[发明专利]应用安装包的签名、验证方法、装置及存储介质

权利要求书

1.一种应用安装包的签名方法，其特征在于，所述方法包括：

获取应用安装包，所述应用安装包包括安装文件、第一签名信息和第一公钥，所述第一签名信息为所述应用安装包的签名信息，所述第一公钥用于验证所述第一签名信息；

使用第一私钥对所述第一公钥进行签名，得到第二签名信息，并将所述第二签名信息和第二公钥添加至所述应用安装包，以实现所述应用安装包的签名，所述第二公钥用于验证所述第二签名信息。

2.如权利要求1所述的方法，其特征在于，所述使用第一私钥对所述第一公钥进行签名，得到第二签名信息，包括：

当所述应用安装包还包括应用标识时，使用所述第一私钥对所述应用标识和所述第一公钥进行签名，并将签名后得到的签名信息确定为所述第二签名信息。

3.如权利要求1所述的方法，其特征在于，所述使用第一私钥对所述第一公钥进行签名，得到第二签名信息，并将第二公钥添加至所述应用安装包，包括：

当所述应用安装包包括多个子安装包，且每个子安装包包括至少一个安装文件和每个安装文件的签名信息时，对于所述多个子安装包中的每个子安装包，使用所述第一私钥对所述子安装包进行签名，并将所述子安装包的签名信息和所述第二公钥添加至对应的子安装包，所述第二公钥用于验证所述子安装包的签名信息。

4.如权利要求1-3任一所述的方法，其特征在于，所述获取应用安装包之后，还包括：

当所述应用安装包还包括所述应用的权限列表时，使用第二私钥对所述权限列表进行签名，得到第三签名信息；

将所述第三签名信息和第三公钥添加至所述应用安装包，所述第三公钥用于验证所述第三签名信息。

5.一种应用安装包的验证方法，其特征在于，所述方法包括：

从应用下载平台中下载应用安装包，所述应用安装包包括安装文件、第一签名信息、第一公钥、第二签名信息和第二公钥；

其中，所述第一签名信息为所述应用安装包的签名信息，所述第一公钥用于验证所述第一签名信息，所述第二签名信息为所述应用下载平台使用第一私钥对所述第一公钥进行签名得到，所述第二公钥用于验证所述第二签名信息；

基于所述第一签名信息、第一公钥、第二签名信息和第二公钥，对所述应用安装包进行验证，以判断所述应用安装包是否被篡改。

6.如权利要求5所述的方法，其特征在于，所述基于所述第一签名信息、第一公钥、第二签名信息和第二公钥，对所述应用安装包进行验证，以判断所述应用安装包是否被篡改，包括：

基于所述第二公钥对所述第二签名信息进行验证；

当所述第二签名信息验证失败时，确定所述应用安装包被篡改；

当所述第二签名信息验证成功时，基于所述第一公钥对所述第一签名信息进行验证；

当所述第一签名信息验证失败时，确定所述应用安装包被篡改；

当所述第一签名信息验证成功时，确定所述应用安装包未被篡改。

7.如权利要求5所述的方法，其特征在于，所述从应用下载平台中下载应用安装包，包括：

从所述应用下载平台中下载所述应用安装包包括的多个子安装包中的至少一个子安装包；

其中，对于所述至少一个子安装包中的每个子安装包，所述子安装包包括至少一个安装文件、所述至少一个安装文件的签名信息、所述第一公钥、所述子安装包的签名信息和所述第二公钥，所述子安装包的签名信息为所述应用下载平台使用所述第一私钥对所述子安装包进行签名得到。

8.如权利要求7所述的方法，其特征在于，所述基于所述第一签名信息、第一公钥、第二签名信息和第二公钥，对所述应用安装包进行验证，以判断所述应用安装包是否被篡改，包括：

对于所述至少一个子安装包中的每个子安装包，基于所述第二公钥对所述子安装包的签名信息进行验证；

当所述子安装包的签名信息验证失败时，确定所述子安装包被篡改；

当所述子安装包的签名信息验证成功时，基于所述第一公钥，对所述至少一个安装文件的签名信息进行验证；

当所述至少一个安装文件的签名信息验证失败时，确定所述子安装包被篡改；

当所述少一个安装文件的签名信息验证成功时，确定所述子安装包未被篡改。