Android 运行中效验文件完整合法性

标签：android   签名   合法性   完整性   

一.概述

二.实现

1.文件完整性效验

       这里字符串取MD5就不做赘述了.既然要效验文件的完整性,那么就牵扯到取文件MD5摘要,这里是用JDK中的MessageDigest通过读取文件的二进制流,使用update累计更新文件流的MD5摘要来获取整个文件的MD5摘要.拿到文件MD5之后跟接口下发的对比就OK了.所以单纯做文件完整性效验还是很简单的.

    /**
     * get file md5
     * @param file
     * @return
     * @throws NoSuchAlgorithmException
     * @throws IOException
     */
    private static String getFileMD5(File file) throws NoSuchAlgorithmException, IOException {
        if (!file.isFile()) {
            return null;
        }
        MessageDigest digest;
        FileInputStream in;
        byte buffer[] = new byte[1024];
        int len;
        digest = MessageDigest.getInstance("MD5");
        in = new FileInputStream(file);
        while ((len = in.read(buffer, 0, 1024)) != -1) {
            digest.update(buffer, 0, len);
        }
        in.close();
        BigInteger bigInt = new BigInteger(1, digest.digest());
        return bigInt.toString(16);
    }

       文件合法性的效验相比完整性效验就要复杂不少,这里合法性是根据签名来做的,所以起码要简单了解签名的过程,签名之后文件发生了什么变化和怎么获取文件的签名信息等.
       1)签名后产出

       生成签名文件和签名的过程这里就不细说了,主要分析一下签名之后的一些情况.解压签名之后的文件可以看到经过签名生成出来了一个META-INF文件夹,里面一般都是三个文件用来存放所有文件的效验以及签名信息.

       MANIFEST.MF:可以明文查看,对所有文件取BASE64哈希值.

       ANDROIDK.SF:可以明文查看,对所有文件的前三行取BASE64哈希值.

       ANDROIDK.RSA:前面两个文件都只是对文件做了一个哈希摘要,并没有签名公钥等信息,RSA文件里面就包含了我们所需要的信息,其中包含有开发者信息,开发者公钥以及CA根据前两个文件的摘要信息经过私钥加密后的密文.RSA文件是不能查看明文的,这里可以使用openssl的命令来输出该文件的信息.openssl pkcs7 -inform DER -in ANDROIDK.RSA -noout -print_certs -text, 从这个文件的数据结构来看本章需要用到的其实就是公钥,获取文件自身证书信息的公钥,然后对比app自身的签名公钥就可以判断文件的合法性.

       2)获取app自身签名

       通过上面的介绍可以了解到签过名的文件都可以获取到一个基于RSA算法的RSA public key,这里就通过效验这个公钥的方式来验证合法性,app自身的签名信息可以通过PackageInfo获取,获取到之后经过字符串转换和截取,将RSA public key部分摘取出来就OK了.

    /**
     * get local app rsa public key
     * @param ctx
     * @return
     * @throws IOException
     * @throws PackageManager.NameNotFoundException
     * @throws CertificateException
     */
    private static String getLocalSignature(Context ctx) throws IOException,
            PackageManager.NameNotFoundException, CertificateException {
        String signCode = null;
        //get signature info depends on package name
        PackageInfo packageInfo = ctx.getPackageManager().getPackageInfo(
                ctx.getPackageName(), PackageManager.GET_SIGNATURES);
        Signature[] signs = packageInfo.signatures;
        Signature sign = signs[0];
        CertificateFactory certFactory = CertificateFactory
                .getInstance("X.509");
        X509Certificate cert = (X509Certificate) certFactory
                .generateCertificate(new ByteArrayInputStream(sign.toByteArray()));
        String pubKey = cert.getPublicKey().toString();
        String ss = subPublicSignature(pubKey);
        ss = ss.replace(",", "");
        ss = ss.toLowerCase();
        int aa = ss.indexOf("modulus");
        int bb = ss.indexOf("publicexponent");
        signCode = ss.substring(aa + 8, bb);

        return signCode;
    }

/**
 * Package archive parsing
 *
 * {@hide}
 */
public class PackageParser {
    //source/frameworks/base/core/java/android/content/pm
}

       从PackageParser类中的collectCertificates方法中可以看到如下代码片段.首先根据文件路径将签名后的apk,jar或zip文件装载到JarFile中(JarFile是继承自ZipFile),然后获取文件内容部的某个文件(这部分代码块是获取的manifest文件),再获取到该文件的证书信息.只要能拿到证书信息,那么拿到公钥什么的都是小case了.

    public boolean collectCertificates(Package pkg, int flags) {
        //.................
        JarFile jarFile = new JarFile(mArchiveSourcePath);
        //.................
        JarEntry jarEntry = jarFile.getJarEntry(ANDROID_MANIFEST_FILENAME);
        //.................
        certs = loadCertificates(jarFile, jarEntry, readBuffer);
        pkg.mSignatures = null;
        //.................
    }

    private static Certificate[] loadCertificates(JarFile jarFile, JarEntry je,
                                                  byte[] readBuffer) throws IOException {
        // We must read the stream for the JarEntry to retrieve
        // its certificates.
        InputStream is = new BufferedInputStream(jarFile.getInputStream(je));
        while (is.read(readBuffer, 0, readBuffer.length) != -1) {
            // not using
        }
        is.close();
        return je != null ? je.getCertificates() : null;
    }

转载请注明出处:http://blog.csdn.net/l2show/article/details/48182367

Android 运行中效验文件完整合法性

标签：android   签名   合法性   完整性   

原文地址：http://blog.csdn.net/l2show/article/details/48182367