Android签名算法的原理

在 apk 中写入一个 “指纹”，指纹写入以后，apk 中有任何修改，都会导致这个指纹无效
Android 系统在安装 apk 进行签名校验时就会不通过，从而保证了安全性

1. 确保 apk 来源的真实性；
2. 确保 apk 没有被第三方篡改；

签名就是 在摘要的基础上再进行一次加密，对摘要加密后的数据就可以当作数字签名

签名过程：
  1. 计算摘要：通过 Hash 算法提取出原始数据的摘要；
  2. 计算签名：再通过基于密钥（私钥）的非对称加密算法对提取出的摘要进行加密，加密后的数据就是签名信息；
  3. 写入签名：将签名信息写入原始数据的签名区块内；

校验过程：
  1. 提取摘要：首先用同样的 Hash 算法从接收到的数据中提取出摘要；
  2. 解密签名：使用发送方的公钥对数字签名进行解密，解密出原始摘要；
  3. 比较摘要：如果解密后的数据和提取的摘要一致，则校验通过；如果数据被第三方篡改过，解密后的数据和摘要将会不一致，则校验不通过；

对一个任意长度的数据，通过一个 Hash 算法计算后，都可以得到一个固定长度的二进制数据，这个数据就称为 “摘要”
在签名和校验的流程之中，应用了许多密码学的知识

Hash(散列算法)的基础原理，Hash 算法就是将数据(如一段文字)运算变为另一固定长度值，它的特点主要有如下三点：
  1. 唯一性；
  2. 不可逆性；
  3. 固定长度：比较常用的 Hash 算法有 MD5 和 SHA1，MD5 的长度是128位，SHA1 的长度是160位；

常用的 Hash 算法有如下三种：
  1. SHA-1：在密码学中，SHA-1（安全散列算法1）是一种加密散列函数，它接受输入并产生一个160 位（20 字节）散列值，称为消息摘要；
  2. MD5：MD5 消息摘要算法（英语：MD5 Message-Digest Algorithm），一种被广泛使用的密码散列函数，可以产生出一个128位（16字节）的散列值（hash value），用于确保信息传输完整一致；
  3. SHA-2：名称来自于安全散列算法2（Secure Hash Algorithm 2）的缩写，一种密码散列函数算法标准，其下又可再分为六个不同的算法标准，包括了：SHA-224、SHA-256、SHA-384、SHA-512、SHA-512/224、SHA-512/256；

**数字证书**

数字证书是 身份认证机构（Certificate Authority）颁发的，主要包含了以下六类信息：
1. 证书颁发机构；
2. 证书颁发机构签名；
3. 证书绑定的服务器域名；
4. 证书版本及有效期；
5. 签名使用的加密算法（非对称算法，如 RSA）；
6. 公钥等；

接收方收到消息后，需要先向 CA 验证证书的合法性，再进行签名校验。

需要注意的是，apk 的证书通常是自签名的，也就是由开发者自己制作，没有向 CA 机构申请
Android 在安装 apk 时并没有校验证书本身的合法性，只是从证书中提取公钥和加密算法，这也正是对第三方 Apk 重新签名后，还能够继续在没有安装这个 Apk 的系统中继续安装的原因