含以下一些内容：证书的版本信息:
1)证书的序列号，每个证书都有一个唯一的证书序列号；
2)证书所使用的签名算法；
3)证书的发行机构名称，命名规则一般采用x.500格式；
4)证书的有效期，通用的证书一般采用utc时间格式，它的计时范围为1950-2049；
5)证书所有人的名称，命名规则一般采用x.500格式；
6)证书所有人的公开密钥；
7)证书发行者对证书的签名。
cert.rsa包含了数字签名以及开发者的数字证书。cert.rsa里的数字签名是指对cert.sf的摘要采用私钥加密后的数据，android系统安装apk时会对cert.sf计算摘要，然后使用cert.rsa里的公钥对cert.rsa里的数字签名解密得到一个摘要，比较这两个摘要便可知道该apk是否有正确的签名，也就说如果其他人修改了apk并没有重新签名是会被检查出来的。
需注意android平台的证书是自签名的，也就说不需要权威机构签发，数字证书的发行机构和所有人是相同的，都是开发者自己，开发者生成公私钥对后不需要提交到权威机构进行校验。

读取签名
某些时候需要获取某个特定的apk(已安装或者未安装)的签名信息,如程序自检测,可信赖的第三方检测（应用市场）,系统限定安装 
对此，有两种实现方法 
可以使用java自带的api(主要用到的为jarfile,jarentry,certificate)进行获取,还有一种方法是使用系统隐藏的api packageparser,通过反射来使用对应的api. 
但是由于安卓系统的分裂版本过多，并且不同厂商进行的修改很多，依赖反射隐藏api的方法并不能保证兼容性和通用性，因此推荐使用java自带api进行获取：  
  

 
  /** 
   * 从apk中读取签名 
   * @param file 
   * @return 
   * @throws ioexception 
   */ 
  private static list<string> getsignaturesfromapk(file file) throws ioexception { 
    list<string> signatures=new arraylist<string>(); 
    jarfile jarfile=new jarfile(file); 
    try { 
      jarentry je=jarfile.getjarentry("androidmanifest.xml"); 
      byte[] readbuffer=new byte[8192]; 
      certificate[] certs=loadcertificates(jarfile, je, readbuffer); 
      if(certs != null) { 
        for(certificate c: certs) { 
          string sig=tocharsstring(c.getencoded()); 
          signatures.add(sig); 
        } 
      } 
    } catch(exception ex) { 
    } 
    return signatures; 
  } 

 /** 
   * 加载签名 
   * @param jarfile 
   * @param je 
   * @param readbuffer 
   * @return 
   */ 
  private static certificate[] loadcertificates(jarfile jarfile, jarentry je, byte[] readbuffer) { 
    try { 
      inputstream is=jarfile.getinputstream(je); 
      while(is.read(readbuffer, 0, readbuffer.length) != -1) { 
      } 
      is.close(); 
      return je != null ? je.getcertificates() : null; 
    } catch(ioexception e) { 
    } 
    return null; 
  } 
 
/** 
   * 将签名转成转成可见字符串 
   * @param sigbytes 
   * @return 
   */ 
  private static string tocharsstring(byte[] sigbytes) { 
    byte[] sig=sigbytes; 
    final int n=sig.length; 
    final int n2=n * 2; 
    char[] text=new char[n2]; 
    for(int j=0; j < n; j++) { 
      byte v=sig[j]; 
      int d=(v >> 4) & 0xf; 
      text[j * 2]=(char)(d >= 10 ? ('a' + d - 10) : ('0' + d)); 
      d=v & 0xf; 
      text[j * 2 + 1]=(char)(d >= 10 ? ('a' + d - 10) : ('0' + d)); 
    } 
    return new string(text); 
  }