T／TAF 084.1-2021  安卓应用程序认证签名技术规范 第1部分：数字签名应用要求

签名是非对称密钥加密技术与数字摘要技术的相结合的一种常见技术，认证签名可表明签名者的身 份真实可靠，签名者行为是本人意愿，签名具有防改、防抵赖等特性，广泛应用与社会生产生活实践 中。APP通过认证签名应用，可以对APP进行溯源，减少违法违规应用给用户造成的侵害，同时还可以 有效避免APP被假冒或篡改，保障开发者自身利益和合法权益，为安卓生态闭环管理提供了安全信任基 础。

角色层提供身份认证服务，身份认证通过后签发数字证书，APP签名服务系统为签名角色层提供APP签 名服务、为APP管理层提供APP签名数据同步服务。第三层APP管理层。由应用分发平台和应用检测平 台组成，实时从APP签名服务系统中同步APP签名数据，在开展APP管理过程中，负责上架审核、更新 审核管理和应用检测等，同时为APP应用层提供APP查验服务。第四层是APP应用层、是指APP实际安 装和运行的终端系统，在安装前从应用分发平台查验APP的分发来源和相关意见。APP认证签名整体架 构如图1所示。

5.3.1身份认证流程

污水处理厂标准规范范本图1APP认证签名整体架构图

签名者在开展APP签名活动前，首先向APP签名服务系统中的电子认证服务机构申请电子认证，由 电子认证服务机构审核并发放专用的APP签名数字证书。身份认证流程如图2所示。

a）签名者按照电子认证服务机构的相关要求，准备实名认证所需的材料。 b）签名者在APP签名服务系统注册账号，按照流程填报相关信息并上传相关身份证明材料。 c）签名者根据申请的证书类型和数量，支付相应的认证及服务费用。 1）签名者通过APP签名服务系统向电子认证服务机构提交认证申请。 e）电子认证服务机构受理、审核、制作完成数字证书后，通过邮寄或现场交付等方式发放给签名 者。 f）签名者接收到数字证书后，在APP签名服务系统中进行确认，完成签名者CA身份认证

5.3.2签名和查验流程

应用分发平台和应用检测平台在开展APP管理活动前，应先通过APP签名服务系统实现APP签 实时同步。签名和查验流程如图3所示，

图3签名和查验流程图

a）开发者在开发完成或更新APP后，在APP签名服务系统中上传APP并完成开发者签名。 b）开发者向应用分发平台提交APP上架申请，由应用分发平台查验APP是否经过开发者签名，无 签名时，引导开发者申请CA认证并完成签名。完成签名后，应用分发平台审核APP资质及其他 要求。 c）应用分发平台向应用检测平台提交APP合规性检测。（可选，不申请则跳到第h步） d）应用检测平台查验APP是否经过开发者签名，无签名时，引导开发者申请CA认证并完成签名， 完成签名后，应用检测平台根据相关检测依据对APP进行合规性检测。 e）应用检测平台检测完成后，检测者在APP签名服务系统上传应用检测信息进行检测者签名。 f）应用分发平台查验检测者的应用检测信息。 g）应用分发平台在APP上架审核过程中参考检测者的应用检测信息。 h）应用分发平台完成APP上架审核。

i）分发者在APP签名服务系统中上传应用分发信息并对APP进行分发者签名。 j）应用分发平台对APP进行上架展示。 <）终端系统通过应用分发平台下载APP。 ）终端系统安装APP。如果APP安装时无安装界面，则直接安装，如果APP安装时有安装界面， 则需要查验APP是否存在开发者或分发者的签名信息。查验渠道包括应用分发平台、应用检测 平台和终端云管理平台。

5. 4 CA 认证要求

教育标准5.5APP签名服务系统功能要求

a）开发者在APP开发完成后应及时通过APP签名服务系统对APP进行签名。 b）检测者在APP检测完成后应及时通过APP签名服务系统对APP进行签名。 c）分发者在APP上架审核完成后应及时通过APP签名服务系统对APP进行签名。

5.8 验签和同步要求

a）APP签名服务系统应实时验证签名者签名的有效性，验签成功后保存签名数据， b）APP签名服务系统应实时将有效签名数据同步到所有应用分发平台、应用检测平台和终端云管 理平台，数据同步过程中应确保数据的私密性和完整性

a）开发者在SDK集成前，应先通过APP签名服务系统查验SDK是否经过开发者签名。未完成

在SDK集成前施工管理标准规范范本，应先通过APP签名服务系统查验SDK是否经过开发者签名。未完成开发

者签名的SDK，引导开发者申请CA认证并完成开发者签名。 b）检测者在APP检测前，应先通过应用检测平台查验APP是否经过开发者签名。未完成开发者签 名的APP，引导开发者申请CA认证并完成开发者签名。 c）分发者在APP上架前，应先通过应用分发平台查验APP是否经过开发者签名。未完成开发者签 名的APP，引导开发者申请CA认证并完成开发者签名。完成开发者签名的APP，应用分发平台 上架中应展示开发者认证标识。 1）终端系统在安装APP时，对于有安装界面的APP，应先查验APP是否经过开发者或分发者的签 名。未完成开发者或分发者签名的APP，应提示用户。

电信终端产业协会团体标准 安卓应用程序认证签名技术规范第1部分：数字签名应用要求