基于電子簽名的安卓APP應用可信生態體系建設方案

王杰勛

（江蘇智慧數字認證有限公司，江蘇南京210012）

1 引言

移動互聯網的發展促使移動APP數量也得到爆發式地增長，截至2018年5月底，我國市場上監測到的移動APP應用為415萬款。大量的移動APP應用在提高人們生活水平和便利程度的同時，也隱藏著資費消耗、誘騙欺詐、信息竊取、惡意扣費等惡意行為，嚴重損害人民群眾的切身利益。為了維護移動互聯網信息安全，凈化移動互聯網環境，保護用戶合法權益，工業和信息化部、公安部、工商總局聯合印發了《打擊治理移動互聯網惡意程序專項行動工作方案》，其中要求開展移動互聯網應用程序開發者第三方數字證書簽名與驗證試點工作。為支持移動互聯網應用程序開發者利用第三方數字證書進行簽名、驗證，以及在應用商店、移動安全軟件、手機終端等對利用第三方數字證書簽名的APP進行驗證和標識展示，特提出基于電子簽名的移動APP應用可信生態體系建設方案。

2 基于電子簽名的安卓APP應用可信生態體系

圖1 系統整體流程圖

2.1 整體流程

整體流程涉及開發者、應用市場、CA機構、用戶、安全軟件、終端操作系統（OS）等不同角色，包括代碼簽名證書申請、應用簽名、應用上架、標識展示、應用下載安裝等多個環節。系統整體流程如圖1所示。

2.2 開發者申請證書流程

參與試點的開發者需要向依法設立的電子認證服務機構申請數字證書。開發者可以直接提交身份信息給第三方CA機構申請代碼簽名證書，也可以向第三方CA機構的證書受理點（應用商店可以作為CA機構的證書受理點）申請代碼簽名證書。

用戶通過計算機或其它智能移動終端首次登錄遠程證書發放系統網站，根據頁面提示進行身份識別，身份識別通過后，證書受理點后臺制作證書，并以快遞等方式交付給用戶。

個人用戶證書申請：

（1）用戶通過電腦或手機等智能終端登錄遠程證書發放系統。

（2）通過各家CA采用技術方式鑒別驗證用戶身份。

（3）用戶身份驗證通過后，將信息上送CA的證書系統。

（4）通過快遞方式將證書介質USB Key交付給用戶。

（5）將證書下載密碼通過短信方式發送給用戶。

（6）用戶收到USB Key后，登錄證書下載系統，根據短信中的密碼下載證書，寫入USB Key內。

（7）用戶將身份證明材料、申請表快遞給服務受理點。

機構用戶證書申請：

（1）申請代辦人將單位證明材料、申請表快遞給服務受理點。

（2）申請代辦人通過電腦或手機等智能終端登錄遠程證書發放系統。

（3）通過人臉識別、身份數據庫比對等方式鑒別驗證代辦人身份，并要求用戶提交單位聯系電話。

（4）代辦人身份驗證通過后，填寫機構信息上送CA的證書系統。

（5）通過快遞方式將證書介質USB Key交付給代辦人。

（6）將證書下載密碼通過短信方式發送給代辦人。

（7）代辦人收到USB Key后，登錄證書下載系統，根據短信中的密碼下載證書，寫入USB Key內。

此外，還可以采取現場受理審核的方式向申請人發放數字證書。各應用商店可以作為CA的證書受理點，負責審核申請人身份，制作發放數字證書。受理點可以用遠程和現場方式發放數字證書。

2.3 安卓應用簽名流程

2.3.1 代碼簽名證書使用準備

一般情況下，第三方CA機構會將USBKey的驅動程序或客戶端軟件連同證書一起提供給Android應用開發者。開發者在電腦上安裝USB Key驅動程序后，將USB Key插入到電腦上，代碼簽名證書將自動導入到系統證書庫中。

開發者打開IE-＞IE右上角的配置圖標-＞選擇菜單中的[Internet選項]-＞選擇對話框中的[內容]頁-＞點擊內容頁里面的[證書]按鈕，就可以看到自己的代碼簽名證書，如圖2所示。代碼簽名證書使用準備工作結束。

圖2 查看代碼簽名證書

2.3.2 使用APKsign工具對Android應用簽名

APKsign是一個運行在PC平臺上的命令行程序，使用APKsign可以簡單方便地對開發者已經打包好的APK進行簽名，APK的簽名不受次數限制。開發者可以到進行免費下載APKsign工具。

3 安卓應用簽名展示方案

在以下情況下，需對應用程序的簽名進行驗證：應用商店上架前、安全應用軟件下載時、手機終端安裝時，在應用程序安裝后，用戶可以使用安全軟件或專用軟件隨時驗證應用簽名并查看結果。對應用程序簽名驗證后，需要以統一的標識進行展示，以提醒用戶該應用開發者身份是否經過CA認證。對于經過簽名的應用，展示信息至少應包括開發者、CA機構和簽名時間。

3.1 應用商店展示

3.1.1 應用商店上架時驗證流程

應用商店上架APP時，應驗證開發者提交APP的簽名信息，若APP的開發者是經第三方CA認證的開發者，應用商店須向用戶提示該APP的開發者經由第三方認證，并向用戶顯示APP簽名信息，并將統一標識放在應用商店醒目位置。若APP的開發者不是經第三方認證的開發者，應用商店不向用戶提示信息。

3.1.2 應用商店展示規范

應用商店APP應支持用戶查看應用軟件開發者是否經過第三方認證，并在軟件列表和軟件詳情頁，對經過開發者認證的APP進行標識，標識方式可參考圖3，可增加“開發者經合法CA機構實名認證”等描述文字，并具備向用戶顯示APP詳細簽名信息的功能。

此外，兩文獻雖在地位上對等，但實際內容和文體風格都存在較大的差別，按本文分析結果，可以大致分屬政府文件和備稿演講兩個類別，并不能因其相似的地位而混為一談。作為《政府工作報告》英譯本，其語體風格應與原文看齊一致。政治翻譯必須緊扣原文，不得任意增刪。［6］(P20)而我國《政府工作報告》本身就具有政府文件至高無上的嚴肅性和正式性，而接近于備稿演講的《美國國情咨文》則需要有一定的演講特質，這也反映了中美兩國不同的政治文化。一味地強調通過翻譯上的策略來拉近二者的語體風格，縮小差異，筆者認為這將使得譯文脫離原文文本特征，從而丟失本應傳達的嚴肅性和正式性，以及中國特色的政治文化色彩。

圖3 應用商店標識展示

3.1.3 應用商店網站顯示規范

應用商店網站須在軟件列表和軟件詳情頁對第三方認證過的開發者的APP進行標識。應用程序在應用商店上架后，應用商店網站應支持用戶查看應用開發者是否通過第三方認證，并在軟件列表和軟件詳情頁，對經過開發者認證的APP進行標識，標識方式可參考圖4，可增加“開發者經合法CA機構實名認證”等描述文字，并具備向用戶顯示APP詳細簽名信息的功能。

圖4 應用商店網站標識展示

3.2 手機終端展示

用戶在安裝APP時，手機終端應驗證APP的簽名信息，若APP的開發者是經第三方CA認證的開發者，且在安裝過程中APP的簽名驗證正確、APP可正常安裝的情況下，手機終端須向用戶提示該APP的開發者經由第三方認證，并向用戶顯示APP簽名信息。若APP的開發者不是經第三方認證的開發者，手機終端不向用戶提示信息。移動智能終端需在應用安裝前和安裝后都能對應用進行驗簽，并顯示應用簽名信息。

3.2.1 應用安裝前終端驗簽要求（包含首次安裝及后續更新）

若應用未包含經第三方認證的簽名信息，且終端可成功讀取應用已有的自簽名信息，終端需將應用簽名信息明示用戶，并明確告知用戶該簽名未經CA認證(建議提示語：開發者未經合法CA機構實名認證)，詢問用戶是否繼續安裝。

若應用包含經第三方認證的簽名信息，且終端可成功驗簽，終端需將應用簽名信息明示用戶，并提示用戶該簽名信息經由第三方認證(建議提示語：開發者經合法CA機構實名認證)。應用驗簽明示信息至少包含應用開發者、CA機構、簽名時間，如果簽名信息中包含該應用的流通渠道名稱/檢測機構名稱，也需明示給用戶查看。

若應用包含經第三方認證的簽名信息，在線驗簽得知該開發者證書已被吊銷，終端驗簽失敗，終端需提示用戶該應用存在風險(建議提示語：開發者證書已吊銷)，詢問用戶是否繼續安裝。

終端應支持用戶查看每個已安裝的應用的簽名和相應的認證狀態，應用驗簽結果可分為已認證、未經認證和證書被吊銷。

終端向用戶明示已安裝應用的簽名信息，并以顯著方式提示用戶該應用開發者是否經由第三方認證，并告知相應認證結果。其中未經認證的開發者自簽名信息至少包含應用開發者名稱及證書有效期；經第三方認證的開發者的簽名信息至少包含開發者、CA機構、簽名時間，如果簽名信息中包含該應用的流通渠道名稱/檢測機構名稱，也需明示給用戶查看；開發者證書被吊銷應用的簽名信息至少包含開發者，簽名時間及證書吊銷時間。

3.3 移動安全軟件

3.3.1 安全軟件驗證流程

用戶在下載APP時，安全軟件須驗證APP的簽名信息，若APP的開發者是經第三方CA認證的開發者，安全軟件須向用戶提示該APP的開發者經由第三方認證，并具備向用戶顯示APP詳細簽名的功能。若APP的開發者不是經第三方認證的開發者，安全軟件不向用戶提示信息。

3.3.2 安全軟件展示規范

安全軟件在檢測到應用軟件下載或軟件安裝時，須對軟件開發者是否經過第三方開發者認證過的APP進行顯示。

若APP的開發者是經第三方認證的開發者，且在安裝過程中APP的簽名驗證正確、APP可正常安裝的情況下，安全軟件須向用戶提示該APP的開發者經由第三方認證，并具備向用戶顯示APP詳細簽名信息的功能。

若APP的開發者不是經第三方認證的開發者，安全軟件不向用戶提示信息。

顯示方式可通過“通知欄”方式完成，如圖5。當APP的開發者經過第三方認證時，該APP安裝成功后，安全軟件可在“通知欄”顯示“某APP開發者經合法CA機構實名認證”，用戶點擊該通知欄后可顯示該APP的具體簽名信息，并顯示認證該開發者的CA機構信息。

圖5 通知欄提示信息

安裝完應用程序后，安全軟件應支持用戶查看每個已安裝應用的簽名和應用開發者是否通過第三方認證，并在安全軟件的軟件列表頁面，如軟件管理、安全掃描等功能的頁面，對經過第三方認證的開發者的APP進行標識，標識方式可參考圖6，并具備向用戶顯示APP詳細簽名信息的功能。安全軟件應向用戶明示已安裝應用的簽名信息，其中未經認證的開發者自簽名信息至少包含應用開發者名稱及證書有效期；經第三方認證的簽名信息至少包含開發者、CA機構、簽名時間，如果簽名信息中包含該應用的流通渠道名稱/檢測機構名稱，也需明示給用戶查看；開發者證書被吊銷應用的簽名信息至少包含開發者，簽名時間及證書吊銷時間。

3.4 專用軟件

除上述幾個環節可以驗證APP簽名信息外，普通Android終端用戶還可以使用Trust Tracker追溯和驗證Android終端已經安裝的APP的簽名。Trust Tracker是一個免費的Android應用，能夠追溯并驗證Android應用簽名，使用它可以方便快速地查看用戶Android終端中已安裝應用的簽名情況。普通Android終端用戶可以到各大應用商店下載Trust Tracker，也可以到APKsign網站下載。

4 結束語

移動APP應用為人民的生活帶來了極大的便利，同時也隱藏著資費消耗、誘騙欺詐、信息竊取、惡意扣費等惡意行為，嚴重損害人民群眾的利益。為解決移動APP應用信息安全問題，建立安全可信的移動APP應用認證體系，基于數字證書，本文提出了一套移動APP應用第三方電子簽名和驗證體系，通過應用商店、移動安全軟件、手機終端等展示方式，可以方便用戶識別出經過第三方檢測證實為安全的移動APP應用，鼓勵用戶更多使用經過認證的移動APP應用，從而建立移動APP應用可信生態體系，凈化移動互聯網環境。