インターネット経由でAndroidマーケットの公開鍵を送信する

Question

Androidベースの公開鍵を、生のbase64形式でインターネット経由で送信するのは安全ですか？私がこれをしたら、どんな問題に遭遇することができましたか？

Answer 1

インターネット上でどこに送信していますか、なぜ送信していますか？ターゲットがベース64でエンコードされた公開鍵を期待している場合は、大丈夫です。

脅威についてはあまりありません。誰でもあなたの公開鍵を見ることができます。それが公開鍵のポイントであり、秘密鍵で署名されたものを復号化できるようにしたいと思う人と共有してください。誰かがそれを保有している場合、問題を引き起こす可能性のある秘密鍵です。

あなたのアプリを読み込む人は誰でもあなたの公開鍵が必要です。ハッシュ署名を復号化してアプリが本当にあなたのものであることを確認してください。あなたはプライベートキーを使ってアプリケーションに署名し、公開されているハッシュを解読するのに使われます（ハッシュはファイルから計算された数字です。少しでもファイルが変化してもハッシュは劇的に変化するはずですので、改ざんされている）、あなたのものであることを確認してください。それが誰かの鍵で署名されていれば、あなたの公開鍵で復号化することはできません。ハッシュを解読するので、ユーザーはそれがあなたのアプリだと分かります。一般公開はアプリの証明書に埋め込まれています。

また、秘密鍵が安全である必要がある理由があります。誰かが自分の秘密鍵を保持している場合、署名を偽装する可能性があります。