apksigner ile APK imzasını doğrulama

Araç ne sağlar?

APK'nin imzası ve desteklenen şemalar değerlendirilebilir. Son dosyanın imzalama sonrasında değişmediği doğrulanmalıdır.

Sınırlar ve yaygın hatalar

Geçerli imza, uygulama kodunun hatasız veya bütün saldırılara dayanıklı olduğunu göstermez.

Kontrol listesi

• Son APK'yi doğrulayın
• Sertifikayı beklenenle eşleyin
• İmza sonrası değişikliği önleyin

Karar verirken

İmza doğrulamasını dağıtım kabulünün zorunlu ama tek olmayan parçası yapın.

İmza doğrulamasını yayın kapısına koymak

İmza denetimi koruma ve paketleme işlemleri tamamlandıktan sonra yapılmalıdır. Erken aşamadaki doğru dosyanın raporu, sonradan değişmiş başka paketi doğrulamaz. Son dosyanın özeti ve imza bilgisi yayın kaydına bağlanır.

Anahtar değişimi veya farklı dağıtım kanalında beklenen kimlik ayrıca tanımlanır. İmzanın kriptografik olarak geçerli olması, onun kurumun beklediği imza olduğu anlamına gelmez. Denetim hem teknik geçerliliği hem doğru yayın kimliğini kapsamalıdır.

İlgili rehberler: Android uygulama imzalama ve RASP, Mobile RASP yayın kabul listesi.

Salt okunur imza doğrulama örneği

Android SDK Build Tools içindeki apksigner erişilebilir olduğunda kendi APK dosyanız için aşağıdaki doğrulamayı çalıştırabilirsiniz. Komut dosyayı imzalamaz veya değiştirmez.

apksigner verify --verbose --print-certs uygulama.apk

Çıkış kodu, doğrulama ayrıntıları ve imzalayan sertifika bilgileri birlikte değerlendirilir. Beklenen kurum imzasıyla eşleştirme ayrıca yapılmalıdır. Herhangi bir geçerli imza, doğru yayıncı kimliği anlamına gelmez.

Koruma veya paketleme adımından sonra komut tekrar çalıştırılır. Çıktı, aynı dosyanın SHA-256 özetiyle yayın kaydına bağlanır. Anahtar değişimi planlanıyorsa mevcut kullanıcı güncellemesi ve sunucu uygulama kimliği politikası da test edilir.