Es muy facil:
Imaginatelo todo como una caja:
El envoltorio se llama PBP, y dentro del PBP hay muchas cosas:
El DATA.PSP o PSAR es el contenido, en este caso un programa y todo lo que contenga. Este "contenido" esta firmado por Sony y eso que significa?
De una manera muy simple:
Supongamos que los datos del paquete son: 101 y el sistema sabe que al pasarlo por su checador de fimas debe de dar 200 (para saber que esta firmado correctamente). Para eso vamos a suponer que el hecho de estar firmado quiere decir que al sumarle 99 va a dar 200.
¿Que pasaria si modificas el contenido para ser 102, ahora al sumarle 99 deja de dar 200 y al checar la firma no le va a gustar, por lo que no te lo va a aceptar.
Ahora, eso es una manera bastante fea de explicarlo, pero se entiende. La cosa es que ese numero que sumamos (obviamente en la vida real no es asi, pero para dar un ejemplo) no es de 2 digitos, si no de 2 millones, ademas, no sabes cual es el numero que tiene que dar al final. Por eso la firma no se puede "extraer", y tampoco puedes modifcar el contenido porque se pierde la firma.
Respecto a lo que se puede modificar, son las imagenes de fondo del menu. Volviendo a la analogia del paquete, aparte de la caja y el contenido, tambien tienes la informacion de destino (en este caso el PARAM.SFO) y el envoltorio que lo hace ver bonito (las imagenes del menu, sonidos, etc).
Para contestar una pregunta que no se ha hecho (pero que se va a hacer) no es posible extraer la firma del DATA.PSP, la razon es la manera en que funcionan las firmas y las encriptaciones.
[Lo que sigue a continuacion es una explicacion light de como funciona la encriptacion]
El sistema de encriptacion que usa el PSP se llama asimétrico, esto es porque requiere 2 llaves. Tradicionalmente se conocen los sistemas de 1 llave (simétricos) donde la misma clave encripta y desencripta. Las de 2 llaves funcionan diferente con una clave pública y una privada. La pública nos permite checar si el paquete viene de una persona de confianza, pero es la privada la que abre el paquete.
Por lo tanto, lo unico que tenemos es la clave pública (que verifica) pero de ahi no se puede hacer nada ( amenos que tengamos una cantidad de procesamiento inimaginable)
basicamente esa es la historia, espero no haberme alargado mucho.