Bu sayfa, Cloud Translation API ile çevrilmiştir.

Anahtar onayı ile donanım destekli anahtar çiftlerini doğrulama

Anahtar doğrulaması, uygulamanızda kullandığınız anahtarların bir cihazın donanım destekli anahtar deposunda depolandığından daha emin olmanızı sağlar. Aşağıdaki bölümlerde, donanım destekli anahtarların özelliklerinin nasıl doğrulanacağı ve doğrulama sertifikalarının uzantı verilerinin nasıl yorumlanacağı açıklanmaktadır.

Not: Bir cihazın donanım destekli anahtarlarının özelliklerini üretim düzeyinde bir ortamda doğrulamadan önce, cihazın donanım düzeyinde anahtar doğrulamayı desteklediğinden emin olun. Bunu yapmak için doğrulama sertifikası zincirinin, Google doğrulama kök anahtarıyla imzalanan bir kök sertifika içerdiğinden ve anahtar açıklaması veri yapısındaki attestationSecurityLevel öğesinin TrustedEnvironment güvenlik seviyesine veya StrongBox güvenlik seviyesine ayarlandığından emin olun.

Ayrıca, sertifika iptal durumu listesini kontrol ederek sertifika zincirindeki imzaları doğrulamak ve zincirdeki anahtarların hiçbirinin iptal edilmediğini onaylamak önemlidir. Hepsi geçerli olmadığı ve kök, Google kök anahtarı olmadığı sürece sertifikaya tam olarak güvenmeyin. Ancak iptal edilmiş sertifikalar içeren cihazların, yalnızca yazılım doğrulamasını destekleyen cihazlar kadar güvenilir olduğunu unutmayın. Tamamen geçerli bir onay belgesine sahip olmak, olumlu bir göstergedir. Bu tür bir sayfanın olmaması negatif değil, nötr bir göstergedir.

Donanım destekli anahtar çiftini alma ve doğrulama

Anahtar onayı sırasında bir anahtar çiftinin takma adını belirtir ve sertifika zincirini alırsınız. Bu zinciri, anahtar çiftinin özelliklerini doğrulamak için kullanabilirsiniz.

Cihaz donanım düzeyinde anahtar onayı destekliyorsa bu zincirdeki kök sertifika, cihazın donanım destekli anahtar deposunda güvenli bir şekilde temel hazırlığı yapılan bir doğrulama kök anahtarı kullanılarak imzalanır.

Not: Donanım düzeyinde anahtar doğrulaması, Android 7.0 (API düzeyi 24) veya sonraki sürümler ve Google Play Hizmetleri yüklü cihazlarda kök sertifika, Google doğrulama kök anahtarıyla imzalanır. Bu kök sertifikanın, kök sertifikalar bölümünde listelenenler arasında olduğundan emin olun.

Anahtar tasdiki uygulamak için aşağıdaki adımları tamamlayın:

Donanım destekli anahtar deposuyla ilişkili X.509 sertifika zincirinin referansını almak için bir KeyStore nesnesinin getCertificateChain() yöntemini kullanın.
Sertifikaları doğrulama için güvendiğiniz ayrı bir sunucuya gönderin.

Dikkat: Aşağıdaki doğrulama sürecini KeyStore ile aynı cihazda tamamlamayın. Söz konusu cihazdaki Android sisteminin güvenliği ihlal edilmişse doğrulama sürecinin güvenilir olmayan bir şeye güvenmesine neden olabilir.
Araç setiniz için en uygun X.509 sertifika zinciri ayrıştırma ve doğrulama kitaplığının referansını edinin. Kök genel sertifikanın güvenilir olduğundan ve her sertifikanın zincirdeki sonraki sertifikayı imzaladığından emin olun.
Sertifikaların hiçbirinin iptal edilmediğinden emin olmak için her sertifikanın iptal durumunu kontrol edin.
İsteğe bağlı olarak, yalnızca daha yeni sertifika zincirlerinde bulunan temel hazırlama bilgileri sertifika uzantısını inceleyin.

Araç setinize en uygun CBOR ayrıştırıcı kitaplığının referansını edinin. Köke en yakın, temel hazırlama bilgileri sertifika uzantısını içeren sertifikayı bulun. Bu sertifikadaki temel hazırlama bilgileri sertifika uzantısı verilerini ayıklamak için ayrıştırıcıyı kullanın.

Daha fazla bilgi için temel hazırlama bilgileri uzantısı ile ilgili bölüme bakın.
Araç setiniz için en uygun ASN.1 ayrıştırıcı kitaplığının referansını edinin. Köke en yakın, anahtar doğrulama sertifikası uzantısını içeren sertifikayı bulun. Temel hazırlama bilgileri sertifikası uzantısı varsa anahtar doğrulama sertifikası uzantısı, hemen sonraki sertifikada olmalıdır. Anahtar doğrulama sertifikası uzantısı verilerini bu sertifikadan ayıklamak için ayrıştırıcıyı kullanın.

Dikkat: Anahtar doğrulama sertifikası uzantısının zincirin son sertifikasında olduğunu varsaymayın. Yalnızca zincirdeki uzantının ilk oluşumuna güvenilebilir. Uzatmayla ilgili diğer tüm örnekler güvenli donanım tarafından yayınlanmamıştır ve güvenilmeyen anahtarlar için sahte onay oluşturmaya çalışırken zinciri uzatan bir saldırgan tarafından yayınlanmış olabilir.

Anahtar Onaylama örneği, onaylama sertifikasının uzantı verilerini ayıklamak için Bouncy Castle'daki ASN.1 ayrıştırıcısını kullanır. Kendi ayrıştırıcınızı oluşturmak için bu örneği referans olarak kullanabilirsiniz.

Daha fazla bilgi için anahtar doğrulama uzantısı veri şeması ile ilgili bölüme bakın.
Önceki adımlarda aldığınız uzantı verilerini tutarlılık açısından kontrol edin ve donanım destekli anahtarın içermesini beklediğiniz değer kümesiyle karşılaştırın.

Kök sertifikalar

Onay belgesinin güvenilirliği, zincirin kök sertifikasına bağlıdır. Google Play dahil olmak üzere Google uygulama paketine sahip olmak için gereken testi geçmiş ve Android 7.0 (API düzeyi 24) veya sonraki sürümlerle kullanıma sunulmuş Android cihazlar, Google Donanım Onaylama Kök Sertifikası tarafından imzalanmış doğrulama anahtarları kullanmalıdır. Android 8.0'a (API düzeyi 26) kadar doğrulamanın gerekli olmadığını unutmayın. Kök ortak anahtar şu şekildedir:

Daha Önce Yayınlanan Kök Sertifikalar

Aldığınız doğrulama zincirindeki kök sertifika bu ortak anahtarı içeriyorsa ve zincirdeki sertifikaların hiçbiri iptal edilmemişse şunları bilebilirsiniz:

Anahtarınız, Google'ın güvenli olduğunu düşündüğü donanımdadır ve
Onay sertifikasında açıklanan özelliklere sahiptir.

Sertifika zincirinde başka bir kök ortak anahtar varsa Google, donanımın güvenliği hakkında herhangi bir iddiada bulunmaz. Bu durum, anahtarınızın güvenliğinin ihlal edildiği anlamına gelmez. Yalnızca onayın, anahtarın güvenli donanımda olduğunu kanıtlamadığı anlamına gelir. Güvenlik varsayımlarınızı buna göre ayarlayın.

Kök sertifika bu sayfada ortak anahtarı içermiyorsa bunun iki olası nedeni vardır:

Cihaz büyük olasılıkla 7.0'dan eski bir Android sürümüyle kullanıma sunulmuş ve donanım doğrulamasını desteklemiyordur. Bu durumda Android, aynı türde onay sertifikası oluşturan ancak Android kaynak koduna kodlanmış bir anahtarla imzalanan bir onay yazılımı uygulamasına sahiptir. Bu imzalama anahtarı gizli olmadığından onay, güvenli donanım sağladığını iddia eden bir saldırgan tarafından oluşturulmuş olabilir.
Diğer olası neden, cihazın Google Play cihazı olmamasıdır. Bu durumda, cihaz üreticisi kendi kökünü oluşturabilir ve doğrulamanın ne anlama geldiği hakkında istediği iddiaları yapabilir. Cihaz üreticisinin dokümanlarına bakın. Google'ın, bu tür bir işlem yapan herhangi bir cihaz üreticisi

Sertifika iptal durumu listesi

Attestation anahtarları, kötüye kullanım veya saldırgan tarafından anahtarın alınabileceğinden şüphelenilmesi gibi çeşitli nedenlerle iptal edilebilir. Bu nedenle, bir doğrulama zincirindeki her bir sertifikanın durumunun resmi sertifika iptal durumu listesinde (CRL) kontrol edilmesi önemlidir. Bu liste Google tarafından yönetilir ve şu adreste yayınlanır: https://android.googleapis.com/attestation/status. HTTP yanıtındaki Cache-Control başlığı, güncellemelerin ne sıklıkta kontrol edileceğini belirler. Böylece, doğrulanan her sertifika için ağ isteği gerekmez. Bu URL, normal geçerli duruma sahip olmayan tüm sertifikaların iptal durumunu içeren bir JSON dosyası döndürür. JSON dosyasının biçimi aşağıdaki JSON şeması (taslak 07) tanımına uygun olmalıdır:

{
  "$schema": "http://json-schema.org/draft-07/schema#",
  "type": "object",
  "properties": {
    "entries": {
      "description" : "Each entry represents the status of an attestation key. The dictionary-key is the certificate serial number in lowercase hex.",
      "type": "object",
      "propertyNames": {
        "pattern": "^[a-f1-9][a-f0-9]*$"
      },
      "additionalProperties": {
        "type": "object",
        "properties": {
          "status": {
            "description": "[REQUIRED] Current status of the key.",
            "type": "string",
            "enum": ["REVOKED", "SUSPENDED"]
          },
          "expires": {
            "description": "[OPTIONAL] UTC date when certificate expires in ISO8601 format (YYYY-MM-DD). Can be used to clear expired certificates from the status list.",
            "type": "string",
            "format": "date"
          },
          "reason": {
            "description": "[OPTIONAL] Reason for the current status.",
            "type": "string",
            "enum": ["UNSPECIFIED", "KEY_COMPROMISE", "CA_COMPROMISE", "SUPERSEDED", "SOFTWARE_FLAW"]
          },
          "comment": {
            "description": "[OPTIONAL] Free form comment about the key status.",
            "type": "string",
            "maxLength": 140
          }
        },
        "required": ["status"],
        "additionalProperties": false
      }
    }
  },
  "required": ["entries"],
  "additionalProperties": false
}

Örnek CRL:

{
  "entries": {
    "2c8cdddfd5e03bfc": {
      "status": "REVOKED",
      "expires": "2020-11-13",
      "reason": "KEY_COMPROMISE",
      "comment": "Key stored on unsecure system"
    },
    "c8966fcb2fbb0d7a": {
      "status": "SUSPENDED",
      "reason": "SOFTWARE_FLAW",
      "comment": "Bug in keystore causes this key malfunction b/555555"
    }
  }
}