CN105873044B - 基于安卓平台的应用程序发布方法、开发者追溯方法和装置 - Google Patents

Abstract

本发明涉及基于安卓平台的应用程序发布方法、开发者追溯方法和装置。所述基于安卓平台的应用程序发布方法包括如下步骤：获取应用程序开发者的用户身份信息；解析应用程序apk包，读取apk包的自签名数字证书，并提取自签名数字证书中的公钥；以用户身份信息和公钥向第三方认证服务中心申请同密钥数字证书；将由第三方认证服务中心审核并签发的同密钥数字证书重新打包进apk包；发布重新打包的apk包。本发明通过第三方签发的同密钥数字证书确保了开发者身份真实可信，同密钥数字证书重新打包到apk包中能实现对开发者的追溯，而且还兼容安卓***的安全认证机制，不影响应用程序正常升级。

Description

基于安卓平台的应用程序发布方法、开发者追溯方法和装置

技术领域

本发明涉及移动互联网的信息安全技术，更具体地说，涉及一种基于安卓平台的应用程序发布方法、开发者追溯方法和装置。

背景技术

随着移动智能终端的普及、移动互联网业务的蓬勃发展，信息安全重心从互联网向移动互联网转移。移动智能终端引发的颠覆性变革揭开了移动互联网产业发展的序幕，智能终端改变了人们的工作生活方式。但是，在移动终端向智能化、开放化发展的同时，也面临越来越多的安全威胁。

谷歌的安卓(Android)操作***是开放平台，因而成为手机恶意软件主要感染平台。无法对安卓手机恶意软件的开发者身份进行有效溯源进而追究其法律责任，导致恶意软件开发者违法成本低下，是造成安卓平台手机恶意软件泛滥的主要原因之一。

目前，在安卓平台上主要通过代码签名技术来对开发者的身份进行追溯，即开发者使用数字证书对应用程序进行签名，通过读取应用程序中的数字签名信息，来确认应用程序开发者的身份。按照签名证书的种类可分为：

1、自签名证书签名，即使用自签名证书对安卓软件进行代码签名。

2、第三方可信证书签名，即使用向合法的第三方认证服务中心(CA)申请的证书对已发布的存量应用进行重新签名。

现有的这些安卓平台开发者追溯方法的不足之处在于：

1、大部分开发者在代码签名的时候，使用的是自签名证书，无法保证其身份真实可信。

2、对于已经发布的大量的存量应用，采用依法设立的第三方认证服务中心签发的数字证书对存量应用进行重新签名，这种方式会造成安卓应用程序的签名证书发生变化，导致安卓应用程序不能正常升级。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述缺陷，提供一种基于安卓平台的应用程序发布方法和装置、以及通过该方法和装置发布的基于安卓平台的应用程序的开发者追溯方法和装置、以及一种安卓平台，能够确保开发者身份真实可信、可追溯同时不影响安卓应用程序正常升级。

本发明解决其技术问题所采用的技术方案是：提出一种基于安卓平台的应用程序发布方法，包括如下步骤：

获取应用程序开发者的用户身份信息；

解析应用程序apk包，读取所述apk包的自签名数字证书，并提取所述自签名数字证书中的公钥；

以所述用户身份信息和所述公钥向第三方认证服务中心申请同密钥数字证书；

将由所述第三方认证服务中心审核并签发的同密钥数字证书重新打包进所述apk包；

发布所述重新打包的apk包。

根据本发明所述的基于安卓平台的应用程序发布方法中，所述将同密钥数字证书重新打包进所述apk包进一步包括：将所述同密钥数字证书打包在apk包的META-INF目录中。

本发明为解决其技术问题还提出一种基于安卓平台的应用程序发布装置，包括：

用户身份获取模块，用于获取应用程序开发者的用户身份信息；

密钥获取模块，用于解析应用程序apk包，读取所述apk包的自签名数字证书，并提取所述自签名数字证书中的公钥；

证书获取模块，用于以所述用户身份信息和所述公钥向第三方认证服务中心申请同密钥数字证书；

应用打包模块，用于将由所述第三方认证服务中心审核并签发的同密钥数字证书重新打包进所述apk包；

应用发布模块，用于发布所述重新打包的apk包。

根据本发明所述的基于安卓平台的应用程序发布装置中，所述应用打包模块将所述同密钥数字证书打包在apk包的META-INF目录中。

本发明为解决其技术问题还提出一种采用如上所述的方法发布的基于安卓平台的应用程序的开发者追溯方法，包括如下步骤：

解析所述重新打包后发布的apk包；

获取所述apk包中的由第三方认证服务中心签发的同密钥数字证书；

提取所述同密钥数字证书中的用户身份信息。

本发明为解决其技术问题还提出一种采用如上所述的方法发布的基于安卓平台的应用程序的开发者追溯装置，包括：

解析模块，用于解析所述重新打包后发布的apk包；

第三方证书获取模块，用于获取所述apk包中的由第三方认证服务中心签发的同密钥数字证书；

证书信息提取模块，用于提取所述同密钥数字证书中的用户身份信息。

本发明为解决其技术问题还提出一种安卓应用软件***，包括如上所述的应用程序发布装置和如上所述的开发者追溯装置。

本发明通过给软件开发者签发第三方可信数字证书(该证书中的公钥与开发者自签名证书的公钥相同)确保了安卓应用程序开发者的身份真实可信；通过将同密钥数字证书打包到安卓应用程序的apk包中，读取同密钥数字证书中的开发者信息，便能实现对开发者的追溯；而且，将同密钥数字证书打包到安卓应用程序的apk包中，兼容安卓***的安全认证机制，不影响安卓应用程序正常升级。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是本发明一个实施例的安卓应用软件***的***架构图；

图2是本发明一个实施例的基于安卓平台的应用程序发布方法的流程图；

图3是本发明一个实施例的基于安卓平台的应用程序的开发者追溯方法的流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

为了加强应用监管，打击移动互联网恶意软件，对恶意软件的开发者进行追溯，本申请设计了一种安卓应用软件***，基于第三方可信数字证书进行安卓应用程序的发布和开发者追溯，通过给软件开发者签发第三方可信数字证书(且该证书中的公钥与开发者自签名证书的公钥相同)，确保开发者身份真实可信，同时将同密钥数字证书打包到安卓应用程序的apk包(apk是AndroidPackage的缩写，即安卓安装包)中，通过读取同密钥数字证书中的开发者信息，实现对开发者的追溯，而且还不会影响安卓应用程序的正常升级。

图1示出了本发明一个实施例的安卓应用软件***100的***架构图。如图1所示，该安卓应用软件***100包括应用程序发布装置110和开发者追溯装置120两个部分。应用程序发布装置110用于获取用户身份信息和apk包的自签名数字证书中的签名公钥信息，然后向第三方认证服务(CA)中心申请同密钥数字证书，并将CA中心审核并签发的同密钥数字证书重新打包到apk包中，再将重新打包后的apk包发布。在需要追溯开发者身份时，开发者追溯装置120从apk包中读取同密钥数字证书，进而读取该同密钥数字证书中的开发者身份信息，达到追溯开发者的目的。

具体如图1所示，应用程序发布装置110包括用户身份获取模块111、密钥获取模块112、证书获取模块113、应用打包模块114和应用发布模块115。用户身份获取模块111用于获取应用程序开发者的用户身份信息。密钥获取模块112用于解析应用程序apk包，读取该apk包的自签名数字证书，并提取出该自签名数字证书中的公钥。证书获取模块113用于携带用户身份信息和自签名数字证书中的公钥向CA中心200申请同密钥数字证书。如图1所示，CA中心200由证书申请信息接口模块210、用户身份审核模块220、证书签发模块230和证书信息发送模块240组成。证书申请信息接收模块210接收证书获取模块113发出的申请，获得用户身份信息和公钥信息。然后由用户身份审核模块220基于该用户身份信息审核开发者身份。审核通过则由证书签发模块230基于该用户身份信息和该公钥信息签发同密钥数字证书，然后由证书信息发送模块240将签发的同密钥数字证书返回给证书获取模块113。接着，应用打包模块114将证书获取模块113从CA中心200申请到的同密钥数字证书重新打包进apk包中。一个具体实施例中，应用打包模块114可以将该同密钥数字证书打包在apk包的META-INF目录中。应用发布模块115用于发布该经应用打包模块114重新打包的apk包。由于该重新打包发布的apk包具有第三方可信数字证书且该证书中的公钥与开发者自签名证书的公钥相同)，确保开发者身份真实可信的同时还能实现对开发者的追溯，而且不会影响安卓应用程序的正常升级。

在需要追溯开发者身份时，开发者追溯装置120可基于追溯请求从由应用程序发布装置110发布的apk包中读取同密钥数字证书，进而读取该同密钥数字证书中的开发者身份信息，达到追溯开发者的目的。具体如图1所示，开发者追溯装置120包括解析模块121、第三方证书获取模块122和证书信息提取模块123。其中，解析模块121用于解析应用程序发布装置110发布的apk包，第三方证书获取模块122用于从经解析模块121解析的apk包信息中获取由第三方认证服务中心200签发的同密钥数字证书，证书信息提取模块123用于提取该同密钥数字证书中的用户身份信息。然后开发者追溯装置120可响应追溯请求，返回提取出的用户身份信息，实现开发者追溯。

基于以上所介绍的安卓应用软件***，本发明提出一种基于安卓平台的应用程序发布方法。图2示出了本发明一个实施例的基于安卓平台的应用程序发布方法300的流程图。如图2所示，该基于安卓平台的应用程序发布方法300包括如下步骤：

首先步骤S301中，获取应用程序开发者的用户身份信息。

随后步骤S302中，解析该应用程序apk包，读取该apk包的自签名数字证书，并提取出该自签名数字证书中的公钥。

随后步骤S303中，以获得的用户身份信息和自签名数字证书中的公钥向第三方认证服务中心申请同密钥数字证书。

随后步骤S304中，将由第三方认证服务中心基于该用户身份信息和公钥审核并签发的同密钥数字证书重新打包进应用程序apk包中。一个具体实施例中，该步骤中可以将第三方认证服务中心签发的同密钥数字证书重新打包在apk包的META-INF目录中。

随后步骤S305中，发布该重新打包的apk包。

基于以上所介绍的安卓应用软件***，本发明还提出一种基于安卓平台的应用程序的开发者追溯方法，用于对通过以上所介绍的应用程序发布方法所发布的安卓应用程序进行开发者追溯。图3示出了本发明一个实施例的基于安卓平台的应用程序的开发者追溯方法400的流程图。如图3所示，该基于安卓平台的应用程序的开发者追溯方法400包括如下步骤：

首先步骤S401中，解析该重新打包后发布的apk包。

随后步骤S402中，从解析后的apk包信息中获取由第三方认证服务中心签发的同密钥数字证书。

随后步骤S403中，提取该同密钥数字证书中的用户身份信息，实现开发者追溯。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种基于安卓平台的应用程序发布方法，其特征在于，包括如下步骤：

获取应用程序开发者的用户身份信息；

解析应用程序apk包，读取所述apk包的自签名数字证书，并提取所述自签名数字证书中的公钥；

以所述用户身份信息和所述公钥向第三方认证服务中心申请同密钥数字证书，所述同密钥数字证书中的公钥与开发者自签名证书的公钥相同；

将由所述第三方认证服务中心审核并签发的同密钥数字证书重新打包进所述apk包；

发布所述重新打包的apk包。

2.根据权利要求1所述的方法，其特征在于，所述将同密钥数字证书重新打包进所述apk包进一步包括：将所述同密钥数字证书打包在apk包的META-INF目录中。

3.一种基于安卓平台的应用程序发布装置，其特征在于，包括：

用户身份获取模块，用于获取应用程序开发者的用户身份信息；

密钥获取模块，用于解析应用程序apk包，读取所述apk包的自签名数字证书，并提取所述自签名数字证书中的公钥；

证书获取模块，用于以所述用户身份信息和所述公钥向第三方认证服务中心申请同密钥数字证书，所述同密钥数字证书中的公钥与开发者自签名证书的公钥相同；

应用打包模块，用于将由所述第三方认证服务中心审核并签发的同密钥数字证书重新打包进所述apk包；

应用发布模块，用于发布所述重新打包的apk包。

4.根据权利要求3所述的装置，其特征在于，所述应用打包模块将所述同密钥数字证书打包在apk包的META-INF目录中。

5.一种采用如权利要求1或2所述的方法发布的基于安卓平台的应用程序的开发者追溯方法，其特征在于，包括如下步骤：

解析所述重新打包后发布的apk包；

获取所述apk包中的由第三方认证服务中心签发的同密钥数字证书，所述同密钥数字证书中的公钥与开发者自签名证书的公钥相同；

提取所述同密钥数字证书中的用户身份信息。

6.一种采用如权利要求1或2所述的方法发布的基于安卓平台的应用程序的开发者追溯装置，其特征在于，包括：

解析模块，用于解析所述重新打包后发布的apk包；

第三方证书获取模块，用于获取所述apk包中的由第三方认证服务中心签发的同密钥数字证书，所述同密钥数字证书中的公钥与开发者自签名证书的公钥相同；

证书信息提取模块，用于提取所述同密钥数字证书中的用户身份信息。

7.一种安卓应用软件***，其特征在于，包括如权利要求3所述的应用程序发布装置和如权利要求6所述的开发者追溯装置。