设计Android APK签署服务器

-1

我最近被授予设计/实现/维护Android APK签名服务器的任务。我过去从来没有这样做过，并且可能会在Rails中完成（我的组织是Rails商店）。设计Android APK签署服务器

此次签约服务器基本上采用由构建给出的APK，并配有保护和安全标志证书吧。除了限制在特定的IP地址之外，这个签名服务器不应该允许任何外部访问。

我没有任何书面的签字服务器体验。那些做过这些的人会不会分享他们的经验和一些设计模式来设计它，所以它是安全的和保护的？

来源

2012-12-18 xbeta

签署APK的过程是不是超级复杂。然而;服务器的安全将是yoru任务中最困难的部分。简而言之，您应该在服务器或某个地方拥有凭据，以便您可以签署apk（理想情况下这是安全的）。

一个很好的地方，了解这个过程是： http://developer.android.com/tools/building/index.html

来源

2012-12-19 00:39:06 JoxTraex

谢谢！我在当地完成了这项工作，但我们在这里有一个大规模的生产车间，需要为它编写一个签名服务器。 Android引用是我们用来编写本地脚本的东西，但我们正在为它构建一个签名服务器。任何设计的建议？ – xbeta

您是否设法找到解决方案呢？ – 8bithero

通过IP限制是绝对不够的，至少使用某种形式的用户名/密码认证和保存审计日志，让你知道谁签什么，什么时候。如果你这样做是在香草红宝石，节省了APK到一个文件并调用jarsigner作为一个shell命令可能是这样做的最简单的方法。如果您使用JRuby，则可以使用Java API来进行实际签名。

您还需要确保只有你的web应用可以读取的签名密钥，至少是。如果你有很多密钥，你需要让用户选择使用哪个密钥或给他们一个基于组的密钥等（一个用于游戏部门，一个用于音乐应用部门等）。您可能还想考虑将密钥存储在HSM或智能卡中，以确保无法从服务器提取密钥。如果有人破解它，他们将能够签署应用程序，但不会窃取实际的密钥（不能被撤销）。

来源

2012-12-19 06:41:46

设计Android APK签署服务器

回答

相关问题