मैं दो बातों के साथ इस सवाल प्रस्तावना के लिए तो मैं सीमित कर सकते हैं चाहते हैं, जहां मेरे वास्तविक सवाल यह है:एंड्रॉइड का ऐप/हस्ताक्षर सत्यापन कैसे काम करता है?
क) मैंने पहले सॉफ्टवेयर देव किया है, हालांकि एंड्रॉयड
ख के लिए कभी नहीं) मैं परिचित हूँ पीकेआई और एन्क्रिप्शन और हैशिंग और डिजिटल हस्ताक्षर और ब्ला ब्ला ब्ला
कहा जा रहा है कि मुझे एंड्रॉइड निर्माता कहां और कैसे एंड्रॉइड सत्यापित करता है, इस बारे में अधिक जानकारी को ट्रैक करने में परेशानी हो रही है। मैंने बहुत सारी जानकारी सुनी है इसलिए मैं वर्कफ़्लो का बेहतर विचार प्राप्त करने के लिए संश्लेषित करने की कोशिश कर रहा हूं।
मुझे पता है कि प्रत्येक ऐप डेवलपर को अपनी निजी/सार्वजनिक कुंजी जोड़ी मिलती है और वे एपीके को हराकर अपने ऐप्स पर हस्ताक्षर करते हैं (SHA-1 के साथ अधिकांश समय अगर मुझे गलत नहीं लगता है) और वहां आप जाते हैं। आप इसे अपलोड करते हैं और (मुझे विश्वास है) सार्वजनिक कुंजी एपीके के अंदर मेटा आईएनएफ में जाती है। मैं इतना समझता हूं।
मेरा प्रश्न यह है कि जब कोई उपयोगकर्ता ऐप डाउनलोड करता है तो यह कैसे संबंधित होता है। मुझे यह सुनिश्चित करने के लिए फोन चेक पता है कि ऐप वैध रूप से हस्ताक्षरित है, और हस्ताक्षर में लेखक और आदि के बारे में जानकारी भी शामिल है। लेकिन मैंने यह भी पढ़ा है कि ऐप्स स्वयं हस्ताक्षरित हैं और Google Play (या जो भी वे अब बाजार को कॉल कर रहे हैं) एक सीए लागू नहीं करता है, और इसमें कोई पहचान प्रमाणीकरण नहीं है? लेकिन मेरा सवाल यह है कि, फिर, लोगों को किसी अन्य डेवलपर्स नाम (अलग-अलग भीड़ को छोड़कर) के तहत ऐप अपलोड करने से रोकता है?
यदि फोन केवल वैध हस्ताक्षर के लिए जांच करता है तो यह दर्शाता है कि ऐप अपलोड होने पर प्रमाणीकरण का एकमात्र साधन किया जाता है? और यदि ऐसा है तो ऐप मार्केट इसे कैसे जांचता है? क्या यह सामान्य है - फ़ाइल पर निजी कुंजी का उपयोग करें और हस्ताक्षर की पुष्टि करें? या क्या डेवलपर को प्रमाणित करने के लिए बाजार को अपनी निजी कुंजी प्रदान करना है?
जब आप एपीके पर हस्ताक्षर करते हैं तो आपको निजी पासवर्ड प्रदान करना होगा। तो किसी के लिए "किसी और के रूप में" ऐप पोस्ट करने के लिए उन्हें अपनी कीस्टोर/कुंजी फ़ाइलों और पासवर्ड तक पहुंच की आवश्यकता होगी। और बाजार से जुड़े Google खाते तक पहुंच। – FoamyGuy
@ टिम: मुझे लगता है कि वह पूछ रहा है: किसी और को अपनी कुंजीपटल बनाने और स्वयं हस्ताक्षरित प्रमाणपत्र बनाने से रोकने के लिए क्या है जो इसमें "फ़्यूमिटज़" भी कहता है। क्या यह किसी भी तरह से किसी खाते से जुड़ा हुआ है? –