Bearbeiten von „Android - Apps signieren, veröffentlichen und API Keys“

=== Kurzanleitung ===
Zur Veröffentlichung einer Android App muß man:
* Die App Signieren (Zertifikat erstellen das für den Release gültig sein soll)
* Den SHA Fingerprint des Zertifikats an Google übermitteln (braucht man auch wenn man diverse Google APIs wie die Map API im Code nutzen will).

Am schnellsten bekommt man den Fingerprint für den Debug - Keystore, in Eclipse über Einstellungen > Android > Build
=== Sicherheitshinweise ===
http://developer.android.com/guide/topics/security/security.html

=== Einführung===
Apps bekommen ein Sicherheitszertifikat mit dem sie vor dem veröffentlichen signiert werden. Diese '''Signatur erstellt i.d.r. der Entwickler selbst'''. Beim Debuggen erstellt Eclipse automatisch ein Testzertifikat. Für manche Anwendungen die einen API Key von Google benötigen muß man schon frühzeitig ein Release Zertifikat erstellen, das man bei Google Registrieren kann.

=== Kurzanleitung: Zertifikat und Fingerprint auf Eclipse unter Mac ===
In Eclipse mit Mac OSX ist das keytool bereits enthalten:

 File -> Export -> Android -> Export Android Application -> click next -> select your project -> click next -> new keystore

Am Ende werden die Fingerprints angezeigt. Man kann diese aber auch anzeigen wenn man im Terminal in das Keystore-Verzeichnis wechselt und folgendes eingibt:
 keytool -list -v -keystore "keyStoreName"

==== API Keys holen ====
Auf https://code.google.com/apis/console/ registriert man dann alle Apps die zu diesem Fingerprint / dieser Signierung gehören. Dazu legt man ein Projekt (beliebiger Name) an und klickt dann unter API Access auf '''Generate new Android Key'''
Dort legt man die SHA Fingerprints und den zugehörigen Package Name der App ab.

===Ein selbst signiertes Release Zertifikat erstellen ===

Quelle: Buch Android Programmierung

Sind Sie bereit, Ihren Code für die Veröffentlichung zu signieren? Zunächst erstellen Sie mit dem keytool-Befehl einen privaten Schlüssel:
 keytool -genkey -v -keystore my-release-key.keystore -alias alias_name -keyalg RSA -keysize 2048 -validity 50000 
Für my-release-key können Sie einen Namen Ihrer Wahl angeben und für alias_name einen Alias Ihrer Wahl. Die Parameter -keysize und -validity sollten so bleiben wie im Code oben.

==== Sicherheit ====
Sobald eine App mit dem Zertifikat veröffentlicht ist wird das Zertifikat unersetzlich.

Wenn Sie Ihr Signierzertifikat verlieren, verlieren Sie Ihre Identität für Android-Geräte und Google Play. Das heißt, dass Sie, obwohl Sie den gleichen Code wie zuvor kompilieren und veröffentlichen, die neu kompilierten Anwendungen nicht nutzen können, um bereits veröffentlichte Anwendungen zu aktualisieren, da weder Android-Geräte noch Google Play Sie als den App-Urheber wiedererkennen.
Bewahren Sie mehrere Sicherungskopien Ihres Signierzertifikats auf unterschiedlichen Typen von Medien (auch auf Papier) an verschiedenen Orten auf. Und sorgen Sie dafür, dass diese Sicherungskopien sicher sind. Wenn Ihr Signierzertifikat von anderen als Ihnen selbst genutzt wird, können diese Leute Ihre Programme auf den Android-Geräten Ihrer Benutzer ändern.
Ausführliche Empfehlungen von der Android-Entwicklerseite zur Sicherung Ihres Signierzertifikats finden Sie unter http://developer.android.com/guide/publishing/app-signing.html#secure-key.

Bevor die App veröffentlicht ist kann man die Signatur jederzeit wegwerfen und erneuern.

=== Google Maps API Key ===
* Notwendig für Zugriffe auf den Google Maps Kartenserver. 
* Alle Android Apps müssen mit einem digitalen Zertifikat signiert werden für das der Entwickler den private key hat. Damit werden die Apps auf dem Map-Server oder im PlayStore getrackt.
* Man benötigt einen Schlüssel für jedes Zertifikat
* In der Praxis erstellt man ein Zertifikat für jede App (theoretisch kann man auch mehrere mit einem Zertifikat signieren)
* Für die Entwicklung nutzt Eclipse ein Entwickler Zertifikat ohne API Key dies reicht nicht bei Apps die einen Maps API Key benötigen
=== Google Maps API Key erstellen ===
==== Google Play Services Installieren ====
Dieses SDK benötigt man um einen Key zu holen (Dieser Schritt muß nur einmal gemacht werden)
* Android SDK aus Eclipse oder über Terminal starten.(On Mac or Linux,  tools/ directory Befehl: android sdk)
* Im Android SDK Extras > Google Play services SDK installieren
==== App Zertifikat Fingerprint anzeigen ====
Es gibt Debug Zertifikate und Release Zertifikate. Das Debug Zertifikat wird von Eclipse automatisch beim Debuggen der App erstellt. Um den passenden Key zu bekommen braucht man den Fingerprint des gewünschten  Zertifikats.
===== Debug Zertifikat Fingerprint =====
In Eclipse:

Über 
 Einstellungen > Android > Build

Manuell:

Die Zertifikate kann man aus dem debug keystore file auslesen. Es nennt sich debug.keystore und wird beim ersten erstellen des Projekts erzeugt. Es befindet sich im gleichen Verzeichnis wie die Android Virtual Device (AVD) Dateien. Unter Mac ist das:
 ~/.android/
Windows Vista and Windows 7: 
 C:\Users\your_user_name\.android\
In Eclipse kann man den Ort mit 
 Windows > Prefs > Android > Build 
Anzeigen lassen (dann kopieren und in den Finder kopieren.

List the SHA-1 fingerprint im Terminal:

 keytool -list -v -keystore ~/.android/debug.keystore -alias androiddebugkey -storepass android -keypass android
Ausgabe sieht etwa so aus:
<pre>
 Alias name: androiddebugkey
 Creation date: Jan 01, 2013
 Entry type: PrivateKeyEntry
 Certificate chain length: 1
 Certificate[1]:
 Owner: CN=Android Debug, O=Android, C=US
 Issuer: CN=Android Debug, O=Android, C=US
 Serial number: 4aa9b300
 Valid from: Mon Jan 01 08:04:04 UTC 2013 until: Mon Jan 01 18:04:04 PST 2033
 Certificate fingerprints:
      MD5:  AE:9F:95:D0:A6:86:89:BC:A8:70:BA:34:FF:6A:AC:F9
      SHA1: BB:0D:AC:74:D3:21:E1:43:07:71:9B:62:90:AF:A1:66:6E:44:5D:75
      Signature algorithm name: SHA1withRSA
      Version: 3
</pre>
Die Zeile mit SHA1 enthält den fingerprint, eine Sequenz von 20 two-digit hexadecimal numbers separated by colons.

===== Release Zertifikat anzeigen =====
Auch hier muß man das release certificate keystore file finden, dies ist jedoch nicht immer am gleichen Ort. Man kann einen Ort festlegen, wenn man das release build für die App macht. Wenn man es nicht macht bleibt die App unsigniert und man kann Sie beim Publizieren Signieren. Da wir aber den API Key brauchen geht das in diesem Fall nicht.

Für das release Zertifikat braucht man auch den certificate's alias und die Passwörter für den keystore und das Zertifikat.

So kann man die Alias Liste für alle Keys im Keystore anzeigen:

 keytool -list -keystore your_keystore_name
Ersetze ''your_keystore_name'' mit dem fully-qualified Pfad und dem Namen des Keystore, inklusive der .keystore extension. Es wird nach dem keystore Passwort gefragt und danach die Liste angezeigt.

Jetzt können wir folgendes eingeben:
<pre>
keytool -list -v -keystore your_keystore_name -alias your_alias_name
</pre>
Replace your_keystore_name with the fully-qualified path and name of the keystore, including the .keystore extension. Replace your_alias_name with the alias that you assigned to the certificate when you created it.

Caution: To protect your keystore and key, don't enter the storepass or keypass arguments on the command line unless you're confident of your computer's security. For example, on a public computer, someone could look at your terminal window history or list of running processes, get the password, and then have write access to your signing certificate. This would allow that person to modify or replace your application with their own.

You should see a display that is similar to this:

 Alias name: <alias_name>
 Creation date: Feb 02, 2013
 Entry type: PrivateKeyEntry
 Certificate chain length: 1
 Certificate[1]:
 Owner: CN=Android Debug, O=Android, C=US
 Issuer: CN=Android Debug, O=Android, C=US
 Serial number: 4cc9b300
 Valid from: Mon Feb 02 08:01:04 UTC 2013 until: Mon Feb 02 18:05:04 PST 2033
 Certificate fingerprints:
      MD5:  AE:9F:95:D0:A6:86:89:BC:A8:70:BA:34:FF:6B:AC:F9
      SHA1: BB:0D:AC:74:D3:21:E1:43:67:71:9B:62:90:AF:A1:66:6E:44:5D:75
      Signature algorithm name: SHA1withRSA
      Version: 3
The line that begins SHA1 contains the certificate's SHA-1 fingerprint. The fingerprint is the sequence of 20 two-digit hexadecimal numbers separated by colons.

===== Projekt in der Google APIs Console registrieren =====
and add the Maps API as a service for the project.
*Once you have a project set up, you can request one or more keys.
*Finally, you can add your key to your application and begin development.