[发明专利]一种使用三级证书认证实现APK统一签名的方法

说明书

本发明涉及一种使用三级证书认证实现APK统一签名的方法，该方法采用三级证书链包括CA证书，用户设备证书，用户根证书，用户工作证书进行CA认证，其中CA证书集成到固件中，用户设备证书在设备出厂时预置到设备中，集成该方案的的POS终端能够下载不同用户终端证书来支持用户多样化的应用签名验证需求，例如SM3WithSM2，SHA3‑256WITHRSA等，厂商不需要因为验签方案为客户针定制版本，方便版本管理和减少开发成本。

技术领域

本发明涉及签名和验签的方法，特别涉及Android中用于在APK完整性校验机制中添加自定义签名验签并对应用证书进行认证中心(CA)认证的方法。

背景技术

在Android平台上运行的每个应用都必须有开发者签名，没有签名或者签名被破坏的应用无法安装到Android设备中。Android应用目前可由第三方(原始设备制造商(OEM)、运营商、其他应用市场)进行签名，也可自签名，Android提供了使用自签名证书进行代码签名的功能，应用并非必须由核心机构签名，不对应用证书进行认证中心(CA)认证。

目前Android支持三种签名方案，一种是JAR签名，即常说的v1，v1签名方案缺点在于META-INF目录不受签名保护因此无法保证APK的完整性。在Android7.0中引入了APK签名V2/V3(V2/V3签名方案)，该方案直接对APK的内容进行哈希处理和签名，并将“APK签名分块”插入APK中，该方案对ZIP元数据的修改将会导致APK签名作废，不仅加快了校验速度，并增强了完整性校验。因为APK的V2/V3签名方案是在Androuid7.0(Nought)中引入的，为了兼容Android6.0(Marshmallow)及更低的版本安装，多数情况下将采用v1+V2/V3的签名方案，即先使用v1签名对apk进行签名，然后再使用V2/V3签名对其进行签名。Android9.0中引入了新的签名方式，它的格式大体和V2/V3类似，在V2/V3插入的签名块(ApkSignatureBlockV2/V3)中，又添加了一个新块(Attr块)支持密钥轮转，可以对签名进行更新。

由于Android系统的开放性，现有基于Android系统的智能销售点终端(PointofSale,POS)需要厂商对其进行定制，在POS终端出厂时将CA证书预置到设备中，保证只有经过CA认证的应用证书签出的应用程序才能够允许被安装POS设备中。

目前上述的签名方案中，Android原生方案是不对应用证书进行CA认证，现有CA认证方案是在设备出厂前将CA证书预置到设备中，并使用该CA证书进行应用签名验证，需要给不同客户定制生产，出厂后无法变更签名验证方案。

发明内容

本发明针对现有Android签名方案所存在的不足而提供一种使用三级证书链实现APK统一签名的方法，该方法在不影响原APK的签名验签的基础上添加额外的自定义签名，并考虑到仅v1签名，以及携带V2/V3/v3签名的不同应用场景，提供兼容的解决方案。

本发明通过以下技术方案予以实现：

一种使用三级证书认证实现APK统一签名的方法，包括：

S1：由CA根证书生成用户设备证书、用户根证书及用户工作证书；

S2：对整个经过压缩后的APK文件进行签名，其中APK文件经Android原生签名，将生成的签名数据SGN插入到压缩的文件内容源数据与目录源数据之间的APK签名块中；

S3：终端在安装APK时，首先进行自定义签名验签，然后进行Android原生验签。

进一步的，所述CA根证书集成到固件中。

进一步的，S1中具体证书生成步骤如下：

S1.1：由厂商产生根证书密钥对，生成自签名CA根证书；

S1.2：由客户产生根证书密钥对；