Sign einer Android APP

[wschrabi]

Hallo
Wie kann ich mit einem CODE SIGNING CERTIFICATE, wie ich es für WIN32/64 Programme habe und mit signtool arbeite, auch für Android unter RAD 11.3 eine signierte APP bereitstellen?
Wo hinterlegt man in RAD 11.3 das CERTIFICATE?
Danke

[Rollo62]

Das heißt wohl KeyStore unter Android, was Du suchst.
Delphi hat die Android-KeyStore Verwaltung direkt in die IDE integriert.
Hier mal etwas Info dazu.
https://en.delphipraxis.net/topic/70...nd-in-options/

[wschrabi]

Besten DANK
Heißt das, dass RAD ein eigenes Certifikate macht (dasa gratis ist)?
Für WINDOWS gibt's CODE Signing Certs, die doch Geld kosten und nur für Firmen ausgestellt werden.
DANKE

[Rollo62]

Nein, da wird wohl von der IDE im Hintergrund das keytool, aus dem JDK verwendet.
Ja, das ist kostenlos, warum auch nicht ?
Ich habe noch nie verstanden, warum man für Zertifikate hunderte von Euro verlangen muss

Bei iOS "kostet" das Zertifikat deine Mitgliedschaft im DeveloperCenter, mit 99 EUR / Jahr.

[himitsu]

Für Android oder iOS/OSX bieten die Hersteller die Möglichkeit von kostenlosen Zertifikaten an.
Ihr System ist aber auch darauf ausgelegt, dass quasi alles signiert sein muß. (im Windows ist es ein "kann", abgesehn von einigen wenigen speziellen Windows-Umgebungen)

Zitat von Rollo62:

Ich habe noch nie verstanden, warum man für Zertifikate hunderte von Euro verlangen muss

Es geht da vor allem um die Validierung, aber auch um das Ganze dahinter ... hier bieten die erstmal ein Root-Zertifikat, welches (meistens) bereits in vielen OS und Browsern bekannt ist, und auch eine Validierungs-Infrastruktur (inkl. Zeitserver usw.)


Dass sowas auch "kostenlos" geht, zeigt Let's Encrypt (für SSL-Zertifikate) ... aber kostenlos ist auch das nicht wirklich.
(nun fehlt halt sowas noch für CodeSigning-Zertifikate, worüber auch schon Mehrere nachgedacht hatten, bzw. es immernoch tun)

[Rollo62]

Zitat von himitsu:

Für Android oder iOS/OSX bieten die Hersteller die Möglichkeit von kostenlosen Zertifikaten an.

Wenn es um Android PlayStore geht, macht das "CodeSigning" der PlayStore und liefert meines Wissens nur "signierte" APK/AAB vom PlayStore aus.
Korrigier mich gerne, falls das nicht stimmt, aber man kommt im PlayStore doch nicht an ungeprüfte, ungesicherte Apps ran.
Ein zusätzliches Zertifikat braucht man dafür nicht.
Das ist vielleicht anders wenn man APK zum Sideload oder Download selbst anbieten will, da weiss ich aber nicht ob da ein einfaches CodeSigning funktioniert.
Mit Sicherheit hat Google da was eingebaut, dass es nicht so einfach wird.

Zitat von himitsu:

Zitat von Rollo62:

Ich habe noch nie verstanden, warum man für Zertifikate hunderte von Euro verlangen muss

Es geht da vor allem um die Validierung, aber auch um das Ganze dahinter ... hier bieten die erstmal ein Root-Zertifikat, welches (meistens) bereits in vielen OS und Browsern bekannt ist, und auch eine Validierungs-Infrastruktur (inkl. Zeitserver usw.)

Ist schon klar und für Hochsicherheits-Banking und Payment Apps meinetwegen auch berechtigt, da geht es ja in die Tausende mit den Zertifikation.
Ich finde die Preise ( oder sagen wir besser Preis / Leistung ) für einfaches CodeSigning nicht gerade optimal.
Es wird vielleicht noch ein VideoCall von indischen Callcentern oder ein sonstiger simpler Abgleich gemacht, zur Feststellung der Identität, ansonsten wird nur noch jährlich abkassiert.
Das ist nicht mein favorisiertes Geschäftsmodell, sorry

[himitsu]

Zitat von Rollo62:

Wenn es um Android PlayStore geht, macht das "CodeSigning" der PlayStore

Ob sie es selbst signieren oder uns ein Zertifikat geben, ist erstmal egal ... grundsätzlich bleibt die Aussage ja bestehen, dass sie es auch kostenlos anbieten.


Siehe Let's Encrypt ... Dass es günstiger geht, wurde ja schon gezeigt (auch wenn hier andere netter Weise für uns das bezahlen)
Die Validierung für so Kleinstentwickler-Zertfikate muß auch nicht soooo extrem sein. Teilweise könnte man auch die bereis vorhandene Validierung von Anderern dafür heranziehen. (z.B. andere registrierte/gekaufte Dinge, wie die Telefonnummer, den Windows-OnlineAccount, die Delphi-Lizenz, die private WebSeite oder eMail-Adresse ... kommt halt drauf an, wie sehr man den Daten davon vertraut)


https://stackoverflow.com/questions/...ource-projects
https://codesigningstore.com/free-co...ng-certificate
https://comodosslstore.com/resources...g-certificate/
https://www.clickssl.net/blog/free-c...eally-possible
https://learn.microsoft.com/en-us/an...v-code-signing
...

Es gab auch schon paar mal einige limitierte "kostenlose" Angebote (zeitlich bzw. Stückzahl).