苹果签名需要找到稳定的企业签名才能保证稳定


iOS签名机制

iOS 平台对第三方 APP 有绝对的控制权,一定要保证每一个安装到 iOS 上的 APP 都是经过苹果官方允许的,所使用的就是苹果的签名机制。苹果签名使用的是非对称加密技术,非对称加密有两份密钥,分别是公钥和私钥,用公钥加密的数据,要用私钥才能解密,用私钥加密的数据,要用公钥才能解密。比较常见的非对称加密算法就是RSA。

RSA的基本实现原理如下:

第一步,随机选择两个不相等的质数p和q

第二步,计算p和q的乘积n

第三步,计算n的欧拉函数φ(n)

φ(n) = (p-1)(q-1)

第四步,随机选择一个整数e,条件是1< e < φ(n),且e与φ(n) 互质。

第五步,计算e对于φ(n)的模反元素d(就是指有一个整数d,可以使得ed被φ(n)除的余数为1)

ed ≡ 1 (mod φ(n)) == ed - 1 = kφ(n)

于是,找到模反元素d。(用"扩展欧几里得算法"求解)

第六步,将n和e封装成公钥,n和d封装成私钥

私钥被破解,需要大整数的因数分解,是一件非常困难的事情。目前,除了暴力破解,还没有发现别的有效方法。对极大整数做因数分解的难度决定了RSA算法的可靠性。

App的安装方式有四种:

1. 通过App Store安装

由苹果生成一对公私钥,公钥内置iOS设备中,私钥由苹果保管。开发者上传App给苹果审核后,苹果用私钥对App数据进行签名,使用的是发布证书,发布至App Store。iOS设备下载App后,用公钥进行验证,若正确,则证明App是由苹果认证过的。

2. 开发者可以通过Xcode安装

苹果采用了双重签名的机制。Mac电脑有一对公私钥,苹果还是原来的一对公私钥。

开发时需要真机测试时,需要从钥匙串中的证书中心创建证书请求文件(CSR CertificateSigningRequest.certSigningRequest 用于绑定电脑,文件中有Mac电脑的公钥),并传至苹果服务器。

Apple使用私钥对 CSR 签名,生成一份包含Mac公钥信息及Apple对它的签名,被称为证书(CER:即开发证书,发布证书),这里使用的是开发证书。

编译完一个App后,Mac电脑使用私钥对App进行签名。

在安装App时,根据当前配置把CER证书一起打包进App。

iOS设备通过内置的Apple的公钥验证CER是否正确,证书验证确保Mac公钥时经过苹果认证的。

再使用CER文件中Mac的公钥去验证App的签名是否正确,确保安装行为是经过苹果允许的。在苹果注册过的设备才可以安装;签名只针对某一个App。打包证书进App中时,还需要加上允许安装的设备ID和App对应的APPID等数据(Profile文件)。

苹果还要控制iCloud/push/后台运行等,这些都需要苹果授权签名,苹果把这些权限开关统称为:Entitlements,需要苹果授权。因此证书中可能包含很多东西,不符合规定的格式规范,所以有了Provisioning Profile(描述文件),描述中包含了证书以及其他所有的信息及信息的签名。

苹果只是确定这里的安装行为是否合法,不会验证App内容是否修改。根据数字签名的原理,只要数字签名通过验证,这里的设备 IDs / AppID / Mac公钥 就都是经过苹果认证的,无法被修改,苹果就可以限制可安装的设备和App。

3. Ad-Hoc 测试证书打包的App,数量限制100

Ad-Hoc可以用发布证书打测试包,流程几乎和上面的真机调试一样,唯一的差别在第4步。编译签名完之后,要导出ipa文件,导出时,需要选择一个保存的方法(App Store/Ad Hoc/Enterprise/Development),就是选择将上一步生成的CER一起打包进App。

4. In-House 企业版证书打包App,信任企业证书后可以使用

企业版证书签名验证流程和Ad-Hoc差不多,需要用企业版证书签名。只是企业版不限制设备数,而且需要用户在iOS设备上的设置里手动点击信任证书。

最终流程如下:

其他人想要编译签名App时应怎么做? 简单就是把私钥给他。私钥也是从 钥匙串 中导出,就是.p12文件,其他Mac导入私钥后就可以正常使用了。

查看ipa包中注册的设备ID,解压.ipa文件,得到App数据包,显示包内容,找到embedded.mobileprovision文件所在目录,运行命令:

security cms -D -i embedded.mobileprovision

重签

从上面的原理,我们知道,如果想看别人的App,需要他们的.P12文件,如果拿不到别人的.P12文件,咋整呢。那就只能自己整了。

第一种方式:

从PP助手等破解平台下载ipa包,这里能找到的包,几乎都是已经重签过的,可以随心所用。

第二种方式:

稍显复杂,根据上面描述,找到自己打的ipa包的embedded.mobileprovision文件。然后安装sigh脚本

sudo gem install sigh

报错使用下面命令

sudo gem install -n /usr/local/bin sigh

如此,便可使用sigh重签名了。

1、在终端输入sigh resign,回车

2、把要签名的ipa文件(路径、包名不要有中文)拖到终端窗口上,回车

3、填写用来签名的证书(第一步中的证书)名如图(钥匙串中的完整名字),回车

4、把项目的配置文件.mobileprovision文件(第二步中的文件)拖到终端窗口上,回车

5、resign脚本会自动更改bundel id,签名并重新打包。

完成后提示Successfully signed,新生成的包会自动替换原有文件。

企业签名QQ:281442504

分享到