显示 Android 证书

Question

我有一个简短的问题：这个调用究竟返回了什么？

context.getPackageManager().getPackageInfo(context.getPackageName(), GET_SIGNATURES).signatures[0].toByteArray();

我知道它会返回应用程序的第一个应用程序证书，即META-INF 文件夹中的CERT.RSA，但它返回的具体内容是什么？只是一个将整个证书表示为文件或其他字节数组的字节数组？我对证书的结构及其包含的数据不太了解，所以我真的没有任何线索。

最好的答案是openssl 的指令，我从上面的代码行中得到返回值。

Answer 1

我终于自己在安卓模拟器上测试了一下，得到了最终答案。一旦我意识到 PKCS7 只是一种存储形式，或者更确切地说是各种签名类型的容器，实际上就不难理解了。

应用内

调用返回CERT.RSA 文件中的第一个签名。这是一个嵌入 X.509 证书的 PKCS7 文件，据我所知，它始终只是 android 应用程序的一个签名。

Signature sig = context.getPackageManager().getPackageInfo(context.getPackageName(), GET_SIGNATURES).signatures[0];

从上面得到的这个Signature可以直接用来生成一个像这样的工作X.509-certificate（取自here）：

 byte[] rawCert = sig.toByteArray();
 InputStream certStream = new ByteArrayInputStream(rawCert);

 CertificateFactory certFactory;
 X509Certificate x509Cert;
 try {
      certFactory = CertificateFactory.getInstance("X509");
      x509Cert = (X509Certificate) certFactory.generateCertificate(certStream);

      //do stuff with your certificate
 } catch(Exception ex) {
      //handle exception
 }

其他任何地方

如果您在自己的 android 应用程序之外拥有证书并且想要相同的字节流，由上面的函数提供，您可以使用这样的简单 Java 程序来做同样的事情：

 FileInputStream is = new FileInputStream("CERT.RSA");
 CertificateFactory cf = CertificateFactory.getInstance("X.509");
 X509Certificate c = (X509Certificate) cf.generateCertificates(is).toArray()[0];
 byte[] rawCert = c.getEncoded();

此代码首先读取文件，创建CertificateFactory，然后是隔离PKCS7 容器中的第一个证书的重要步骤。然后c.getEncoded() 最终为您提供与上述方法完全相同的表示。

openssl

最后但并非最不重要的openssl-命令（取自here）：

 openssl pkcs7 -inform DER -in CERT.RSA -print_certs -text

它会给你一个包含信息的漂亮概述，最后

 -----BEGIN CERTIFICATE-----
 ...
 -----END CERTIFICATE-----

块。它包含与上面相同的数据。如果您解析此块的内容并使用 base64 对其进行解码，它将为您提供与上面两个示例完全相同的字节数组。

Answer 2

context.getPackageManager().getPackageInfo(context.getPackageName(), GET_SIGNATURES).signatures[0]

将返回与应用程序包关联的签名证书的表示。它将是文档中定义的 here 的 Signature 类的一个实例。 （“签名”这个名称有点误导，甚至在文档本身中也提到了）。

context.getPackageManager().getPackageInfo(context.getPackageName(), GET_SIGNATURES).signatures[0].toByteArray();

将返回其字节数组表示。 ie：证书文件的字节数组表示。

除此之外，证书只是一个文本文件并不是什么新鲜事，但数据被结构化为通用格式并进行了编码。 X.509 是使用最广泛的格式之一。你可以找到它here。 X.509 证书的 RFC 是 here。证书的结构使得它们可以在被第三方更改时轻松检查。

没有任何直接返回字节[]的openssl命令。我能想到的最接近的是 openssl 命令，您可以使用它来获取证书的文本表示。

$ openssl x509 -in <your-certificate> -noout -text

Answer 3

PackageInfo 的签名成员只是从包文件中读取的所有签名的数组。

public Signature[] signatures;

android.content.pm.Signature 类以形式存储签名

private final byte[] mSignature;

这就是 toByteArray() 的作用：

/**
 * @return the contents of this signature as a byte array.
 */
public byte[] toByteArray() {
    byte[] bytes = new byte[mSignature.length];
    System.arraycopy(mSignature, 0, bytes, 0, mSignature.length);
    return bytes;
}

所以本质上，这段代码只是为您提供了用于对包进行签名的签名字节数组。

假设CERT.RSA是apk的META-INF文件夹下的RSA文件，可以通过以下方式获取包的MD5、SHA1、SHA256签名：

keytool -printcert -file CERT.RSA