Android 签名文件转换

关于 Android 签名的相关概念可参看 Android中签名、证书、公钥密钥的概念及使用

Android 中有两种签名方式：

1、在源码编译环境中，使用 platform 签名文件 platform.x509.pem、platform.pk8 对 apk 进行签名
2、在 Android Studio 或 Eclipse 等 IDE 中，一般采用 keystore 文件对 apk 进行签名

本文讨论如何将二者进行互相转换

一、将 x509.pem + pk8 文件转换成 keystore 文件

该方式需要 keytool-importkeypair 脚本，可在 gayhub 下载

eg: 将 Android 源码中的原生签名转换为 keystore 供 Android Studio 使用

# -k fileName 生成的 keystore 文件路径
# -p password 生成的 keystore 密钥库口令
# -pk8 fileName 输入 pk8 文件路径
# -cert fileName 输入 cert 文件路径
# -alias 生成的密钥库别名
./keytool-importkeypair -k platform.keystore -p android -pk8 platform.pk8 -cert platform.x509.pem -alias platform

查看验证

xionghg@xhg-pc:~/签名/android签名$ keytool -list -v -keystore platform.keystore 
输入密钥库口令:  (android)

密钥库类型: JKS
密钥库提供方: SUN

您的密钥库包含 1 个条目

别名: platform
创建日期: 2017-8-25
条目类型: PrivateKeyEntry
证书链长度: 1
证书[1]:
所有者: EMAILADDRESS=android@android.com, CN=Android, OU=Android, O=Android, L=Mountain View, ST=California, C=US
发布者: EMAILADDRESS=android@android.com, CN=Android, OU=Android, O=Android, L=Mountain View, ST=California, C=US
序列号: b3998086d056cffa
有效期开始日期: Wed Apr 16 06:40:50 CST 2008, 截止日期: Sun Sep 02 06:40:50 CST 2035
...

Android Studio 中使用该 keystore：

signingConfigs {
    release {
        File strFile = new File("../app/keystore/android/platform.keystore")
        storeFile file(strFile)
        keyAlias 'platform'
        keyPassword 'android'
        storePassword 'android'
    }
    debug {
        File strFile = new File("../app/keystore/android/platform.keystore")
        storeFile file(strFile)
        keyAlias 'platform'
        keyPassword 'android'
        storePassword 'android'
    }
}

buildTypes {
    release {
        signingConfig signingConfigs.release
        minifyEnabled false
        proguardFiles getDefaultProguardFile('proguard-android.txt'), 'proguard-rules.pro'
    }
    debug {
        signingConfig signingConfigs.debug
    }
}

二、将 keystore 文件转换成 x509.pem + pk8 文件

需要安装有 keytool、openssl 工具

2.1 手动转换

2.1.1 先把 keystore 文件转换为 pkcs12 格式

keytool -importkeystore -srckeystore platform.keystore -destkeystore tmp.p12 -srcstoretype JKS -deststoretype PKCS12
# or
keytool -importkeystore -srckeystore platform.keystore -srcstorepass android -destkeystore tmp.p12 -deststorepass android -srcstoretype JKS -deststoretype PKCS12

2.1.2 将 PKCS12 dump 成 pem，这样就可以按照文本形式查看了

openssl pkcs12 -in tmp.p12 -nodes -out tmp.rsa.pem

2.1.3 复制 “BEGIN CERTIFICATE” 至 “END CERTIFICATE” 中间的内容到 cert.x509.pem（新文件）

# 包括首尾两行，此处应该包含
cat tmp.rsa.pem | sed -n "/BEGIN CERTIFICATE/,/END CERTIFICATE/p" > cert.x509.pem
# or
cat tmp.rsa.pem | sed -n '/BEGIN CERTIFICATE/,/END CERTIFICATE/p' > cert.x509.pem

# 不包括首尾两行，这里用不到，写在这里当作学习记录
# 这里用双引号会出错，原因不知...
cat tmp.rsa.pem | sed -n '/BEGIN CERTIFICATE/,/END CERTIFICATE/{//!p}' > cert.x509.pem

2.1.4 复制 “BEGIN RSA PRIVATE KEY” “END RSA PRIVATE KEY” 到 private.rsa.pem（新文件）

# 包括首尾两行，此处应该包含
# 有些带RSA，有些不带，此处都可匹配
cat tmp.rsa.pem | sed -n '/BEGIN.*PRIVATE KEY/,/END.*PRIVATE KEY/p' > private.rsa.pem

2.1.5 生成pk8格式的私钥

# 不加密
openssl pkcs8 -topk8 -outform DER -in private.rsa.pem -inform PEM -out private.pk8 -nocrypt
# or 接下来输入密码
openssl pkcs8 -topk8 -outform DER -in private.rsa.pem -inform PEM -out private.pk8

完毕，收集文件 cert.x509.pem 和 private.pk8，其余的中间文件删除即可

用法：

java -jar signapk.jar cert.x509.pem private.pk8 unsigned.apk signed.apk

2.2 自动方式，封装成脚本

./keytool-exportkeypair -k platform.keystore -p android -alias platform

附上keytool-exportkeypair代码：

#! /bin/bash

keystore=""
pk8=""
alias=""
passphrase=""
tmpdir=""

scriptname=`basename $0`

usage() {
cat << EOF
usage: ${scriptname} -k keystore [-p storepass] -pk8 pk8 -cert cert -alias key_alias

This script is used to export a key/certificate pair from a Java keystore.

A keystore should be specified.

The passphrase can also be read from stdin.
EOF
}

cleanup() {
    if [ ! -z "${tmpdir}" -a -d ${tmpdir} ]; then
        rm -fr ${tmpdir}
    fi
}

while [ $# -gt 0 ]; do
    case $1
    in
        -p | --passphrase | -passphrase)
            passphrase=$2
            shift 2
    ;;
        -h | --help)
            usage
            exit 0
    ;;
        -k | -keystore | --keystore)
            keystore=$2
            shift 2
    ;;
        -pk8 | --pk8 | -key | --key)
            pk8=$2
            shift 2
    ;;
        -a | -alias | --alias)
            alias=$2
            shift 2
    ;;
        *)
            echo "${scriptname}: Unknown option $1, exiting" 1>&2
            usage
            exit 1
    ;;
    esac
done

# if [ -z "${pk8}" -o -z "${cert}" -o -z "${alias}" ]; then
if [ -z "${alias}" ]; then
    echo "${scriptname}: Missing option, exiting..." 1>&2
    usage
    exit 1
fi

# for f in "${pk8}" "${cert}" "${keystore}"; do
for f in "${keystore}"; do
    if [ ! -f "$f" ]; then
        echo "${scriptname}: Can't find file $f, exiting..." 1>&2
        exit 1
    fi
done

# Create temp directory ofr key and pkcs12 bundle
tmpdir=`mktemp -q -d "/tmp/${scriptname}.XXXXXX"`

if [ $? -ne 0 ]; then
    echo "${scriptname}: Can't create temp directory, exiting..." 1>&2
    exit 1
fi

key="${tmpdir}/key"
p12="${tmpdir}/tmp.p12"
pems="${tmpdir}/tmp.rsa.pem"
pem="${tmpdir}/private.rsa.pem"

if [ -z "${passphrase}" ]; then
    # Request a passphrase
    read -p "Enter a passphrase: " -s passphrase
    echo ""
fi

# Convert keystore to pkcs12
keytool -importkeystore -srckeystore "${keystore}" -srcstorepass "${passphrase}" -destkeystore "${p12}" -deststorepass "${passphrase}" -srcstoretype JKS -deststoretype PKCS12 

# Convert pkcs12 to PEM
openssl pkcs12 -nodes -in "${p12}" -out "${pems}" -password pass:"${passphrase}"

# extract CERTIFICATE
echo "extract certificate to \"${alias}.x509.pem\""
cat "${pems}" | sed -n '/BEGIN CERTIFICATE/,/END CERTIFICATE/p' > "${alias}.x509.pem"

# extract PRIVATE KEY
cat "${pems}" | sed -n '/BEGIN.*PRIVATE KEY/,/END.*PRIVATE KEY/p' > "${pem}"

# Convert private key to pk8
echo "extract private key to \"${alias}.pk8\""
openssl pkcs8 -topk8 -inform PEM -outform DER -nocrypt -in "${pem}" -out "${alias}.pk8"

cleanup