APK signature checker

端末にインストール済みのアプリから、署名情報を調べるアプリです。

わざわざAPKを取り出してPCでkeytool/jarsigner/openssl等を使用せずとも、Android端末上でアプリの署名情報を確認する事が出来ます。

適当にロングタップしたり、メニューを呼び出したりすれば動きます。

＋＋使い道＋＋

＋同じ署名のアプリを確認出来ます。

デベロッパー名の違うアプリでも、実際は同じ鍵で署名されたならアプリを確認可能です。

「実はこの２つのアプリ、作者同じなんじゃ…？」と思った時の判断材料になります。（別の鍵で署名する可能性もあるので参考程度です）

＋signature permissionやsharedUserIdの影響範囲を確認出来ます。

signature permissionやsharedUserIdの情報はアプリインストール画面では確認出来ないので、どのアプリがどのアプリと連携しているのかが確認し辛かったりします。

実際の利用状況はAndroidManifestを確認する必要がありますが、簡易的に「このアプリＡとアプリＢは同じ署名を利用したグループなのか」「このアプリＣとアプリＤは同じshareUserIdなのか」と判断する事が出来ます。

＋他のアプリの署名を参考に出来ます。

「私もAndroid開発に挑戦してるけど、keystore作成で何を入力すれば良いか分からない…」といった場合に、他のアプリの署名を参考に出来ます。

有効期間はどれ位にするのが良いのか等々、存分に他のアプリを参考に出来ます。

＋タブ区切りテキスト出力機能

メニューの[text]を選択すると、タブ区切りテキストで現在表示してるデータの詳細をダイアログに表示します。

そのまま選択してクリップボードへコピーするか、[共有]でテキストエディターやメーラーに送りつけると良いでしょう。

保存した情報をＰＣへ移し、Excelなどへ読み込ませてからじっくりと閲覧するのも良いでしょう。

ただし処理がとても遅いので、時間のある時に作業する事をお勧めします。

＋署名のハッシュ値を確認出来ます。

MD5・SHA1・SHA256のハッシュ値を確認出来ます。

JSSECさんの「セキュアコーディングガイド」(※)で利用しているような、呼出元アプリの署名ハッシュ値チェック処理を組み込む時に便利かもしれません。

[※ http://www.jssec.org/report/20121119_securecoding.html ]

＋その他

プリインアプリの署名を見て、開発体制を勝手に妄想出来ます。

「なるほどこのアプリは不具合無いのに、こっちのアプリは不具合だらけなのは開発チームが違うのか…」なんて妄想を楽しめるかもしれませんね。

Q. 複数の署名が行われたAPKのハッシュ値は？

A. タブ区切りテキストで出力されるハッシュ値は、１つ目の署名のものだけになります。２つ目以降の署名のハッシュ値情報は、詳細画面の表示/テキストでご確認ください。

Q.secroidでHIGHと判定されるんだけど… [ http://secroid.jp/d/d/a/0/com.casraq.android.apksignaturechecker.html ]

A.今後ともsecroidをご利用ください。でもって当アプリは「インストールされているアプリ一覧」を*外部ネットワーク等へ*は送信していません。アプリ内部と[共有]ボタンを押した共有先アプリにのみ情報が渡っています。具体的な動作はこちら→ [ http://d.hatena.ne.jp/popokann/20130123/1358945414 ] をご覧ください。

Q. SDカードに保存したAPKは解析出来る？

A. 対応していません。要望次第で実装しますが、出来れば権限READ_EXTERNAL_STORAGEを付けたくありません。近々別アプリでリリースしようと模索中です。期待しないでお待ち下さい。

Q. 処理が遅いです。何とかなりませんか？

A. 諦めて下さい。