如何检查 android 映像（boot.img、system.img 等）是否已签名？

Question

我从某个来源收到了一个 android 映像构建，如何检查它的签名？ 我知道我们可以检查 Android 应用程序的签名，但在操作系统方面遇到了一些问题 这是 AOSP 10

尝试“BootSignature.jar”但抛出错误 java -jar BootSignature.jar -verify boot.img

Answer 1

1. android 图像不像应用程序那样 sigend。但它受到验证启动的保护。见官方文档：https://source.android.google.cn/security/verifiedboot。

2. 而system.img 或vendor.img 中的应用程序是由一组键sigend。 The standard Android build uses five keys(testkey, platform, shared, media, networkstack), all of which reside in build/target/product/security。例如，/system/framework/framework-res.apk 是带有平台键的 sigend。您可以像检查应用程序一样检查签名。

当您从源代码构建镜像并使用 android 默认的 testkeys 集时，构建的指纹将以“test-keys”结尾，如果您使用您的私钥集，则指纹将以“dev-keys”结尾.

您也可以sign 构建，它将使用新密钥集退出应用程序，并更新验证启动的总和。指纹将以“release-keys”结尾。

1. OTA 包（zip 文件）像应用程序一样被签名。在更新之前，recovery 将使用 recovery/res/keys 验证 zip 的签名。