验证两个apk文件是否使用相同的签名进行签名

Question

我想验证两个APK文件是否已使用相同的证书签名。

我有整个JavaSDK可用，但想从Java代码使跨平台的原因。

有什么想法吗？

Answer 1

使用内置API PackageManager。checkSignatures（）。

解决方案有点乱，但仍然可行，只需深入PackageManager.checkSignature（）源代码并将实现移植到Java。在PackageManager中，加载和检查签名的部分主要基于JavaAPI：

• java。util。罐子Jarrentry
• java。util。罐子JarFile
• java。安全公钥
• java。安全证书
• java。安全证书例外
• java。安全证书工厂

总体思路：

1. 借用android.content.pm.签名源代码并将其移植到Java（需要剥离Parcelable）
2. 如何从apk收集/加载Signature，请查看android.content.pm.PackageParser中的CollectCerates（）和loadCerates（）方法。
3. 如何检查/比较'签名'，检查出check Signature（）和compareSignature（）在android.server.pm.PackageManagerService中的方法。

希望这有意义。

Answer 2

请尝试此处的链接开发者指南

您可以知道它们是否使用相同的签名进行签名，或者是否使用具有创建日期的证书验证。

首先导航到。终端中包含文件夹的apk

  $ jarsigner -verify -verbose -certs my_application.apk

Answer 3

所有关于是比较您的应用程序的签名

a) get signature of both aps 
b) check if sig.hashCode() == releaseSig.hashCode

1） 通过使用android api进行运行时检查：

Signature[] sigs = context.getPackageManager()
           .getPackageInfo(context.getPackageName(), PackageManager.GET_SIGNATURES)
           .signatures;

从文件：

 Signature releaseSig = context.getPackageManager()
          .getPackageAchiveInfo("/path2apk/app.apk",PackageManager.GET_SIGNATURES)
          .signatures[0];

2） 在android之外获取签名请参阅：

http://androidcracking.blogspot.com/2010/12/getting-apk-signature-outside-of.html

您可以使用：

 openssl pkcs7 -inform DER -in CERT.RSA -noout -print_certs -text
 unzip -p application.apk META-INF/CERT.RSA | keytool -printcert 

openssl的即时使用：

（解压缩

unzip -p application.apk META-INF/CERT.RSA 
             | openssl pkcs7 -inform DER -noout -print_certs -text

额外资源：

如何找出哪个密钥库用于签署应用程序？

如何获得APK签名？

我可以向您推荐一篇由Scott Alexander-Bown撰写的关于这个主题的好文章。

https://www.airpair.com/android/posts/adding-tampering-detection-to-your-android-app