iOS-签名机制和证书原理

2017-05-04 本文已影响475人 YI_LIN

原文发表在个人博客iOS-签名机制，转载请注明出处。

本文主要介绍iOS系统的签名机制和证书原理。

对称和非对称加密

对称加密:加密和解密用的是同一份密钥。

非对称加密:加密和解密用的是不同的密钥，称为公钥和私钥。

iOS 系统采用的均是非对称加密。

当 App 提交审核通过后，Apple 会对 App 进行重签名。因此，从 App Store 下载的 App ，统一都是苹果的官方签名。验证机制也较为简单。

iOS-Signature-Normal

在 XCode 中开发时，用的是开发证书。需要针对不同的开发者账号进行验证，签名机制较为复杂。

在 Apple Developer 生成证书时，为了验证开发者身份，需要在本地 keychain 中生成公私钥，公钥保存在 CertificateSigningRequest 文件中，上传到 Apple Developer ，私钥如果需要给其他开发者用，可以导出为 .p12 文件。

Apple Developer 后台接收到开发者公钥后，利用 Apple 的私钥对其进行签名，生成证书cer。

除了验证开发者身份，还需要验证 AppID 和设备的 UUID , 权限控制 Entitlements 等，把这些信息和上面生成的证书一起，再用 Apple 的私钥进行一次签名，生成最终的 mobileprovision 文件。

iOS-Signature-MobileProvision

在XCode编译后，生成 App 文件时，会对其通过开发者私钥进行签名，将 mobileprovision 文件命名为 embedded.mobileprovision 并将其打包到 App 文件中。

在通过开发者私钥签名 App 时，对于可执行文件( Mach-O )，会将签名直接写入到该文件中，而对于其他的资源文件，会统一写到 _CodeSignature 文件下的 CodeResources 文件中。

iOS-Signature-App

CodeResources 文件的格式:

iOS-Signature-CodeResource

在安装 App 文件时，首先通过 iOS 系统内置的 Apple 公钥对上面的签名进行验证，包含开发者共私钥匹配，设备 ID，App ID，权限控制 Entitlements ，证书有效期验证等。

iOS-Signature-Developer