上一篇文章: "畅所欲言: iOS逆向问题讨论"
本篇文章我们继续介绍如何对App进行签名。
内容包括代码签名和自动化签名的使用，将会加深你对应用签名的理解。
App签名
1.App签名的目的
App签名的目的在于验证数据的安全性，防止数据被篡改。
这句话的理解是，通过对应用进行签名，可以确保应用在传输过程中或在被执行时没有被恶意篡改，从而保障数据的完整性和安全性。
1. 主流系统平台如Mac和Windows在开发和运行软件时不需要签名，这意味着开发者可以在这些平台上创建并运行未经过签名的软件。
分享
这里分享一个关于Mac平台的小故事。如果你从事过Mac开发，相信你对Mac应用的开发有一定的了解。
对于简单的开发任务，Mac平台允许我们通过一些证书配置完成应用的打包。我们可以在自己的平台上进行应用的分发，而无需将应用提交到Mac应用商店。当然，如果需要，我们也可以选择将应用提交到Mac应用商店。
然而，如果我们开发的应用需要使用较多的权限，例如使用了扩展进程等功能，这些应用就必须上架到Mac应用商店。由于苹果证书的限制，开发者无法直接分发这些应用。
2. 软件下载平台的缺乏限制可能导致应用的控制权流失，因此苹果希望解决这个问题，以确保安装到iOS设备上的应用都是经过苹果允许的。
3. 是的，正是由于这样的需求，苹果才实施了应用签名机制。这个机制确保了应用的安全性和可信度，让用户可以放心地下载和使用在App Store上经过苹果审核的应用。
2.签名机制
1. 这里的签名指的是数字签名,它是基于非对称加密算法实现的.
补充
- 对称加密算法:
RC4,DES,3DES,AES128,AES356等,加解密双方密钥相同. - 非对称加密算法:
RSA,Elgamal等,加解密双方使用密钥对. - 哈希算法:
MD(16Byte),SHA1(20Byte)等.
任意长度的信息转换成到某一固定长度的信息摘要,主要作用是对数据完整性校验.
具有唯一性,不可逆性
2. 对称加密是通过同一份密钥加密和解密数据,一般接口请求的时候,我们会应用到对称加密/解密.
3. 非对称加密则有两份密钥,公钥和私钥.
用公钥加密的数据,要用私钥解密;
用私钥加密的数据,要用公钥解密
所以非对称加密以现有的技术很难破解,非对称加密是非常安全的.
3.App签名方式
1. 企业签名
一般不容易上架的应用,会通过企业签名.签名后通过自己的官网进行应用下发.
2. 开发者账号签名
开发者账号签名,(公司和个人账号),进行App调试,设备数量有限制
4.数字签名
- 数字签名怎么理解?
举个例子,企业领导数据报表签字,如果领导签字,说明数据报表合格,数据就不能随意更改.
- 什么是数字签名
我们通过计算校验数据HASH值,将校验的HASH值进行RSA加密,RSA加密过后的Hash值,即为数字签名.
注意
如果被校验的数据是代码,则是代码签名
5.苹果双向签名
我亲自制作了上面的双向签名图,更好地理解苹果双向签名的机制。
如上图所示
1. 开发者可以通过配置证书、描述文件等来打包和上架应用。这里提到的CSR也可以指本地公钥。
2. Apple服务器使用私钥A来打包证书。
3. Mac使用证书将本地私钥绑定。
4. 在安装App时，通过iPhone中的公钥A和证书中的私钥A进行验证，获取公钥、设备ID、AppID等信息。
5. 使用上一步获取的公钥进行私钥解密，以进行App签名。
6.如何对应用签名
-
1.iOS App Signer
前面的文章有介绍到 "探秘工具:MacOS工具探索"ios-app-signer (ipa文件重签名)的内容
可以阅读一下文章,经过重新签名,你就可以安装应用到iPhone设备了.
-
2.通过终端命令进行签名
我们先获取到本机所有证书
security find-identity -v -p codesigning
你可以选择其中一个证书进行签名
如何进行签名
codesign -fs "配置证书" 签名的文件
总结
本篇文章主要介绍以下内容:
1. App签名的目的
2. 签名机制
3. App签名方式
4. 数字签名
5. 苹果双向签名
6. 我们如何进行签名
通过这些内容的了解，相信您对App签名有了一定的了解。欢迎关注文章。
