有恶意的人可以用我的 Google App Signing 上传密钥做什么？
What can someone with malicious intent do with my Google App Signing upload key?
我正在使用 Google Play 商店应用签名并使用上传密钥对我的应用程序包进行签名。我是否正确地假设当有人拿到我的上传密钥时，他们实际上无法对其进行任何操作，因为该密钥未用于通过 Play 商店进行身份验证？
你是对的。如果 he/she 可以访问您的 Play 商店帐户，除了代表您上传新 APK 之外，我想不出攻击者可以使用上传密钥做什么。
上传密钥的签名在发送给用户之前从所有上传的 APK 中删除，因为上传密钥仅在 Google 注册以验证应用程序创建者的身份。
请记住，如果得到 stolen/compromised，您可以 replace your upload key。
没错。你最大的威胁一如既往地是内部的 - 一个拥有密钥的流氓员工可以上传修改后的 APK 版本，如果他有权访问 Google Play 并有权推送新版本。该风险的解决方案是限制可以推送新版本的人数，并立即撤销对离开公司的任何人的访问权限。
实际上，如果上传密钥被泄露，第三方可以使用与您的 APK 相同的密钥签署他们的 APK。
我能想到一种情况，这会导致有形的伤害。如果您有多个应用程序，和它们使用其他应用程序不应使用的基于意图的私有协议交换数据，您使用和签名保护 Android 权限以确保 然后 攻击者将能够绕过该保护。
例如，如果您的应用发布了一段专有内容供您的其他应用使用，第三方应用不应看到（可能是因为他们没有付费），攻击者可能会访问该内容内容.
如果有权访问您的 Play 管理中心的帐户遭到入侵，则存在风险。然后，如果他们有上传密钥，他们可以代表您上传 APK 或 App Bundle，您的用户将获得新版本。
单靠上传密钥，做不了什么。
我正在使用 Google Play 商店应用签名并使用上传密钥对我的应用程序包进行签名。我是否正确地假设当有人拿到我的上传密钥时，他们实际上无法对其进行任何操作，因为该密钥未用于通过 Play 商店进行身份验证？
你是对的。如果 he/she 可以访问您的 Play 商店帐户，除了代表您上传新 APK 之外，我想不出攻击者可以使用上传密钥做什么。
上传密钥的签名在发送给用户之前从所有上传的 APK 中删除，因为上传密钥仅在 Google 注册以验证应用程序创建者的身份。
请记住，如果得到 stolen/compromised，您可以 replace your upload key。
没错。你最大的威胁一如既往地是内部的 - 一个拥有密钥的流氓员工可以上传修改后的 APK 版本，如果他有权访问 Google Play 并有权推送新版本。该风险的解决方案是限制可以推送新版本的人数，并立即撤销对离开公司的任何人的访问权限。
实际上，如果上传密钥被泄露，第三方可以使用与您的 APK 相同的密钥签署他们的 APK。
我能想到一种情况，这会导致有形的伤害。如果您有多个应用程序，和它们使用其他应用程序不应使用的基于意图的私有协议交换数据，您使用和签名保护 Android 权限以确保 然后 攻击者将能够绕过该保护。
例如，如果您的应用发布了一段专有内容供您的其他应用使用，第三方应用不应看到（可能是因为他们没有付费），攻击者可能会访问该内容内容.
如果有权访问您的 Play 管理中心的帐户遭到入侵，则存在风险。然后，如果他们有上传密钥，他们可以代表您上传 APK 或 App Bundle，您的用户将获得新版本。
单靠上传密钥，做不了什么。