APK的签名

Question

我有一个已签名的应用程序和几个密钥库文件。我想更新应用程序，所以我需要找出使用了哪一个密钥。

如何根据我在计算机上使用的各种密钥库来匹配最初签署我的应用程序的密钥库？

Answer 1

首先，解压缩APK并解压缩文件/META-INF/ANDROID_.RSA（此文件也可能是CERT.RSA，但应该只有一个.RSA文件）。

然后发出以下命令：

keytool -printcert -file ANDROID_.RSA

您将获得以下证书指纹：

     MD5:  B3:4F:BE:07:AA:78:24:DC:CA:92:36:FF:AE:8C:17:DB
     SHA1: 16:59:E7:E3:0C:AA:7A:0D:F2:0D:05:20:12:A8:85:0B:32:C5:4F:68
     Signature algorithm name: SHA1withRSA

然后再次使用keytool打印出签名密钥库的所有别名：

keytool -list -keystore my-signing-key.keystore

您将获得别名列表及其证书指纹：

android_key, Jan 23, 2010, PrivateKeyEntry,
Certificate fingerprint (MD5): B3:4F:BE:07:AA:78:24:DC:CA:92:36:FF:AE:8C:17:DB

瞧！我们现在可以确定apk已经使用此密钥库签名，并使用别名'android_key'。

Keytool是Java的一部分，因此请确保您的PATH中包含Java安装目录。

Answer 2

您可以使用Java 7的密钥和证书管理工具keytool来检查密钥库或APK的签名，而无需提取任何文件。

APK的签名

keytool -list -printcert -jarfile app.apk

输出将显示APK文件app.apk的签名所有者/发布者以及MD5，SHA1和SHA256指纹。

（请注意，{7}中引入了-jarfile参数; see the documentation了解更多详细信息。）

密钥库的签名

keytool -list -v -keystore release.jks

输出将显示密钥库文件release.jks中的别名（条目），以及证书指纹（MD5，SHA1和SHA256）。

如果APK和密钥库之间的SHA1指纹匹配，那么您可以放心，该应用程序已使用密钥签名。

Answer 3

以Paul Lammertsma的答案为基础，这个命令将打印当前目录中所有APK的名称和签名（我正在使用sh，因为稍后我需要将输出传递给grep）：

find . -name "*.apk" -exec echo "APK: {}" \; -exec sh -c 'keytool -printcert -jarfile "{}"' \;

示例输出：

APK: ./com.google.android.youtube-10.39.54-107954130-minAPI15.apk
Signer #1:

Signature:

Owner: CN=Unknown, OU="Google, Inc", O="Google, Inc", L=Mountain View, ST=CA, C=US
Issuer: CN=Unknown, OU="Google, Inc", O="Google, Inc", L=Mountain View, ST=CA, C=US
Serial number: 4934987e
Valid from: Mon Dec 01 18:07:58 PST 2008 until: Fri Apr 18 19:07:58 PDT 2036
Certificate fingerprints:
         MD5:  D0:46:FC:5D:1F:C3:CD:0E:57:C5:44:40:97:CD:54:49
         SHA1: 24:BB:24:C0:5E:47:E0:AE:FA:68:A5:8A:76:61:79:D9:B6:13:A6:00
         SHA256: 3D:7A:12:23:01:9A:A3:9D:9E:A0:E3:43:6A:B7:C0:89:6B:FB:4F:B6:79:F4:DE:5F:E7:C2:3F:32:6C:8F:99:4A
         Signature algorithm name: MD5withRSA
         Version: 1

APK: ./com.google.android.youtube_10.40.56-108056134_minAPI15_maxAPI22(armeabi-v7a)(480dpi).apk
Signer #1:

Signature:

Owner: CN=Unknown, OU="Google, Inc", O="Google, Inc", L=Mountain View, ST=CA, C=US
Issuer: CN=Unknown, OU="Google, Inc", O="Google, Inc", L=Mountain View, ST=CA, C=US
Serial number: 4934987e
Valid from: Mon Dec 01 18:07:58 PST 2008 until: Fri Apr 18 19:07:58 PDT 2036
Certificate fingerprints:
         MD5:  D0:46:FC:5D:1F:C3:CD:0E:57:C5:44:40:97:CD:54:49
         SHA1: 24:BB:24:C0:5E:47:E0:AE:FA:68:A5:8A:76:61:79:D9:B6:13:A6:00
         SHA256: 3D:7A:12:23:01:9A:A3:9D:9E:A0:E3:43:6A:B7:C0:89:6B:FB:4F:B6:79:F4:DE:5F:E7:C2:3F:32:6C:8F:99:4A
         Signature algorithm name: MD5withRSA
         Version: 1

或者如果您只关心SHA1：

find . -name "*.apk" -exec echo "APK: {}" \; -exec sh -c 'keytool -printcert -jarfile "{}" | grep SHA1' \;

示例输出：

APK: ./com.google.android.youtube-10.39.54-107954130-minAPI15.apk
         SHA1: 24:BB:24:C0:5E:47:E0:AE:FA:68:A5:8A:76:61:79:D9:B6:13:A6:00
APK: ./com.google.android.youtube_10.40.56-108056134_minAPI15_maxAPI22(armeabi-v7a)(480dpi).apk
         SHA1: 24:BB:24:C0:5E:47:E0:AE:FA:68:A5:8A:76:61:79:D9:B6:13:A6:00

Answer 4

查看签名证书的方式更简单：

jarsigner.exe -verbose -verify -certs myapk.apk

这只会显示DN，因此如果您有两个具有相同DN的证书，则可能需要通过指纹进行比较。

Answer 5

有许多免费软件可以检查证书和密钥库，例如KeyStore Explorer。

解压缩apk并打开META-INF /？。RSA文件。？应该是CERT或ANDROID或者可能是其他东西。它将显示与您的apk相关的所有信息。

Answer 6

您可以使用Android SDK中的apksigner工具来做到这一点：

apksigner verify --print-certs my_app.apk

您可以在build-tools目录中找到apksigner。例如： ~/Library/Android/sdk/build-tools/29.0.1/apksigner

如何找出用于签署应用程序的密钥库？

6 个答案:

APK的签名

密钥库的签名