এই পৃষ্ঠাটি Cloud Translation API অনুবাদ করেছে।

কী প্রত্যয়ন সহ হার্ডওয়্যার-সমর্থিত কী জোড়া যাচাই করুন

কী প্রত্যয়ন আপনাকে আরও আত্মবিশ্বাস দেয় যে আপনি আপনার অ্যাপে যে কীগুলি ব্যবহার করেন তা একটি ডিভাইসের হার্ডওয়্যার-ব্যাকড কীস্টোরে সংরক্ষণ করা হয়৷ নিম্নলিখিত বিভাগগুলি বর্ণনা করে যে কীভাবে হার্ডওয়্যার-ব্যাকড কীগুলির বৈশিষ্ট্যগুলি যাচাই করা যায় এবং কীভাবে প্রত্যয়ন শংসাপত্রের এক্সটেনশন ডেটা ব্যাখ্যা করা যায়৷

দ্রষ্টব্য: আপনি একটি উত্পাদন-স্তরের পরিবেশে একটি ডিভাইসের হার্ডওয়্যার-ব্যাকড কীগুলির বৈশিষ্ট্যগুলি যাচাই করার আগে, নিশ্চিত করুন যে ডিভাইসটি হার্ডওয়্যার-স্তরের কী প্রত্যয়ন সমর্থন করে৷ এটি করার জন্য, যাচাইকরণ শংসাপত্রের চেইনে একটি রুট শংসাপত্র রয়েছে যা Google প্রত্যয়ন রুট কী দিয়ে স্বাক্ষরিত এবং মূল বিবরণের ডেটা কাঠামোর মধ্যে attestationSecurityLevel উপাদানটি TrustedEnvironment নিরাপত্তা স্তর বা StrongBox নিরাপত্তা স্তরে সেট করা আছে কিনা তা পরীক্ষা করুন৷

এছাড়াও, শংসাপত্রের চেইনে স্বাক্ষরগুলি যাচাই করা এবং শংসাপত্র প্রত্যাহার স্থিতি তালিকা চেক করে চেইনের কোনো কী প্রত্যাহার করা হয়নি তা নিশ্চিত করা গুরুত্বপূর্ণ৷ সবগুলো বৈধ না হলে এবং রুটটি Google রুট কী না হলে, প্রত্যয়নকে পুরোপুরি বিশ্বাস করবেন না।

একটি হার্ডওয়্যার-ব্যাকড কী জোড়া পুনরুদ্ধার এবং যাচাই করুন

কী প্রত্যয়নের সময়, আপনি একটি কী জোড়ার উপনাম নির্দিষ্ট করেন এবং এর শংসাপত্রের চেইন পুনরুদ্ধার করেন, যা আপনি সেই কী জোড়ার বৈশিষ্ট্য যাচাই করতে ব্যবহার করতে পারেন।

যদি ডিভাইসটি হার্ডওয়্যার-স্তরের কী প্রত্যয়ন সমর্থন করে, তাহলে এই চেইনের মধ্যে মূল শংসাপত্রটি একটি সত্যায়ন রুট কী ব্যবহার করে স্বাক্ষরিত হয় যা ডিভাইসের হার্ডওয়্যার-ব্যাকড কীস্টোরে সুরক্ষিতভাবে সরবরাহ করা হয়।

দ্রষ্টব্য: যে ডিভাইসগুলিতে হার্ডওয়্যার-স্তরের কী প্রত্যয়ন, Android 7.0 (API স্তর 24) বা উচ্চতর, এবং Google Play পরিষেবাগুলি পাঠানো হয়, রুট শংসাপত্রটি Google সত্যায়ন রুট কী দিয়ে স্বাক্ষরিত হয়৷ যাচাই করুন যে এই রুট সার্টিফিকেটটি রুট সার্টিফিকেটের বিভাগে তালিকাভুক্তদের মধ্যে রয়েছে।

মূল প্রত্যয়ন বাস্তবায়ন করতে, নিম্নলিখিত পদক্ষেপগুলি সম্পূর্ণ করুন:

হার্ডওয়্যার-ব্যাকড কীস্টোরের সাথে যুক্ত X.509 শংসাপত্রের চেইনের রেফারেন্স পেতে একটি KeyStore অবজেক্টের getCertificateChain() পদ্ধতি ব্যবহার করুন।
শংসাপত্রগুলিকে একটি পৃথক সার্ভারে পাঠান যা আপনি বৈধতার জন্য বিশ্বাস করেন৷
সতর্কতা: কীস্টোরের মতো একই ডিভাইসে নিম্নলিখিত যাচাইকরণ প্রক্রিয়াটি সম্পূর্ণ করবেন না। যদি সেই ডিভাইসের অ্যান্ড্রয়েড সিস্টেমের সাথে আপোস করা হয়, তাহলে এটি বৈধকরণ প্রক্রিয়াটিকে এমন কিছু বিশ্বাস করতে পারে যা অবিশ্বস্ত।
আপনার টুলসেটের জন্য সবচেয়ে উপযুক্ত X.509 সার্টিফিকেট চেইন পার্সিং এবং বৈধতা লাইব্রেরির একটি রেফারেন্স পান। যাচাই করুন যে রুট পাবলিক সার্টিফিকেট বিশ্বস্ত এবং প্রতিটি শংসাপত্র চেইনের পরবর্তী শংসাপত্রে স্বাক্ষর করে।
কোনো শংসাপত্র প্রত্যাহার করা হয়নি তা নিশ্চিত করতে প্রতিটি শংসাপত্রের প্রত্যাহার স্থিতি পরীক্ষা করুন৷
ঐচ্ছিকভাবে, প্রভিশনিং ইনফরমেশন সার্টিফিকেট এক্সটেনশন পরিদর্শন করুন যা শুধুমাত্র নতুন শংসাপত্র চেইনে উপস্থিত থাকে।
CBOR পার্সার লাইব্রেরির একটি রেফারেন্স পান যা আপনার টুলসেটের জন্য সবচেয়ে উপযুক্ত। প্রোভিশনিং ইনফরমেশন সার্টিফিকেট এক্সটেনশন রয়েছে এমন রুটের নিকটতম সার্টিফিকেট খুঁজুন। সেই সার্টিফিকেট থেকে প্রভিশনিং ইনফরমেশন সার্টিফিকেট এক্সটেনশন ডেটা বের করতে পার্সার ব্যবহার করুন।
আরও বিশদ বিবরণের জন্য প্রভিশনিং তথ্য এক্সটেনশন সম্পর্কে বিভাগটি দেখুন।
ASN.1 পার্সার লাইব্রেরির একটি রেফারেন্স পান যা আপনার টুলসেটের জন্য সবচেয়ে উপযুক্ত। মূল প্রত্যয়ন শংসাপত্রের এক্সটেনশনটি ধারণ করে মূলের নিকটতম শংসাপত্রটি খুঁজুন। প্রভিশনিং ইনফরমেশন সার্টিফিকেট এক্সটেনশন উপস্থিত থাকলে, মূল প্রত্যয়ন শংসাপত্রের এক্সটেনশনটি অবিলম্বে পরবর্তী শংসাপত্রে থাকতে হবে। সেই সার্টিফিকেট থেকে মূল প্রত্যয়ন শংসাপত্র এক্সটেনশন ডেটা বের করতে পার্সার ব্যবহার করুন।
সতর্কতা: অনুমান করবেন না যে মূল প্রত্যয়ন শংসাপত্রের এক্সটেনশনটি চেইনের পাতার শংসাপত্রে রয়েছে৷ শৃঙ্খলে এক্সটেনশনের শুধুমাত্র প্রথম ঘটনাটি বিশ্বাস করা যেতে পারে। এক্সটেনশনের আরও কোনো দৃষ্টান্ত নিরাপদ হার্ডওয়্যার দ্বারা জারি করা হয়নি এবং অবিশ্বস্ত কীগুলির জন্য জাল প্রত্যয়ন তৈরি করার চেষ্টা করার সময় চেইন প্রসারিতকারী আক্রমণকারী দ্বারা জারি করা হতে পারে।
মূল প্রত্যয়ন নমুনা একটি প্রত্যয়ন শংসাপত্রের এক্সটেনশন ডেটা বের করতে বাউন্সি ক্যাসল থেকে ASN.1 পার্সার ব্যবহার করে। আপনি আপনার নিজের পার্সার তৈরি করার জন্য একটি রেফারেন্স হিসাবে এই নমুনা ব্যবহার করতে পারেন।
আরও বিশদ বিবরণের জন্য মূল প্রত্যয়ন এক্সটেনশন ডেটা স্কিমা সম্পর্কে বিভাগটি দেখুন।
সামঞ্জস্যের জন্য আপনি পূর্ববর্তী ধাপে যে এক্সটেনশন ডেটা পুনরুদ্ধার করেছেন তা পরীক্ষা করুন এবং হার্ডওয়্যার-ব্যাকড কী ধারণ করার আশা করা মানগুলির সেটের সাথে তুলনা করুন।

রুট সার্টিফিকেট

প্রত্যয়নের বিশ্বাসযোগ্যতা চেইনের মূল শংসাপত্রের উপর নির্ভর করে। যে অ্যান্ড্রয়েড ডিভাইসগুলি Google Play সহ Google স্যুট অ্যাপগুলির জন্য প্রয়োজনীয় পরীক্ষায় উত্তীর্ণ হয়েছে এবং যেগুলি Android 7.0 (API স্তর 24) বা উচ্চতর সংস্করণের সাথে লঞ্চ হয়েছে তাদের Google Hardware Attestation Root সার্টিফিকেট দ্বারা স্বাক্ষরিত সত্যায়ন কীগুলি ব্যবহার করা উচিত৷ মনে রাখবেন যে Android 8.0 (API লেভেল 26) পর্যন্ত প্রত্যয়নের প্রয়োজন ছিল না। রুট পাবলিক কী নিম্নরূপ:

পূর্বে ইস্যু করা রুট সার্টিফিকেট

যদি আপনি প্রাপ্ত প্রত্যয়ন চেইনের মূল শংসাপত্রটিতে এই সর্বজনীন কী থাকে এবং চেইনের কোনো শংসাপত্র প্রত্যাহার করা হয়নি, আপনি জানেন যে:

আপনার কী হার্ডওয়্যারে রয়েছে যা Google নিরাপদ বলে বিশ্বাস করে; এবং
এটির প্রত্যয়ন সনদে বর্ণিত বৈশিষ্ট্য রয়েছে।

যদি সত্যায়ন চেইনে অন্য কোনো রুট পাবলিক কী থাকে, তাহলে Google হার্ডওয়্যারের নিরাপত্তার বিষয়ে কোনো দাবি করে না। এর মানে এই নয় যে আপনার কী আপোস করা হয়েছে, শুধুমাত্র প্রত্যয়ন প্রমাণ করে না যে কীটি সুরক্ষিত হার্ডওয়্যারে রয়েছে। সেই অনুযায়ী আপনার নিরাপত্তা অনুমান সামঞ্জস্য করুন।

যদি রুট শংসাপত্রে এই পৃষ্ঠায় সর্বজনীন কী না থাকে, তাহলে দুটি সম্ভাব্য কারণ রয়েছে:

সম্ভবত, ডিভাইসটি 7.0 এর কম একটি Android সংস্করণের সাথে চালু হয়েছে এবং এটি হার্ডওয়্যার সত্যায়ন সমর্থন করে না। এই ক্ষেত্রে, অ্যান্ড্রয়েডে সত্যায়নের একটি সফ্টওয়্যার বাস্তবায়ন রয়েছে যা একই ধরণের প্রত্যয়ন শংসাপত্র তৈরি করে, কিন্তু Android সোর্স কোডে হার্ডকোড করা একটি কী দিয়ে স্বাক্ষরিত। যেহেতু এই সাইনিং কীটি গোপনীয় নয়, তাই হয়ত কোনো আক্রমণকারী সুরক্ষিত হার্ডওয়্যার প্রদানের ভান করে প্রত্যয়নটি তৈরি করেছে।
অন্য সম্ভাব্য কারণ হল ডিভাইসটি একটি Google Play ডিভাইস নয়। সেক্ষেত্রে, ডিভাইস প্রস্তুতকারক তাদের নিজস্ব রুট তৈরি করতে এবং প্রত্যয়নের অর্থ কী তা নিয়ে তাদের পছন্দমত দাবি করতে স্বাধীন। ডিভাইস প্রস্তুতকারকের ডকুমেন্টেশন পড়ুন। মনে রাখবেন যে Google এমন কোনও ডিভাইস নির্মাতাদের সম্পর্কে সচেতন নয় যারা এটি করেছে৷

শংসাপত্র প্রত্যাহার অবস্থা তালিকা

অ্যাটেস্টেশন কীগুলি অনেক কারণে প্রত্যাহার করা যেতে পারে, যার মধ্যে কোনও আক্রমণকারীর দ্বারা ভুল ব্যবস্থাপনা বা সন্দেহজনক নিষ্কাশন সহ। অতএব, এটি অত্যন্ত গুরুত্বপূর্ণ যে একটি প্রত্যয়ন শৃঙ্খলে প্রতিটি শংসাপত্রের স্থিতি অফিসিয়াল শংসাপত্র প্রত্যাহার স্থিতি তালিকা (CRL) এর বিপরীতে পরীক্ষা করা। এই তালিকাটি Google দ্বারা রক্ষণাবেক্ষণ করা হয় এবং এখানে প্রকাশিত হয়: https://android.googleapis.com/attestation/status । HTTP প্রতিক্রিয়ার Cache-Control শিরোনামটি নির্ধারণ করে যে কত ঘন ঘন আপডেটগুলি পরীক্ষা করতে হবে তাই প্রতিটি শংসাপত্র যাচাইয়ের জন্য একটি নেটওয়ার্ক অনুরোধের প্রয়োজন হয় না। এই ইউআরএলটি একটি JSON ফাইল ফেরত দেয় যার মধ্যে যেকোনও সার্টিফিকেটের জন্য প্রত্যাহার স্থিতি রয়েছে যার স্বাভাবিক বৈধ স্থিতি নেই। JSON ফাইলের বিন্যাস নিম্নলিখিত JSON স্কিমা ( ড্রাফ্ট 07 ) সংজ্ঞা মেনে চলে:

{
  "$schema": "http://json-schema.org/draft-07/schema#",
  "type": "object",
  "properties": {
    "entries": {
      "description" : "Each entry represents the status of an attestation key. The dictionary-key is the certificate serial number in lowercase hex.",
      "type": "object",
      "propertyNames": {
        "pattern": "^[a-f1-9][a-f0-9]*$"
      },
      "additionalProperties": {
        "type": "object",
        "properties": {
          "status": {
            "description": "[REQUIRED] Current status of the key.",
            "type": "string",
            "enum": ["REVOKED", "SUSPENDED"]
          },
          "expires": {
            "description": "[OPTIONAL] UTC date when certificate expires in ISO8601 format (YYYY-MM-DD). Can be used to clear expired certificates from the status list.",
            "type": "string",
            "format": "date"
          },
          "reason": {
            "description": "[OPTIONAL] Reason for the current status.",
            "type": "string",
            "enum": ["UNSPECIFIED", "KEY_COMPROMISE", "CA_COMPROMISE", "SUPERSEDED", "SOFTWARE_FLAW"]
          },
          "comment": {
            "description": "[OPTIONAL] Free form comment about the key status.",
            "type": "string",
            "maxLength": 140
          }
        },
        "required": ["status"],
        "additionalProperties": false
      }
    }
  },
  "required": ["entries"],
  "additionalProperties": false
}

উদাহরণ CRL:

{
  "entries": {
    "2c8cdddfd5e03bfc": {
      "status": "REVOKED",
      "expires": "2020-11-13",
      "reason": "KEY_COMPROMISE",
      "comment": "Key stored on unsecure system"
    },
    "c8966fcb2fbb0d7a": {
      "status": "SUSPENDED",
      "reason": "SOFTWARE_FLAW",
      "comment": "Bug in keystore causes this key malfunction b/555555"
    }
  }
}

শংসাপত্র প্রত্যাহার নীতি

অ্যাটেস্টেশন অ্যানড্রয়েড ইকোসিস্টেমের প্রতি আস্থা ও আস্থার মেরুদণ্ড গঠন করে। এটি ডিভাইসের বুট করা অবস্থা সম্পর্কে অফ-ডিভাইস পক্ষগুলিকে একটি ক্রিপ্টোগ্রাফিকভাবে যাচাইযোগ্য বিবৃতি প্রদান করে।

সত্যায়নের বৈধতার জটিল প্রকৃতির কারণে কীগুলির সাথে আপোস করা হলে Android প্রত্যয়ন কীগুলির জন্য শংসাপত্রগুলি প্রত্যাহার করা হবে৷ এই বিভাগে শংসাপত্র প্রত্যাহার করার জন্য একটি নীতির রূপরেখা দেয়৷ এই নীতিটি সময়ের সাথে সাথে বিকশিত হতে পারে এবং অতিরিক্ত কেস গণনা করতে পারে।

কি প্রত্যাহার জন্য যোগ্য?

অ্যাটেস্টেশন কী ফাঁস শুধুমাত্র Android-এ সমর্থিত পুরানো প্রভিশনিং মেকানিজমকে প্রভাবিত করে এবং নতুন রিমোট কী প্রোভিশনিং মেকানিজম দ্বারা প্রত্যয়িত অ্যাটেস্টেশন কীগুলিতে প্রযোজ্য হয় না।

যে সত্যায়ন কীগুলি ফাঁস হয়েছে সেগুলি সর্বদা তাদের শংসাপত্রগুলি প্রত্যাহার করার যোগ্য৷ লিকগুলি বিভিন্ন উপায়ে আবিষ্কারযোগ্য, যার মধ্যে রয়েছে:

বন্য মধ্যে প্রমাণীকরণ তথ্য বিশ্লেষণ.
সোশ্যাল মিডিয়া বা অন্যান্য পাবলিক সাইটগুলিতে প্রত্যয়ন কীগুলির আবিষ্কার৷
নিরাপত্তা গবেষকদের কাছ থেকে সরাসরি রিপোর্ট.

আবিষ্কারের পর, প্রত্যয়ন শংসাপত্র প্রত্যাহার তালিকায় তাদের ক্রমিক নম্বর যুক্ত করে প্রত্যাহার করা হবে৷ সাধারণত এটি আবিষ্কারের কয়েক দিনের মধ্যে ঘটবে, তবে বিরল ক্ষেত্রে আরও বেশি সময় লাগতে পারে। উদাহরণস্বরূপ, ফাঁস হওয়া প্রত্যয়ন কীগুলির জন্য শংসাপত্রের প্রত্যাহার সাধারণত বিলম্বিত হয় যদি প্রত্যাহার দ্বারা প্রভাবিত ডিভাইসগুলিকে নিরাপদে পুনরায় ব্যবস্থা করা যায়। প্রত্যাহারের প্রভাবের স্কেলও প্রত্যাহার টাইমলাইনে একটি গুরুত্বপূর্ণ কারণ।