2016-06-29 2 views
2

Apple App Store позволяет публиковать обновления приложения, даже когда сертификат потерян и воссоздан, но Google Play Store этого не допускает.Почему Play Store требует того же сертификата при обновлении приложения, но App Store этого не делает?

Использование такого же идентификатора пакета подходит для публикации обновления приложения в Apple App Store, поэтому при публикации обновления приложения можно использовать новый сертификат.

Итак, почему Google Play Store этого не допускает? Это слабость безопасности, чтобы это позволить? Или Google Play Store преувеличивает безопасность и излишне требует того же сертификата?

Apple App Store allows it

Но Google Play Store does not allow it

ответ

0

Это просто, сертификат Apple может быть создан только владельцем учетной записи (или хакером, который получил к нему доступ). Также, если сертификат отозван, владелец получит электронное письмо по этому вопросу => не большая проблема для безопасности.

Для Android любой, обладающий небольшими знаниями об Android, может генерировать хранилище ключей, находить имя пакета приложения, и там вы можете загрузить обновление в свое приложение => огромные проблемы с безопасностью.

С другой стороны, как разработчик несет ответственность за создание этих ключей/сертификатов и доставку их вашему клиенту и уточнение для вашего клиента, что они действительно важны, и их следует хранить в надежном месте. Вот так я рулон: D

+0

Итак, я понимаю, что только Apple выпускает сертификат подписи, но для Android разработчик может создать сертификат подписи. Таким образом, поскольку Apple подписывает личность, мы будем знать, если наш сертификат будет удален. Но мы не будем знать, когда для Android используется новый сертификат. Итак, для Android требуется такой же сертификат для идентификации приложения. – lockedscope

+0

Итак, почему Play Store не используется так же, как App Store и не управляет сертификатами? – lockedscope

+0

@lockedscope Что вы говорите правильно, но вы должны принять во внимание, что есть два разных процесса подписания, поэтому могут быть и другие скрытые проблемы. Кроме того, я думаю, что Android использует комбинацию между хранилищем ключей SHA1 и именем пакета для идентификации вашего приложения через разные платформы, такие как Google Play и Google Консоль. – danypata

1

Это имеет мало общего с Play Store. Android не позволяет это, из соображений безопасности. Авторы вредоносных программ хотели бы, чтобы замена существующего приложения была заменена вредоносными программами. Требование соответствия подписи - один из способов, которым Android предотвращает это.

Смежные вопросы