CN103530534A - 一种基于签名验证的Android程序ROOT授权方法 - Google Patents

Abstract

本发明属于移动通讯系统安全技术领域，涉及一种Android系统ROOT授权方法。将对ROOT的授权从缺少经验的用户手中转移到手机厂商上。手机厂商可以指定具有特定签名的程序才能获得ROOT权限，在程序运行时对其签名进行验证。通过签名验证的方式，只有使用特定签名的Android程序才能获得ROOT权限。如果与手机厂商指定的签名相同，则授予其ROOT权限，否则拒绝。如此，既不损害ROOT强大的功能实用性，又提高了系统的安全性。

Description

一种基于签名验证的Android程序ROOT授权方法

技术领域

本发明属于移动通讯系统安全技术领域，涉及一种Android系统ROOT授权方法。

背景技术

Android系统是谷歌公司为移动设备设计的软件平台和开放操作系统。它基于Linux2.6内核，包括操作系统、中间件堆栈、可定制的用户接口和应用程序。ROOT是Linux系统中的超级用户，它拥有对整个系统的最高权限。Android手机用户为了获得更好的玩机体验，多会选择将手机ROOT。ROOT后的手机可以清除多余的系统应用，安装一些安全软件，扼杀通知栏广告，静默安装或卸载应用，隐私行为监控和管理等等。

目前，一些手机生产厂商和第三方开发团队分别对ROOT进行了实现，基本原理大致相同。对ROOT权限的管理由两部分实现，一个是二进制可执行文件su，另一个是Android应用Superuser.apk。其他Android程序通过执行su来请求ROOT权限，su会将该程序的UID等信息发送给Superuser，然后Superuser会弹出提示窗口，让用户选择是否授予该程序ROOT权限。

这种方式虽然给予用户很大的灵活性，但同时也带来了很大的安全隐患。普通用户很难判断第三方程序的安全性。如果恶意软件获得了ROOT权限，将会对系统造成严重危害。

发明内容

本发明的目的是为了克服现有技术的缺陷，提出一种基于签名验证的Android程序ROOT授权方法。本发明方法需要由手机厂商实现。

本发明方法的基本原理是，将对ROOT的授权从缺少经验的用户手中转移到手机厂商上。手机厂商可以指定具有特定签名的程序才能获得ROOT权限，在程序运行时对其签名进行验证。通过签名验证的方式，只有使用特定签名的Android程序才能获得ROOT权限。如果与手机厂商指定的签名相同，则授予其ROOT权限，否则拒绝。如此，既不损害ROOT强大的功能实用性，又提高了系统的安全性。

本发明所采用的技术方案如下：

一种基于签名验证的Android程序ROOT授权方法。

首先，在Android系统中，写入实现对ROOT进行权限管理的程序文件，包括su程序和Superuser程序。其中，Superuser程序包含签名验证功能。即，Superuser能够根据ROOT请求者（某一Android应用程序）的UID获得该请求者的包名，并根据包名获得该请求者的签名信息中的公钥信息A。并能够将该公钥信息A与由手机厂商事前设定好的公钥信息B进行比对，如果相同，则授予ROOT请求者ROOT权限，否则拒绝授予。

所述设定好的公钥信息B包含在Superuser程序中。公钥信息B的获取方式为：首先，由手机厂商创建用于对Android应用程序进行签名的秘钥。然后，编写一个Android应用程序，并使用秘钥对其进行签名。将签名后的Android应用程序安装到手机上。再编写另一个Android应用程序并安装到同一手机上，用于获得前述Android应用程序签名信息中的公钥信息。

然后，对Android系统源代码进行编译，生成ROM刷机包，并将其导入手机。

当安装于手机中的某一Android应用程序需要运行su程序来请求ROOT权限时，Superuser程序根据ROOT请求者的UID获得该请求者的包名，并根据包名获得该请求者的签名信息中的公钥信息A；将该公钥信息A与由手机厂商事前设定好的公钥信息B进行比对，如果相同，则授予ROOT请求者ROOT权限，否则拒绝授予。

签名验机制是Android系统本身具有的。每一个发布的Android程序都要对其进行签名。签名需要一个公钥和一个私钥文件，签名后的APK压缩包内会增加一个META-INF文件夹，该文件夹下包含三个文件：MANIFEST.MF、CERT.SF和CERT.RSA。签名过程如图2所示，过程如下：

首先，对UnsignedApp.apk包进行解压缩，得到具体的程序文件。程序文件包括配置文件（AndroidManifest.xml）、程序的执行代码（classes.dex）、资源文件（/res目录下的文件）；

然后，对解析出来的每个文件分别计算摘要值，并将摘要结果逐一写入MANIFEST.MF文件中。具体可以使用SHA1算法进行摘要计算。

之后，对MANIFEST.MF文件计算摘要值，并将摘要计算结果写入CERT.SF文件；同时，对MANIFEST.MF文件中的每个摘要项分别计算摘要值，并将计算结果写入CERT.SF文件。具体可以使用SHA1算法进行处理。

而后，使用输入的私钥对CERT.SF文件计算签名，并将签名结果和输入的公钥证书打包成PKCS7格式写入CERT.RSA文件；

最后，将上述过程中生成的三个签名数据文件MANIFEST.MF、CERT.SF、CERT.RSA，连同第一步解析得到的应用程序原文件进行打包，生成签名后的程序SignApp.apk。

此外，Android系统在安装一个应用程序时，会对其进行签名验证，只有验证通过才能安装该程序，验证过程主要包括以下三个方面：

首先，验证CERT.RSA中的签名确实是从CERT.SF来的；

然后，验证CERT.SF中的摘要值确实是从MANIFEST.MF文件计算得到；

最后，验证MANIFEST.MF中的摘要项确实是从应用程序文件计算得到。

通过Android系统的签名、验证流程，可以看出Android签名机制实质上是对APK包完整性和发布机构唯一性的一种校验机制。APK包加密的公钥打包在APK包内，且不同的私钥对应不同的公钥。换言之，不同的私钥签名的APK公钥也必不相同。因此可以根据公钥的对比，来判断私钥是否一致。

有益效果

使用本发明方法，手机厂商可以定制ROM，由其持有ROOT授权秘钥，如果其他应用程序想要获得ROOT权限，则需要由手机厂商对该程序进行签名授权。这样便不需要手机用户去决定是否对某个应用程序进行ROOT授权。由于手机厂商可以使用更专业的工具和方法来判断某个程序是否是恶意程序，这样比让普通用户来决定更安全可靠。

附图说明

图1为基于签名验证的ROOT权限请求过程。

图2为Android应用程序签名过程。

具体实施方式

下本结合实施例对本发明方法做进一步详细说明。

实施例

本实例使用64位Ubuntu11.10系统，在Cyanogenmod10针对三星9300手机的系统源码上，手机厂商通过对Superuser程序进行修改，加入签名验证功能，然后编译生成ROM包刷入手机，最后编写测试程序对本发明的方法进行验证。下面是具体流程：

步骤一、下载Cyanogenmod10源码。

步骤二、创建秘钥，并获得其对应的公钥信息作为验证标准。

因为每个正式发布的Android应用程序都需要经过签名，签名的私钥掌握在开发者手中。签名后的APK安装包中保存有公钥信息，公钥信息与私钥是一一对应的，所以可根据公钥信息来判断某个程序是否具有特定的签名。

使用Eclipse创建秘钥，然后编写一个“HelloWorld”程序，其包名为“com.android.helloworld”。使用该私钥对“HelloWorld”程序进行签名，并导出APK安装到Android系统手机上。然后，编写CertificateTool类用来提取给定包名程序的公钥字符串，该类首先通过包管理器PackageManager获得指定的包信息PackageInfo，然后使用X509Certificate类获得包信息中的签名信息，并将其以字符串的方式返回。获得“HelloWorld”程序的公钥只需要使用CertificateTool.getPublicKey(context,”com.android.helloworld”)。

步骤三、修改SuRequestReceiver类。该类负责接收su的通知，通过对其修改，来实现本发明方法。首先获得ROOT权限请求者的UID，根据UID可以获得其对应的包名，然后使用CertificateTool类获得该包的签名公钥字符串，将该字符串与之前获得的标准公钥字符串比较，如果相同，则允许其获得ROOT权限，否则提醒用户让其选择。需要指出的是，此例为了方便测试，在签名不同时让用户选择是否授予ROOT权限。也可以直接拒绝，可以根据需要选择不同的策略。。

步骤四、编译生成ROM，并刷机。

在Ubuntu的Terminal中，进入Cyanogenmod10源码的根目录，使用.build/envsetup.sh&&brunch i9300命令编译Cyanogenmod10源码，生成zip格式的刷机包，然后将该刷机包刷入三星9300手机。

可通过编写测试程序验证了本发明方法的可行性与正确性。编写一个需要ROOT权限的Android程序，其功能为在根目录新建一个目录，使用步骤二所述私钥对其签名，然后安装到刷过定制系统的手机上。使用RE管理器先将系统根目录挂载为读写，然后运行程序，没有弹出用户选择框，说明通过了签名验证，然后使用RE管理器查看根目录发现新建文件夹成功。作为对比，使用其他私钥对该程序签名，进行同样的操作，程序运行时会弹出用户选择框，说明没有通过签名验证，选择不同意ROOT授权，然后使用RE管理器查看根目录发现新建文件夹失败。

Claims (2)

1.一种基于签名验证的Android程序ROOT授权方法，其特征在于包括以下步骤：

首先，在Android系统中，写入实现对ROOT进行权限管理的程序文件，包括su程序和Superuser程序；其中，Superuser程序包含签名验证功能，即，Superuser能够根据ROOT请求者的UID获得该请求者的包名，并根据包名获得该请求者的签名信息中的公钥信息A；并能够将该公钥信息A与由手机厂商事前设定好的公钥信息B进行比对，如果相同，则授予ROOT请求者ROOT权限，否则拒绝授予；所述设定好的公钥信息B包含在Superuser程序中；

然后，对Android系统源代码进行编译，生成ROM刷机包，并将其导入手机；

当安装于手机中的某一Android应用程序需要运行su程序来请求ROOT权限时，Superuser程序根据ROOT请求者的UID获得该请求者的包名，并根据包名获得该请求者的签名信息中的公钥信息A；将该公钥信息A与由手机厂商事前设定好的公钥信息B进行比对，如果相同，则授予ROOT请求者ROOT权限，否则拒绝授予。

2.一种如权利要求1所述的基于签名验证的Android程序ROOT授权方法，其特征在于，公钥信息B的获取方式为：

首先，由手机厂商创建用于对Android应用程序进行签名的秘钥；

然后，编写一个Android应用程序，并使用秘钥对其进行签名；将签名后的Android应用程序安装到手机上；

再编写另一个Android应用程序并安装到同一手机上，用于获得前述Android应用程序签名信息中的公钥信息。

Images