数字签名(digitally signed)
概念
数字签名（又称公钥数字签名）是一种类似写在纸上的普通的物理签名/支票签名，但是使用了公钥加密领域的技术实现，用于鉴别数字信息的方法。
原理
明文数据有时会比较大,不适合使用RSA非对称加密算法,那么数据的HASH值是比较小的.这个数据是用于校验的,它完全可以使用RSA来加密.所以在数据传递的时候,我们将明文数据加上通过RSA加密的校验数据一并传递给对方.那么这个通过RSA加密的校验数据,我们称之为签名.
数字签名的验证过程
-
首先传递数据时会将原始的数据和数字签名一起发送
-
对方拿到数据后,先进行校验.拿到原始数据,通过同样的
HASH算法得到数据的HASH值. -
然后通过非对称加密,将数字签名中的校验
HASH值解密出来. -
最后对比两个
HASH值是否一致.这样可以很好的判断数据是否被篡改!
代码签名(Code signing)
概念
代码签名是对可执行文件或脚本进行数字签名,用来确认软件在签名后未被修改或损坏的措施。和数字签名原理一样,只不过签名的数据是代码而已。
简单的代码签名
通过苹果官方生成非对称加密的一对公私钥.在iOS的系统中内置一个公钥,私钥由苹果后台保存,我们传APP到AppStore时,苹果后台用私钥对APP数据进行签名,iOS系统下载这个APP后,用公钥验证这个签名,若签名正确,这个APP肯定是由苹果后台认证的,并且没有被修改过,也就达到了苹果的需求:保证安装的每一个APP都是经过苹果官方允许的.
如果我们iOS设备安装APP只从App Store这一个入口这件事就简单解决了,没有任何复杂的东西,一个数字签名搞定.但是实际上iOS安装APP还有其他渠道.比如对于我们开发者而言,我们是需要在开发APP时直接真机调试的.而且苹果还开放了企业内部分发的渠道,企业证书签名的APP也是需要顺利安装的.
苹果需要开放这些方式安装APP,这些需求就无法通过简单的代码签名来办到了.那么我们来分析一下,它有些什么需求.
-
安装包不需要上传到
App Store,可以直接安装到手机上. -
苹果为了保证系统的安全性,又必须对安装的
APP有绝对的控制权
-
经过苹果允许才可以安装
-
不能被滥用导致非开发
APP也能被安装
为了实现这些需求,iOS签名的复杂度也就开始增加了,苹果这里给出的方案是双层签名.
iOS的双层代码签名
iOS的证书和描述文件，不管是调试开发还是上传ipa包都缺一不可，双层代码签名也一样。
名称解释
证书:内容是公钥或者私钥,由认证机构对其签名组成的数据包!我们开发可以使用钥匙串访问看到
P12:就是本地私钥,可以导入到其他电脑
Entitlements:权限文件,包含了
APP一些权限的plist文件CertificateSigningRequest:
CSR文件包含了本地公钥的数据文件Provisioning Profile:描述文件,包含了证书/
Entitlements等数据,并由苹果后台私钥签名的数据包.
双层代码签名原理
-
首先从
keychain里的 “从证书颁发机构请求证书”,这里就本地生成了一对公私钥,保存的CertificateSigningRequest里面就包含公钥,私钥保存在本地电脑里，因为是在Mac电脑上，不妨把它称之为 公钥 M 和 私钥 M -
向苹果申请对应把
CSR传到苹果后台生成证书. -
证书下载到本地: 这时本地有两个证书.一个是第
1步生成的私钥 M,一个是这里下载回来的证书,keychain会把这两个证书关联起来,因为他们公私钥是对应的,在XCode选择下载回来的证书时,实际上会找到keychain里对应的私钥 M去签名。这里私钥只有生成它的这台Mac有,如果别的Mac也要编译签名这个App就需要把私钥 M导出,形成p12文件。 -
在苹果开发者后台，配置 AppID / 权限 / 设备等，最后下载
Provisioning Profile文件。
苹果服务器也存有一个私钥，我们称之为 私钥 A，下载的证书和描述文件都是经过私钥 A签名的，ios系统的设备是存有公钥 A,用来验打包的app的证书的。
-
XCode会通过第3步下载回来的证书（存着公钥），在本地找到对应的私钥（第一步生成的），用本地私钥 M,去签名App，并把Provisioning Profile文件命名为embedded.mobileprovision一起打包进去。所以任何本地调试的APP,都会有一个embedded.mobileprovision(描述文件),从App Store下载的没有。 - 在安装时，
iOS系统取得证书，通过系统内置的公钥 A，去验证证书的数字签名是否正确。 - 验证证书后确保了公钥 M 是苹果认证过的，再用公钥 M 去验证
APP的签名(私钥 M签名)，这里就间接验证了这个APP安装行为是否经过苹果官方允许。（这里只验证安装行为，不验证APP是否被改动，因为开发阶段APP内容总是不断变化的，苹果不需要管。）
APP签名的数据
这里对 App 的签名数据保存分两部分
-
Mach-O 可执行文件会把签名直接写入文件里
-
其他资源文件则会保存在 _CodeSignature 目录下在APP包里。
网友评论