android - android应用程序证书的用途

Question

我想澄清一个与 Android 应用程序证书(在安装过程中使用)相关的困惑。

在网络中，证书用于将公钥映射到域/身份(组织)。详细信息的哈希由 CA 签名，然后由浏览器验证。

Android 应用附带公钥。根据我的理解，开发人员可以使用他自己的私钥，对应用程序的哈希进行签名，然后使用他的公钥发布应用程序。此信息由安装程序使用。

我的问题是:

1. 即使使用了某些 CA，应用程序仍会随附 CA 的公钥 - 谁拥有签名公钥重要吗？它可以是任何人，因为安装程序只会使用它。

2. 完整性检查是 Android 应用程序证书的唯一用途吗？应用程序没有像网站一样的公钥，因此没有使用证书将某些公钥与应用程序相关联。证书还有其他用途吗？

Answer 1

does it matter who owns the signing public key ?

没有。通常，它们是自签名的。

Is integrity checking the only thing android app certificate is used for ?

它还用于回答两个与权限相关的问题:

1. App A 是否使用与 App B 相同的签名 key 签名？如果是，那么这些应用可能能够比任意两个应用更紧密地进行互操作。

2. App A 是否使用与固件签名相同的签名 key 签名？如果是，则 App A 可以拥有为设备制造商和自定义 ROM 开发人员保留的某些权限。

此外，开发人员可以验证其他应用的签名，这有助于确保您正在与正确的应用对话。