說到這就的提到公鑰和私鑰：公鑰、私鑰分居客戶端和服務器端，分別用於加密和解密。同時，私鑰還用於簽名，公鑰還用於驗證簽名。
Android應用的發佈形式apk中包含的簽名加密方法除了RSA還有DSA，所以不能只從apk中提取常見的META-INF/CERT.RSA，第一步應該是檢查apk中具體的簽名文件是什麼。
FILE="yourapp.apk"
cert_XSA=`jar tf $FILE | grep SA`
接下來從apk中提取具體的簽名文件。
jar xf $FILE $cert_XSA
然後對於得到的簽名文件，提取其中籤名的MD5值
keytool -printcert -file $cert_XSA | grep MD5 > "$FILE.certMD5"
最後比較兩個app的簽名可以用diff
FILE1="yourapp1.apk"
FILE2="yourapp2.apk"
# ...
# ... 經過上述步驟得到$FILE1.certMD5和$FILE2.certMD5
# ...
certMD5_diff=`diff $FILE1.certMD5 $FILE2.certMD5`
if [ "$certMD5_diff" = "" ]; then
echo "$FILE1.certMD5 == $FILE2.certMD5"
fi
獲取apk證書MD5值的方法（JDK的keytool命令）
APK承襲Java，證書RSA文件生成方式與JAVA同源，獲取APK證書MD5思路：
- 得到APK的RSA證書文件
- 使用Java工具的keyytool命令獲取
使用該工具準備條件（2選1即可）：
- 安裝JDK（Java Development Kit）環境即可
爲確保運行，可添加到環境變量或者在cmd窗口中中cd到對應路徑執行。keytool命令對應文件keytool.exe的目錄一般爲C:\Program Files\Java\jre7\bin\keytool.exe
具體步驟
1、解壓得到RSA文件
APK以zip文件方式打開，在\META-INF\目錄中存在一個.RSA後綴的文件，一般名爲CERT.RSA
2、使用keytool命令獲取證書信息（包括MD5）
運行如下keytool命令即可：
keytool -printcert -file CERT.RSA
DSA和RSA是一種非對稱加密算髮，簽名密鑰分爲公鑰和私鑰。私鑰用於加密，公鑰用於驗證簽名。使用這種算法的簽名即起到防篡改的功能，又起到防抵賴的作用。因爲私鑰只有簽名者自己獨有
1，Base64
場景：你想把一組二進制數據表示爲一組可見字符，這樣在某些場合更加利於傳輸，比如在郵件中傳輸。
算法：http://zh.wikipedia.org/wiki/Base64
2，DES和RSA
場景：你想對一組二進制數據進行加密。比如你想保護你的數據不被別人竊取，即使別人有你加密後的二進制數據，但如果沒有密碼，他仍舊不能解開。
算法：
DES：http://zh.wikipedia.org/wiki/DES
RSA：http://zh.wikipedia.org/wiki/RSA%E5%8A%A0%E5%AF%86%E6%BC%94%E7%AE%97%E6%B3%95
區別：DES是對稱的加密，也就是說加密和解密的用的是同一個密鑰。RSA用的是非對稱加密，加密用public key，解密用private key。
討論：
DES現在可以被暴力破解，現在一般用AES來替代DES加密。
由於RSA是非對稱加密，換個說法就是可以用私鑰加密，用唯一對應的公鑰解密。但這不是公鑰加密(public cryptography)的工作方式。具體參見：
所謂的用私鑰加密的真正方式是數字簽名。也就是你對一個二進制流用私鑰進行簽名。在接受端會用公鑰來驗證你的簽名。從而可以知道來源的真實性和抗抵賴。具體的C#實例可以參考：https://gist.github.com/3991414
3，SHA1和MD5
場景：你有一組二進制數據，你爲了保證這組二進制數據的完整性，你想爲這組二進制數據生成唯一的數字簽名。
算法：
SHA1：http://zh.wikipedia.org/wiki/SHA1
MD5： http://zh.wikipedia.org/wiki/MD5
packageInfo.signatures不是公鑰，但是可以通過它得到公鑰（獲取簽名公鑰）
一、Android簽名概述
我們已經知道的是：Android對每一個Apk文件都會進行簽名，在Apk文件安裝時，系統會對其簽名信息進行比對，判斷程序的完整性，從而決定該Apk文件是否可以安裝，在一定程度上達到安全的目的。
給定一個Apk文件，解壓，可以看到一個META-INFO文件夾，在該文件夾下有三個文件：分別爲MANIFEST.MF、CERT.SF和CERT.RSA。這三個文件分別表徵以下含義：
（1）MANIFEST.MF：這是摘要文件。程序遍歷Apk包中的所有文件(entry)，對非文件夾非簽名文件的文件，逐個用SHA1生成摘要信息，再用Base64進行編碼。如果你改變了apk包中的文件，那麼在apk安裝校驗時，改變後的文件摘要信息與MANIFEST.MF的檢驗信息不同，於是程序就不能成功安裝。
說明：如果攻擊者修改了程序的內容，有重新生成了新的摘要，那麼就可以通過驗證，所以這是一個非常簡單的驗證。
（2）CERT.SF：這是對摘要的簽名文件。對前一步生成的MANIFEST.MF，使用SHA1-RSA算法，用開發者的私鑰進行簽名。在安裝時只能使用公鑰才能解密它。解密之後，將它與未加密的摘要信息（即，MANIFEST.MF文件）進行對比，如果相符，則表明內容沒有被異常修改。
說明：在這一步，即使開發者修改了程序內容，並生成了新的摘要文件，但是攻擊者沒有開發者的私鑰，所以不能生成正確的簽名文件（CERT.SF）。系統在對程序進行驗證的時候，用開發者公鑰對不正確的簽名文件進行解密，得到的結果和摘要文件（MANIFEST.MF）對應不起來，所以不能通過檢驗，不能成功安裝文件。
（3）CERT.RSA文件中保存了公鑰、所採用的加密算法等信息。
說明：系統對簽名文件進行解密，所需要的公鑰就是從這個文件裏取出來的。
結論：從上面的總結可以看出，META-INFO裏面的說那個文件環環相扣，從而保證Android程序的安全性。（只是防止開發者的程序不被攻擊者修改，如果開發者的公私鑰對對攻擊者得到或者開發者開發出攻擊程序，Android系統都無法檢測出來。）
參考文章：http://www.blogjava.NET/zh-weir/archive/2011/07/19/354663.html
二、在Eclipse下配置App的簽名信息
對App進行簽名的方式一般有以下幾種：通過Google提供的簽名工具，通過某些開發者開發的簽名工具或者通過Eclipse提供的簽名方法，但一般而言，他們都是在下層調用Google提供的簽名工具，所以簽名的方法都相同。
例如，在Eclipse下面配置簽名信息時，可以設置開發者信息：
具體參考文章：http://blog.csdn.Net/zuolongsnail/article/details/6444197（上圖來源於該文章）
說明：從上圖可以看出，在Eclipse中，可以設置開發者的詳細信息。在其他的簽名工具中，可能會直接調用其他簽名信息。
值得注意的是，在設置簽名信息的時候，會有如下圖所示的步驟：
請暫且記住這裏有認證指紋信息：MD5和SHA1。由於這一步驟是在編譯生成Apk文件之前進行的，所以，說明這裏的MD5和SHA1與程序的內容毫無關係，只與開發者的公私鑰對等開發信息有關。
我們自己設置簽名信息之後開發程序並簽名，得到的簽名信息經過keytool.exe解析結果如下：
說明：由上圖可以發現，解析結果中的MD5和SHA1與上面得到的MD5，SHA1是相同的。
三、同一個公司的不同App的簽名有關係嗎？
我們有一個疑問，許多互聯網大公司會開發許多官方的移動應用，那麼這些應用的簽名信息是否相同呢，他們所用的公私鑰對是否都是一樣的？我們對Tencent公司的QQ，QQ空間，微信三款產品進行解析，得到下面的結果和結論。
1、使用keytool.exe
使用Java提供的keytool.exe工具對三款產品的簽名情況（CERT.RSA文件）進行解析，情況如下所示。
微信：
QQ：
QQ空間：
說明：從上面的三幅圖可以看出，雖然同爲Tencent的三款產品，但是他們的所有者信息、簽發人信息等都不盡相同，儘管他們都表示了騰訊公司或者Tencent等信息。因爲這是開發者自己設置的，而且微信和QQ屬於不同的事業部，辦公地點不同，所以他們的簽名信息不同也就不足爲奇了。
2、自己寫應用提取
自己寫程序從CERT.RSA提取出公鑰信息和證書中的簽名信息（對開發者信息的簽名，例如姓名，公司，國家等。。。），情況如下：
由於都是一些字符，且很多，所以只取開始和結束的幾位比特做一說明：
微信：
公鑰：c05f........5e9f
簽名：3082....1949
QQ:
公鑰：a15e........3695
簽名：3082........2049
QQ空間：
公鑰：82d...........445
簽名：3082........1677
說明：由於三款App的開發者設置的簽名信息幾乎不同，使用的公私鑰對都不同，所以這裏取出來的公鑰和簽名信息幾乎不同。唯一相同的是三款App的簽名的開始一些比特，可能是因爲有的信息相同，具體不得而知。
四、同一款App的不同版本簽名信息有關係嗎？
爲了說明這個問題，我們對QQ的兩個版本做了檢測，情況如下：
QQ4.7.0：
公鑰：a15e........3695
簽名：3082........2049
QQ4.6.2：
公鑰：a15e........3695
簽名：3082........2049
說明：QQ的兩個不同版本，從CERT.RSA文件中取出的公鑰和簽名信息，完全相同。說明QQ開發團隊始終使用的是一個相同的公私鑰對。當然，他們對於不同的版本使用不同的公私鑰對也是可以的，也是可能的。這種可能性發生在他們主動更改公私鑰對的情況下，也可能發生在他們用不同的環境進行簽名的情況下。
五、可以修改META-INFO文件夾下的文件嗎？
（1）CERT.RSA，CERT.SF的文件名可以修改。
我們把CERT.SF的文件名改成CERT1.SF，把CERT.RSA的文件名改成CERT1.RSA，原來的Apk文件可以被成功安裝。
說明：Android系統在檢測的時候，不會一定要找到CERT這種文件名，是按照文件類型來檢測的。但是，如果.RSA文件與.SF文件的名字不同，那麼就不能成功安裝。
（2）添加自己的CERT.SF和CERT.RSA文件到META-INFO文件夾下面，不能成功。
說明：在（1）的基礎上，我們執行（2）操作，不能成功安裝，這是因爲Android系統找不到摘要文件與（2）中添加上的兩個文件進行對應。
六、不同的簽名應用，得到的結果可能不同。
用Eclipse簽名的Apk文件，解析CERT.RSA文件之後得到的結果如下：
用Dodo Apktools簽名後的Apk文件解析之後結果如下：
說明：用Dodo簽名的解析文件多了後面的擴展部分，但總體內容不變。
七、應用商店用什麼方式檢測官方版？
豌豆莢推出的洗白白功能很受歡迎，那麼他們是如何辨別App的是否是官方出品的呢？
根據蒐集到的資料，他們CEO說是這樣實現的：將商店裏的App與官網上的App簽名做對比。