Android SHA256签名algorythm，证书具有SHA1 algorythm

Question

我的问题有点跟进了这个问题：Can I specify digest algorithm apksigner uses?

我与apksigner签署了一个APK并在上面的帖子中进行了重新审核后，我将minSDK提升到18岁以上。正如预期的那样，生成的MANIFEST.MF和ANDROID.SF摘要报告了包中文件的SHA-256摘要哈希值，而不是SHA-1摘要哈希值。

Android-minSDK18.SF摘录

Android-minSDK16.SF摘录

但是，使用keytool -printcert -file "ANDROID - minSDK18.RSA"或keytool -printcert -file "ANDROID - minSDK16.RSA"打印.RSA证书会产生相同的结果，指定SHA1withRSA签名算法。

这可能是因为SHA1withRSA是嵌入在证书中的Signature algorythm：

我的问题是要知道用于签署APK的证书的签名算法是否会对SHA-1碰撞问题产生影响，即使APK是使用SHA-256 algorythm签名的。

Answer 1

不，应用程序签名证书中的签名算法 - 证书颁发者用于签署证书的算法 - 对您的Android应用程序的安全性没有影响。原因是Android不会在应用程序签名证书中验证此加密签名。

有关更多背景信息，应用程序签名证书中对Android重要的是：

1. 它解析，
2. 声明其公钥可用于数字签名，
3. （仅在更新已安装的应用时），它与当前安装的应用版本的应用签名证书相同。