Bu sayfa, Cloud Translation API ile çevrilmiştir.

Anahtar onayı ile donanım destekli anahtar çiftlerini doğrulama

Anahtar onayı, uygulamanızda kullandığınız anahtarların cihazın donanım destekli anahtar deposunda saklandığına dair daha fazla güven sağlar. Aşağıdaki bölümlerde, donanım destekli anahtarların özelliklerinin nasıl doğrulanacağı ve onay sertifikalarının uzantı verilerinin nasıl yorumlanacağı açıklanmaktadır.

Not: Bir cihazın donanım destekli anahtarlarının özelliklerini üretim düzeyinde bir ortamda doğrulamadan önce cihazın donanım düzeyinde anahtar onayı desteklediğinden emin olun. Bunu yapmak için, onay sertifikası zincirinin Google onay kök anahtarıyla imzalanmış bir kök sertifika içerdiğini ve key description veri yapısındaki attestationSecurityLevel öğesinin TrustedEnvironment güvenlik seviyesine veya StrongBox güvenlik seviyesine ayarlandığını kontrol edin.

Ayrıca, sertifika zincirindeki imzaların doğrulanması ve zincirdeki anahtarlardan hiçbirinin iptal edilmediğinin sertifika iptal durumu listesi kontrol edilerek onaylanması önemlidir. Tümü geçerli olmadığı ve kök, Google kök anahtarı olmadığı sürece onaylamaya tam olarak güvenmeyin.

Donanım destekli anahtar çiftini alma ve doğrulama

Anahtar onayı sırasında bir anahtar çiftinin diğer adını belirtir ve bu anahtar çiftinin özelliklerini doğrulamak için kullanabileceğiniz sertifika zincirini alırsınız.

Cihaz, donanım düzeyinde anahtar onayını destekliyorsa bu zincirdeki kök sertifika, cihazın donanım destekli anahtar deposuna güvenli bir şekilde sağlanan bir onay kök anahtarı kullanılarak imzalanır.

Not: Donanım düzeyinde anahtar tasdiki, Android 7.0 (API düzeyi 24) veya sonraki sürümler ve Google Play Hizmetleri ile birlikte gelen cihazlarda kök sertifikası, Google tasdik kök anahtarıyla imzalanır. Bu kök sertifikanın, kök sertifikalar bölümünde listelenenler arasında olduğunu doğrulayın.

Anahtar tasdikini uygulamak için aşağıdaki adımları tamamlayın:

Donanım destekli anahtar deposuyla ilişkili X.509 sertifika zincirine referans almak için KeyStore nesnesinin getCertificateChain() yöntemini kullanın.
Sertifikaları doğrulama için güvendiğiniz ayrı bir sunucuya gönderin.

Dikkat: Aşağıdaki doğrulama işlemini aynı cihazda tamamlamayın. Bu cihazdaki Android sisteminin güvenliği ihlal edilmişse doğrulama sürecinde güvenilmez bir şeye güvenilebilir.
X.509 sertifika zinciri ayrıştırma ve doğrulama için araç setinize en uygun olan kitaplığa referans alın. Kök genel sertifikanın güvenilir olduğunu ve her sertifikanın zincirdeki bir sonraki sertifikayı imzaladığını doğrulayın.
Sertifikalardan hiçbirinin iptal edilmediğinden emin olmak için her sertifikanın iptal durumunu kontrol edin.
İsteğe bağlı olarak, yalnızca daha yeni sertifika zincirlerinde bulunan sağlama bilgileri sertifika uzantısını inceleyin.

Araç setiniz için en uygun CBOR ayrıştırıcı kitaplığına referans alın. Kök sertifikaya en yakın olan ve sağlama bilgileri sertifika uzantısını içeren sertifikayı bulun. Bu sertifikadan temel hazırlık bilgilerini sertifika uzantısı verilerini ayıklamak için ayrıştırıcıyı kullanın.

Daha fazla bilgi için sağlama bilgileri uzantısı bölümüne bakın.
Araç setiniz için en uygun olan ASN.1 ayrıştırıcı kitaplığına referans alın. Anahtar tasdik sertifikası uzantısını içeren köke en yakın sertifikayı bulun. Temel hazırlık bilgileri sertifika uzantısı varsa anahtar tasdik sertifikası uzantısı hemen sonraki sertifikada olmalıdır. Anahtar onay sertifikası uzantısı verilerini bu sertifikadan ayıklamak için ayrıştırıcıyı kullanın.

Dikkat: Anahtar tasdik sertifikası uzantısının, zincirin yaprak sertifikasında olduğunu varsaymayın. Zincirdeki uzantının yalnızca ilk oluşumuna güvenilebilir. Uzantının diğer tüm örnekleri güvenli donanım tarafından verilmemiştir ve güvenilmeyen anahtarlar için sahte onaylar oluşturmaya çalışırken zinciri genişleten bir saldırgan tarafından verilmiş olabilir.

Key Attestation sample, bir onay sertifikasının uzantı verilerini ayıklamak için Bouncy Castle'daki ASN.1 ayrıştırıcısını kullanır. Bu örneği kendi ayrıştırıcınızı oluştururken referans olarak kullanabilirsiniz.

Daha fazla bilgi için anahtar tasdik uzantısı veri şeması bölümüne bakın.
Önceki adımlarda aldığınız uzantı verilerinin tutarlılığını kontrol edin ve donanım destekli anahtarın içermesini beklediğiniz değerler grubuyla karşılaştırın.

Kök sertifikalar

Onayın güvenilirliği, zincirin kök sertifikasına bağlıdır. Google Play dahil olmak üzere Google uygulama paketinin bulunması için gerekli testleri geçmiş ve Android 7.0 (API düzeyi 24) veya sonraki sürümlerle kullanıma sunulmuş Android cihazlar, Google Donanım Onaylama Kök Sertifikası tarafından imzalanmış onaylama anahtarlarını kullanmalıdır. Android 8.0 (API düzeyi 26) sürümüne kadar onaylama işleminin gerekli olmadığını unutmayın. Geçerli kök sertifikaları kümesi, JSON biçimli bir dizi olarak indirilebilir.

Kök Sertifikalar

Anahtar tasdik sertifikası zinciri doğrulanırken aşağıdaki iki kök sertifika güven bağlantısı olarak kullanılmalıdır.

Aşağıdaki kök sertifika, 1 Şubat 2025'ten itibaren onay sertifikası zincirlerini imzalamaya başlayacak.

Daha Önce Yayınlanmış Kök Sertifikalar

Aldığınız onay zincirindeki kök sertifika bu ortak anahtarı içeriyorsa ve zincirdeki sertifikaların hiçbiri iptal edilmemişse:

Anahtarınız, Google'ın güvenli olduğuna inandığı bir donanımda bulunur ve
Onay sertifikasında açıklanan özelliklere sahiptir.

Onay zincirinde başka bir kök ortak anahtar varsa Google, donanımın güvenliği hakkında herhangi bir iddiada bulunmaz. Bu, anahtarınızın güvenliğinin ihlal edildiği anlamına gelmez. Yalnızca onaylama işleminin, anahtarın güvenli donanımda olduğunu kanıtlamadığı anlamına gelir. Güvenlik varsayımlarınızı buna göre ayarlayın.

Kök sertifika bu sayfada ortak anahtarı içermiyorsa bunun iki olası nedeni vardır:

Cihazın 7.0'dan önceki bir Android sürümüyle kullanıma sunulmuş olması ve donanım doğrulama özelliğini desteklememesi büyük olasılıktır. Bu durumda Android, aynı türde onay sertifikası oluşturan ancak Android kaynak kodunda sabit kodlanmış bir anahtarla imzalanan bir onay yazılımı uygulamasına sahiptir. Bu imzalama anahtarı gizli olmadığından, onay, güvenli donanım sağladığını iddia eden bir saldırgan tarafından oluşturulmuş olabilir.
Diğer olası neden ise cihazın Google Play cihazı olmamasıdır. Bu durumda, cihaz üreticisi kendi kökünü oluşturabilir ve onaylamanın ne anlama geldiğiyle ilgili istediği iddialarda bulunabilir. Cihaz üreticisinin belgelerine bakın. Google'ın bu işlemi yapan herhangi bir cihaz üreticisinden haberdar olmadığını unutmayın.

Donanım Onay Kök Sertifikası Rotasyonu

Google, Android Anahtar Onayı için yeni bir kök sertifika kullanıma sunuyor. Bu değişiklik, hassas uygulamalar için onay sürecinin güvenliğini ve güvenilirliğini artırır. Android Key Attestation (KeyMint) için yeni bir kök anahtar oluşturuldu. Yeni kök, ECDSA P-384 anahtarıdır. Gelecekte ise ML-DSA (Kuantum Sonrası Dijital İmza Algoritması) anahtarı kullanılması planlanmaktadır.

Geliştiriciler İçin İşlem

Uygulamanız Android Key Attestation'ı kullanıyorsa yeni kök sertifikayı güven depolarınıza Ocak 2026'ya kadar ekleyin. https://android.googleapis.com/attestation/root adresinden hem yeni hem de eski sertifikaları indirin.
Uzak Anahtar Sağlama (RKP) kullanan cihazlar Şubat 2026'da bu yeni sertifikaya dayalı sertifikalar almaya başlayacak. RKP'nin etkinleştirildiği cihazlar, 10 Nisan 2026'dan itibaren yalnızca yeni kökü kullanacak.
Yeni ve mevcut kök sertifikaların her ikisine de güvenmek için onay süreçlerinizi güncelleyin. Fabrikada sağlanan anahtarlara sahip eski cihazlar anahtar rotasyonunu desteklemez ve eski kökü kullanmaya devam eder.
Sertifika uzantısı şemasında değişiklik yapılmayacak, yalnızca kök değişecektir.
Yeni kökün hem insan tarafından okunabilir hem de makine tarafından okunabilir biçimleri herkese açık olarak sunulacaktır.

En İyi Uygulamalar

Bu işlem güvenlik riskleri oluşturduğundan, çalışma zamanında güvenilen kökler için bir uç noktaya sorgu göndermeyin. Güven köklerindeki değişiklikleri resmi bir süreçle ele alın.

Fabrika anahtarlarını kullanımdan kaldırma: Uzaktan Anahtar Sağlama (RKP)

Android 16 ile kullanıma sunulan cihazlarda sistem yalnızca RKP'yi destekler. Bu politika, fabrika anahtarlarını kullanımdan kaldırır. Bu özellik, doğrulama anahtarlarını sağlama ve yönetme şeklinizi iyileştirir. RKP desteğinin isteğe bağlı olduğu Android 15 politikasını genişletir. RKP, sistem anahtarları doğrudan cihaza programlamadığından anahtar sızıntısını önler. Bu anahtarları cihazdan silemezsiniz. Bir anahtarı iptal etmeniz gerekiyorsa iptal işlemini tek bir cihazla sınırlayabilirsiniz.

Onay doğrulama kitaplıkları

Anahtar tasdik sertifikası zincirlerini doğrulamak için tasdik doğrulama Kotlin kitaplığını kullanın. Ayrıca bu kitaplık, yeni kök sertifikaları da içerir. Farklı bir doğrulayıcı kullanıyorsanız bunun yerine Kotlin kitaplığına geçmenizi öneririz. İyi test edilmiştir ve genellikle özel doğrulayıcılar tarafından gözden kaçırılan uç durumları kapsar.

Sertifika iptal durumu listesi

Onay anahtarları, yanlış kullanım veya saldırgan tarafından çıkarılma şüphesi gibi çeşitli nedenlerle iptal edilebilir. Bu nedenle, bir onay zincirindeki her sertifikanın durumunun resmi sertifika iptal durumu listesi (CRL) ile kontrol edilmesi çok önemlidir. Bu liste Google tarafından tutulur ve şu adreste yayınlanır: https://android.googleapis.com/attestation/status. HTTP yanıtındaki Cache-Control başlığı, güncellemelerin ne sıklıkla kontrol edileceğini belirler. Bu nedenle, doğrulanan her sertifika için bir ağ isteği gerekmez. Bu URL, normal geçerli durumu olmayan tüm sertifikaların iptal durumunu içeren bir JSON dosyası döndürür. JSON dosyasının biçimi, aşağıdaki JSON şeması (taslak 07) tanımına uygundur:

{
  "$schema": "http://json-schema.org/draft-07/schema#",
  "type": "object",
  "properties": {
    "entries": {
      "description" : "Each entry represents the status of an attestation key. The dictionary-key is the certificate serial number in lowercase hex.",
      "type": "object",
      "propertyNames": {
        "pattern": "^[a-f1-9][a-f0-9]*$"
      },
      "additionalProperties": {
        "type": "object",
        "properties": {
          "status": {
            "description": "[REQUIRED] Current status of the key.",
            "type": "string",
            "enum": ["REVOKED", "SUSPENDED"]
          },
          "expires": {
            "description": "[OPTIONAL] UTC date when certificate expires in ISO8601 format (YYYY-MM-DD). Can be used to clear expired certificates from the status list.",
            "type": "string",
            "format": "date"
          },
          "reason": {
            "description": "[OPTIONAL] Reason for the current status.",
            "type": "string",
            "enum": ["UNSPECIFIED", "KEY_COMPROMISE", "CA_COMPROMISE", "SUPERSEDED", "SOFTWARE_FLAW"]
          },
          "comment": {
            "description": "[OPTIONAL] Free form comment about the key status.",
            "type": "string",
            "maxLength": 140
          }
        },
        "required": ["status"],
        "additionalProperties": false
      }
    }
  },
  "required": ["entries"],
  "additionalProperties": false
}

Örnek CRL:

{
  "entries": {
    "2c8cdddfd5e03bfc": {
      "status": "REVOKED",
      "expires": "2020-11-13",
      "reason": "KEY_COMPROMISE",
      "comment": "Key stored on unsecure system"
    },
    "c8966fcb2fbb0d7a": {
      "status": "SUSPENDED",
      "reason": "SOFTWARE_FLAW",
      "comment": "Bug in keystore causes this key malfunction b/555555"
    }
  }
}

Sertifika iptal politikası

Onay, Android ekosisteminde kötüye kullanımla mücadele ve güvenin temelini oluşturur. Cihazın başlatılmış durumu hakkında cihaz dışındaki taraflara kriptografik olarak doğrulanabilir bir ifade sağlar.

Onay geçerliliğinin kritik doğası nedeniyle, anahtarların güvenliği ihlal edildiğinde Android onay anahtarlarının sertifikaları iptal edilir. Bu bölümde, sertifikaların iptal edilmesiyle ilgili politika özetlenmektedir. Bu politika zaman içinde gelişecek ve ek durumları kapsayacak şekilde genişleyecektir.

Hangi durumlar iptal için uygundur?

Onay anahtarı sızıntıları yalnızca Android'de desteklenen eski sağlama mekanizmasını etkiler ve yeni Uzaktan Anahtar Sağlama (RKP) mekanizması tarafından onaylanan onay anahtarları için geçerli değildir.

Sızdırılmış olan onay anahtarlarının sertifikaları her zaman iptal edilebilir. Sızıntılar çeşitli şekillerde tespit edilebilir. Örneğin:

Sertifika verilerinin gerçek hayattaki analizi.
Onay anahtarlarının sosyal medyada veya diğer herkese açık sitelerde bulunması
Doğrudan güvenlik araştırmacılarından gelen raporlar.

Keşfedildikten sonra, onay sertifikaları seri numaraları iptal listesine eklenerek iptal edilir. Bu işlem genellikle keşfedildikten sonraki birkaç gün içinde gerçekleşir ancak nadir durumlarda daha uzun sürebilir. Örneğin, sızdırılmış onay anahtarları için sertifikaların iptali, iptalden etkilenen cihazlar güvenli bir şekilde yeniden sağlanabiliyorsa genellikle geciktirilir. İptalin etki ölçeği de iptal zaman çizelgelerinde önemli bir faktördür.

Anahtar onayı ile donanım destekli anahtar çiftlerini doğrulama

Donanım destekli anahtar çiftini alma ve doğrulama

Kök sertifikalar

Donanım Onay Kök Sertifikası Rotasyonu

Geliştiriciler İçin İşlem

En İyi Uygulamalar

Fabrika anahtarlarını kullanımdan kaldırma: Uzaktan Anahtar Sağlama (RKP)

Onay doğrulama kitaplıkları

Sertifika iptal durumu listesi

Sertifika iptal politikası

Hangi durumlar iptal için uygundur?

Anahtar onayı uzantısı veri şeması

Sağlama bilgileri uzantısı veri şeması

Anahtar onayı ile donanım destekli anahtar çiftlerini doğrulama Koleksiyonlar ile düzeninizi koruyun İçeriği tercihlerinize göre kaydedin ve kategorilere ayırın.

Donanım destekli anahtar çiftini alma ve doğrulama

Kök sertifikalar

Donanım Onay Kök Sertifikası Rotasyonu

Geliştiriciler İçin İşlem

En İyi Uygulamalar

Fabrika anahtarlarını kullanımdan kaldırma: Uzaktan Anahtar Sağlama (RKP)

Onay doğrulama kitaplıkları

Sertifika iptal durumu listesi

Sertifika iptal politikası

Hangi durumlar iptal için uygundur?

Anahtar onayı uzantısı veri şeması

Sağlama bilgileri uzantısı veri şeması

Anahtar onayı ile donanım destekli anahtar çiftlerini doğrulama