APK - Android - digitaalisen allekirjoituksen hallinta ?

Anonyymi

Käyttämäni ohjelmistotyöväline toimii Android -sovellusta tuottaessa tavalla, joka on tietysti erittäin miellyttävä ensimmäistä Android -sovellusta tehtäessä, kun se tavallaan "käyttäjän puolesta" huolehtii automaattisesti luodun APK -sovellusasennuspaketin digitaalisesta allekirjoituksesta.

Mutta vaikka tuo on ensimmäistä Android -sovellusta tehtäessä kätevää, niin jos sovellus on tarkoitus laittaa yleiseen jakeluun esim. Google Play:n kautta, niin mielestäni tuo EI OLE se paras tapa.

Koska käsittääkseni yksi "Android Storage" -luokista on sellainen, että vain sama sovellus näkee luodut tiedostot ja pääsee niihin käsiksi.

Jos luodaan vaikkapa pankkisovellus, niin tämä saattaa olla tietoturvan kannalta hyvä asia, että muut sovellukset eivät edes salatussa muodossakaan pääse käsiksi pankkisovelluksen tallentamiin kirjautumistietoihin.

Mutta: kun tuo perustuu APK -tiedoston digitaaliseen allekirjoittamiseen, niin pitäisihän salausavaimista tehdä varmuuskopio turvalliseen paikkaan, niin että voin palauttaa salausavaimet varmuuskopiolta, jos tietokone varastetaan tai menee niin pahasti rikki, ettei kiintolevyllä oleviin tiedostoihin enää pääse käsiksi.

Entä, jos otan tuon automaattisen digitaaliseen allekirjoittamisen pois käytöstä, löytyykö jostain sovellusta, jolla voi tehdä digitaaliseen allekirjoittamisen APK -tiedosoon Android -käyttöjärjestelmän hyväksymällä tavalla siten, että saa itse hallita niitä salausavaimia, jolloin niistä voi myös tehdä varmuuskopion ja laittaa sen turvalliseen paikkaan ?

Salausavaimissa liika automatisointi on pahasta, koska tällöin esim. kiintolevyn rikkoutuminen johtaa tilanteeseen, jossa niitä salausavaimia ei löydy enää mistään !

2

158

Äänestä

    Vastaukset

    Anonyymi (Kirjaudu / Rekisteröidy)
    5000
    • Anonyymi

      Yleensä lähdekoodit on erillään softapaketeista ja apk on softapaketti. Voidaan lisätä versionhallintaan vaikka release-tagi ja samalla tagilla pistää allekirjoitusavain versiohallintaan, jolla apk on allekirjoitettu. Yleensä ottaen automaatio tekee tuon eli avaimista ei tarvitse missään vaiheessa huolehtia itse - ne vain on siellä! Käännöksen yhteydessä ilmestyy avaimet ja menee versiohallintaan.
      Yleensä nuo julkaisuavaimet on erillään kehitysavaimista, jolloin voidaan tarkistaa esim. vuotaneesta ohjelmasta, kenen kehittäjän koneelta vuoto on tapahtunut. Mutta eri paikoissa toimitaan tietysti eri tavoilla..

      • Anonyymi

        Siis tarkoitus olisi, että olisi vaikkapa Windows -komentoriviohjelma SIGNAPK.exe

        ja sitten näin:

        SIGNAPK allekirjoittamaton.APK allekirjoitettu.APK -keysource Z:\APK_SIGNING_KEY.dat

        Eli tuo SIGNAPK -ohjelma lukee allekirjoitusavaimen tiedostosta Z:\APK_SIGNING_KEY.dat, ja käyttää sitä tiedoston allekirjoittamaton.APK digitaaliseen allekirjoittamiseen ja laittaa allekirjoitetun version kiintolevylle tiedostoon allekirjoitettu.APK jonka voi sitten uploadata vaikkapa Google Play -palveluun.

        Tai, jos en käytä Google Play -palvelua ohjelmani jakeluun niin voisin vaihtoehtoisesti koodata ohjelmani niin että tietyssä kohtaa apk -tiedostossa on pelkkää nollaa peräkkäin, mutta ennen allekirjoittamista voisin apuohjelmalla lisätä vaikkapa käyttäjäkohtaisen avaimen ja sitten allekrjoittaa tuon yhdelle käyttäjälle räätälöidyn version, ja tarjota ko. käyttäjälle suoran APK -tiedoston latauslinkin.

        Nythän jos kaikki lataavat täsmälleen saman APK:n Google Playsta, niin ei siinä voi olla mitään käyttäjäkohtaista avainta kun se on kaikille sama.

    Ketjusta on poistettu 0 sääntöjenvastaista viestiä.

    Takaisin ylös

    Luetuimmat keskustelut

    1. Sairaammaksi menee: Musk alkaa sensuroida Zelenskyin viestintää X:ssä

      IL: Musk puuttuu Zelenskyin viestintään – X:ään tulossa muutoksia "Elon Musk sanoo korjaavansa X:n, jotta käyttäjät voi
      Maailman menoa
      354
      3210

    2. Mihin sinussa haluan koskea

      Tilanne, että pääsisin tutustumaan eri kohtiin sinussa, mitä haluaisin kokeilla. Käsiin haluaisin tutustua, hieroa niitä
      Ikävä
      67
      2820

    3. Kerro nyt jotain

      Itsestäsi minkä haluaisit kaivattusi tietävän?
      Ikävä
      128
      1806

    4. On tämä meidän ikäero jo turhan suuri

      Kannattaisi tutustua samanikäisiin.
      Ikävä
      118
      1500

    5. Toisen ihmisen sydämellä

      leikkiminen on äärettömän moraalitonta. Antaa turhiaa toiveita ja sitten olla kuin mitään ei olisi tapahtunut. Kuinka vo
      Ikävä
      146
      1410

    6. Oho! Toivo Sukari paljastaa erikoisista iltatoimista Nadja-vaimon kanssa: "Hän aina putsaa mun..."

      Oho! Onpa iltatoimet tällä pariskunnalla. Toivo Sukari ja Nadja Sukari menivät naimisiin v. 2019. Lue lisää: https://
      Suomalaiset julkkikset
      30
      1323

    7. PAM:in mainos, älä mene tänään ruokakauppaan

      kannatan kovasti kaupan työntekijöille lisää liksa. MUTTA lakossa on huonoa, nyt kauppiaat näkevät kuinka vähällä henki
      Ammattiliitot
      155
      1268

    8. Mitä ajattelet kun

      Katsot kaivattuasi silmiin? Mitä näet silmissä?
      Ikävä
      71
      1126

    9. Millaisena luonteena

      Pidät kaivattuasi??
      Ikävä
      74
      1099

    10. Olen otettu, mutta turhaan kulta testailet

      Sinua minä vaan ❤️
      Ikävä
      70
      1050
    Aihe
    TietosuojaselosteKäyttöehdotEvästeasetuksetSäännöt