تمت ترجمة هذه الصفحة بواسطة Cloud Translation API‏.

التحقُّق من أزواج المفاتيح المستنِدة إلى الأجهزة باستخدام مصادقة المفتاح

تمنحك شهادة إثبات ملكية المفاتيح ثقة أكبر بأنّ المفاتيح التي تستخدمها في تطبيقك يتم تخزينها في متجر مفاتيح يستند إلى الأجهزة في الجهاز. توضّح الأقسام التالية كيفية التحقّق من خصائص المفاتيح المستندة إلى الأجهزة وكيفيةinterpret بيانات إضافة شهادات الشهادة.

ملاحظة: قبل التحقّق من خصائص مفاتيح الجهاز المتوافقة مع الأجهزة في بيئة على مستوى الإنتاج، تأكَّد من أنّ الجهاز متوافق مع عملية إثبات ملكية المفتاح على مستوى الأجهزة. لإجراء ذلك، تأكَّد من أنّ سلسلة شهادة الشهادة تحتوي على شهادة جذر تم توقيعها باستخدام مفتاح الجذر لشهادة الاعتماد من Google ومن أنّه تم ضبط عنصر attestationSecurityLevel ضمن بنية بيانات وصف المفتاح على مستوى الأمان TrustedEnvironment أو على مستوى الأمان StrongBox.

بالإضافة إلى ذلك، من المهم التحقّق من التوقيعات في سلسلة الشهادات والتأكّد من عدم إبطال أي من المفاتيح في السلسلة من خلال التحقّق من قائمة حالات إبطال الشهادة. لا تثق بشكل كامل في شهادة الاعتماد ما لم تكن جميعها صالحة وكان المفتاح الجذر هو مفتاح Google الجذر. تجدر الإشارة إلى أنّ الأجهزة التي تحتوي على شهادات مُلغاة تظل على الأقل جديرة بالثقة مثل الأجهزة التي توفّر شهادة اعتماد البرامج فقط. إنّ الحصول على إقرار صالح بالكامل هو مؤشر إيجابي قوي. ويشير عدم توفّر علامة إلى أنّ الأداء محايد، وليس سلبيًا.

استرداد زوج مفاتيح مستند إلى الجهاز والتحقّق منه

أثناء إثبات ملكية المفتاح، يمكنك تحديد الاسم المعرِّف لزوج مفاتيح التشفير واسترداد سلسلة شهادته، والتي يمكنك استخدامها للتحقّق من خصائص هذا الزوج.

إذا كان الجهاز متوافقًا مع إثبات ملكية المفتاح على مستوى الأجهزة، يتم توقيع شهادة الجذر ضمن هذه السلسلة باستخدام مفتاح جذر إثبات الملكية الذي تم تزويده بأمان في متجر المفاتيح المستند إلى الأجهزة في الجهاز.

ملاحظة: على الأجهزة التي يتم شحنها مع شهادة اعتماد مفتاح على مستوى الجهاز ونظام التشغيل Android 7.0 (المستوى 24 من واجهة برمجة التطبيقات) أو الإصدارات الأحدث و"خدمات Google Play"، يتم توقيع الشهادة الجذر باستخدام مفتاح الجذر لشهادة اعتماد Google. تأكَّد من أنّ شهادة الجذر هذه من بين الشهادات المدرَجة في قسم شهادات الجذر.

لتنفيذ عملية إثبات ملكية المفتاح، أكمِل الخطوات التالية:

استخدِم طريقة getCertificateChain() لعنصر KeyStore للحصول على إشارة إلى سلسلة شهادات X.509 المرتبطة بملف تخزين المفاتيح المستنِد إلى الأجهزة.
أرسِل الشهادات إلى خادم منفصل تثق به للتحقّق من صحتها.

تحذير: لا تُكمِل عملية التحقّق التالية على الجهاز نفسه الذي يتضمّن "متجر المفاتيح". إذا تم اختراق نظام Android على ذلك الجهاز، قد يؤدي ذلك إلى أن تثق عملية التحقّق في شيء غير موثوق به.
احصل على مرجع إلى مكتبة تحليل سلسلة شهادة X.509 والتحقّق منها التي تكون الأكثر ملاءمةً لمجموعة أدواتك. تأكَّد من أنّ الشهادة العامة الجذر جديرة بالثقة وأنّ كل شهادة توقع الشهادة التالية في السلسلة.
تحقّق من حالة إبطال كل شهادة للتأكّد من أنّه لم يتم إبطال أيّ من الشهادات.
يمكنك اختياريًا فحص إضافة شهادة معلومات التوفّر التي لا تظهر إلا في سلاسل الشهادات الأحدث.

احصل على مرجع إلى مكتبة مفسِّر CBOR الأكثر ملاءمةً لمجموعة أدواتك. ابحث عن أقرب شهادة إلى الجذر تحتوي على إضافة شهادة معلومات الإعداد. استخدِم المُحلِّل لاستخراج بيانات إضافة شهادة معلومات الإعداد من هذه الشهادة.

اطّلِع على القسم المعنيّ بملف إضافة معلومات التوفير للحصول على مزيد من التفاصيل.
احصل على مرجع إلى مكتبة مفسِّر ASN.1 الأكثر ملاءمةً لمجموعة أدواتك. ابحث عن أقرب شهادة إلى الجذر تحتوي على إضافة شهادة إثبات ملكية المفتاح. إذا كانت إضافة شهادة معلومات التوفير متوفّرة، يجب أن تكون إضافة شهادة إثبات ملكية المفتاح في الشهادة التالية مباشرةً. استخدِم معالج تحليل لإخراج بيانات إضافة شهادة إثبات الملكية للمفتاح من هذه الشهادة.

تحذير: لا تفترض أنّ إضافة شهادة ملف تعريف المفتاح هي في الشهادة الطرفية للسلسلة. يمكن الوثوق فقط بأول مرّة تظهر فيها الإضافة في السلسلة. ولم يتم إصدار أي مثيلات أخرى من الإضافة من خلال الجهاز الآمن، وقد يكون قد أصدرها مهاجم يمدّد السلسلة أثناء محاولته إنشاء عمليات مصادقة مزيفة للمفاتيح غير الموثوق بها.

يستخدم نموذج ملف تعريف هوية مفتاح التشفير منصة تحليل ASN.1 من Bouncy Castle لاستخراج data إضافة شهادة الشهادة. يمكنك استخدام هذا العيّنة كمرجع لإنشاء معالج لسلاسل النصوص بنفسك.

اطّلِع على القسم حول مخطّط بيانات إضافة إثبات ملكية المفتاح للحصول على مزيد من التفاصيل.
تحقَّق من بيانات الإضافة التي استرجاعتها في الخطوات السابقة للتأكّد من تناسقها وقارِنها بمجموعة القيم التي تتوقّع أن يحتوي عليها المفتاح المستند إلى الجهاز.

شهادات الجذر

تعتمد موثوقية شهادة الاعتماد على شهادة الجذر في السلسلة. أجهزة Android التي اجتازت الاختبار المطلوب لتثبيت حزمة تطبيقات Google، بما في ذلك Google Play، والتي تم تشغيلها باستخدام الإصدار 7.0 من Android (المستوى 24 لواجهة برمجة التطبيقات) أو إصدار أحدث، يجب أن تستخدم مفاتيح التصديق الموقَّعة بشهادة جذر تصديق أجهزة Google. يُرجى العِلم أنّه لم يكن مطلوبًا إرسال شهادات الاعتماد حتى الإصدار 8.0 من نظام التشغيل Android (المستوى 26 من واجهة برمجة التطبيقات). المفتاح العام للجذر هو كما يلي:

شهادات الجذر التي تم إصدارها سابقًا

إذا كانت الشهادة الجذر في سلسلة الإثبات التي تتلقّاها تحتوي على هذا المفتاح العام ولم يتم إبطال أي من الشهادات في السلسلة، يعني ذلك ما يلي:

أنّ مفتاحك محفوظ في جهاز تعتقد Google أنّه آمن
أن تتضمّن السمات الموضّحة في شهادة الشهادة

إذا كانت سلسلة الإثبات تتضمّن أي مفتاح عام آخر للجذر، لا تقدّم Google أي ادعاءات بشأن أمان الجهاز. لا يعني ذلك أنّ مفتاحك قد تم اختراقه، بل يعني فقط أنّ شهادة التحقّق لا تثبت أنّ المفتاح محفوظ على جهاز آمن. ويجب تعديل الافتراضات المتعلّقة بالحماية وفقًا لذلك.

إذا لم تحتوي الشهادة الجذر على المفتاح العام في هذه الصفحة، هناك سببان محتمَلان لذلك:

من المرجّح أنّ الجهاز تم تشغيله بإصدار Android أقل من 7.0 ولا يتيح إثبات ملكية الجهاز. في هذه الحالة، يتضمّن Android عملية تنفيذ لشهادة المصادقة من خلال البرامج تُنشئ النوع نفسه من شهادة المصادقة، ولكن يتم توقيعها باستخدام مفتاح مُبرمَج بشكل ثابت في رمز المصدر لنظام Android. وبما أنّ مفتاح التوقيع هذا ليس سريًا، قد يكون مُنشئ شهادة المصادقة هو مهاجم يدّعي تقديم أجهزة آمنة.
السبب الآخر المحتمَل هو أنّ الجهاز ليس جهاز Google Play. وفي هذه الحالة، يكون صانع الجهاز متحرّرًا من إنشاء الجذر الخاص به وتقديم أي ادعاءات يريدها بشأن معنى شهادة الاعتماد. راجِع مستندات الشركة المصنّعة للجهاز. يُرجى العِلم أنّ Google لا تعرف أيّ صانعي أجهزة اتّخذوا هذا الإجراء.

قائمة حالات إبطال الشهادات

يمكن إبطال مفاتيح الإثبات لعدد من الأسباب، بما في ذلك إساءة استخدامها أو استخراجها من قِبل مهاجم يُشتبه به. لذلك، من المهم التحقّق من حالة كل شهادة في سلسلة الشهادات من خلال قائمة حالة إبطال الشهادات الرسمية (CRL). تحتفظ Google بهذه القائمة وتنشرها على الرابط: https://android.googleapis.com/attestation/status. يحدِّد رأس Cache-Control في استجابة HTTP عدد المرات التي يتم فيها البحث عن التحديثات حتى لا يكون طلب الشبكة مطلوبًا لكل شهادة يتم التحقّق منها. يعرض عنوان URL هذا ملف JSON يحتوي على حالة إبطال أيّ شهادات ليس لديها حالة صالحة عادية. يلتزم تنسيق ملف JSON بتعريف مخطّط JSON التالي (مسودة 07):

{
  "$schema": "http://json-schema.org/draft-07/schema#",
  "type": "object",
  "properties": {
    "entries": {
      "description" : "Each entry represents the status of an attestation key. The dictionary-key is the certificate serial number in lowercase hex.",
      "type": "object",
      "propertyNames": {
        "pattern": "^[a-f1-9][a-f0-9]*$"
      },
      "additionalProperties": {
        "type": "object",
        "properties": {
          "status": {
            "description": "[REQUIRED] Current status of the key.",
            "type": "string",
            "enum": ["REVOKED", "SUSPENDED"]
          },
          "expires": {
            "description": "[OPTIONAL] UTC date when certificate expires in ISO8601 format (YYYY-MM-DD). Can be used to clear expired certificates from the status list.",
            "type": "string",
            "format": "date"
          },
          "reason": {
            "description": "[OPTIONAL] Reason for the current status.",
            "type": "string",
            "enum": ["UNSPECIFIED", "KEY_COMPROMISE", "CA_COMPROMISE", "SUPERSEDED", "SOFTWARE_FLAW"]
          },
          "comment": {
            "description": "[OPTIONAL] Free form comment about the key status.",
            "type": "string",
            "maxLength": 140
          }
        },
        "required": ["status"],
        "additionalProperties": false
      }
    }
  },
  "required": ["entries"],
  "additionalProperties": false
}

مثال على قائمة شهادات الاعتماد المسجَّلة:

{
  "entries": {
    "2c8cdddfd5e03bfc": {
      "status": "REVOKED",
      "expires": "2020-11-13",
      "reason": "KEY_COMPROMISE",
      "comment": "Key stored on unsecure system"
    },
    "c8966fcb2fbb0d7a": {
      "status": "SUSPENDED",
      "reason": "SOFTWARE_FLAW",
      "comment": "Bug in keystore causes this key malfunction b/555555"
    }
  }
}