Android系统签名简介
apk的签名，简单说开发者可以通过签名 对应用进行标识和更新。包名在一个设备上是唯一的，这样可以避免被相同包名应用随意覆盖安装。这是一个非常重要的安全功能。
系统中的签名文件，也是对系统中应用进行签名，编译应用是可以指定签名类型。
下面介绍的是Android系统中的签名相关内容。
Android系统中的主要签名文件
media.pk8，media.x509.pem；platform.pk8，platform.x509.pem；releasekey.pk8，releasekey.x509.pem；shared.pk8，shared.x509.pem；testkey.pk8，testkey.x509.pem。
Android系统中的签名文件的路径
build/target/product/security/目录下。
编译时签名文件的配置
在Android.mk通过设置LOCAL_CERTIFICATE实现。如：LOCAL_CERTIFICATE := platform即选择platform来签名。
注：预置无源码的apk应用时，很多时候仍然使用原本第三方签名，LOCAL_CERTIFICATE := PRESIGNED。
.pk8和.x509.pem的区别
.pk8就是私钥文件，用于对apk进行签名。这个私钥需要保密保存，不能公开。
.x509.pem是证书文件，相当于公钥。这个可以公开，主要用于验证某个apk是否由相应的私钥签名。
系统不同签名文件的区别
简介:
-
sharedUserId
每个apk或文件，系统都会分配属于自己的统一的用户ID（UID），创建沙箱保证其他应用的影响或影响其他应用。如：一般应用只能访问自己包名下的文件（/data/data/pkgname），不能反问其他包名下的，其他应用也访问不了自己包名下的文件。
sharedUserId,拥有同一user id的应用 之间就可以共享数据库和文件，相互访问。这些应用可以运行在同一进程，也可以运行不同进程。
-
sharedUserId与签名文件
只有拥有相同sharedUserId标签的，且拥有相同签名的 应用才能分配相同的用户ID，实现数据共享。如果仅仅拥有相同sharedUserId标签，是无法确保安全的，也很容易被非法利用。
系统中5类签名文件说明
- platform:平台的核心应用签名，签名的apk是完成系统的核心功能。这些apk所在的进程UID是system。manifest节点中有添加android:sharedUserId="android.uid.system"。
- media: 这个签名的apk是media/download的一部分。manifest节点中有添加android:sharedUserId="android.media"。
- shared:这个签名的apk可以和home/contacts进程共享数据。manifest节点中有添加android:sharedUserId="android.uid.shared"。
- testkey/releasekey:平台默认key。在编译中未指定LOCAL_CERTIFICATE的，默认是用testkey。因为testkey是公开的，任何人都可以获取，不安全，所以一般使用 自己创建releasekey作为默认key。
修改平台默认签名
- build/core/config.mk路径下，修改下面变量为：
DEFAULT_SYSTEM_DEV_CERTIFICATE := build/target/product/security/releasekey
或者使用宏控选择。
- system/sepolicy/private/keys.conf 和 system/sepolicy/prebuilts/api/{apilevel}/private/keys.conf下，修改：
-ENG : $DEFAULT_SYSTEM_DEV_CERTIFICATE/testkey.x509.pem -USER : $DEFAULT_SYSTEM_DEV_CERTIFICATE/testkey.x509.pem -USERDEBUG : $DEFAULT_SYSTEM_DEV_CERTIFICATE/testkey.x509.pem +ENG : $DEFAULT_SYSTEM_DEV_CERTIFICATE/releasekey.x509.pem +USER : $DEFAULT_SYSTEM_DEV_CERTIFICATE/releasekey.x509.pem +USERDEBUG : $DEFAULT_SYSTEM_DEV_CERTIFICATE/releasekey.x509.pem
- build/core/core/Makefile下修改变量为：
BUILD_VERSION_TAGS = release-keys
或者使用宏控选择。
平台签名的创建
在工程目录下执行下面命令就可以生成一套platform,shared,media,releasekey签名文件：
subject='/C=US/ST=California/L=Mountain View/O=Android/OU=Android/CN=Android/emailAddress=android@android.com' mkdir ~/.android-certs for x in releasekey platform shared media; do \ ./development/tools/make_key ~/.android-certs/$x "$subject"; \ done
注:
- 生成是用工程中的./development/tools/make_key脚本，依次生成
- subject中参数的含义：
C ---> Country Name (2 letter code)
ST ---> State or Province Name (full name)
L ---> Locality Name (eg, city)
O ---> Organization Name (eg, company)
OU ---> Organizational Unit Name (eg, section)
CN ---> Common Name (eg, your name or your server's hostname)
emailAddress ---> Contact email address
- 生成签名文件过程，一般按回车，若输入密码后面签名apk需要手动输入。
查看签名apk的签名信息
keytool -printcert -jarfile xxx.apk
使用这个命令能够查看apk所使用签名的相关信息，如下图所示
使用系统签名文件直接给apk签名
java -Djava.library.path=. -jar signapk.jar xxx.x509.pem xxx.pk8 beforesign.apk aftersign.apk
如下示例，
将app-debug.apk使用releasekey签名，签名后的apk名字为app-debug_release.apk。
注意路径，如 signapk.jar路径在out/host/linux-x86/framework/signapk.jar，可以拷贝出来。平台签名文件路径上面已经讲过。如果出现报错，多注意下提示，调整即可。
java -Djava.library.path=. -jar signapk.jar releasekey.x509.pem releasekey.pk8 app-debug.apk app-debug_release.apk
