Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

Memverifikasi pasangan kunci yang didukung hardware dengan pengesahan kunci

Pengesahan Kunci memberi Anda keyakinan lebih bahwa kunci yang Anda gunakan dalam aplikasi disimpan dalam keystore yang didukung hardware perangkat. Bagian berikut menjelaskan cara memverifikasi properti kunci yang didukung hardware dan cara menafsirkan data ekstensi sertifikat pengesahan.

Sebelum memulai: pastikan perangkat Anda mendukung pengesahan kunci level hardware

Sebelum Anda memverifikasi properti kunci yang didukung hardware di perangkat dalam lingkungan level produksi, pastikan perangkat tersebut mendukung pengesahan kunci level hardware. Untuk melakukannya, pastikan rantai sertifikat pengesahan berisi root certificate yang ditandatangani oleh kunci utama pengesahan Google dan elemen attestationSecurityLevel dalam deskripsi kunci struktur data disetel ke tingkat keamanan TrustedEnvironment atau ke tingkat keamanan StrongBox.

Selain itu, penting untuk memverifikasi tanda tangan dalam rantai sertifikat dan mengonfirmasi tidak ada kunci dalam rantai yang dicabut dengan memeriksa daftar status pencabutan sertifikat. Jangan sepenuhnya memercayai pengesahan tersebut, kecuali jika semuanya valid dan root adalah kunci utama Google.

Mengambil dan memverifikasi pasangan kunci yang didukung hardware

Selama pengesahan kunci, Anda menentukan alias pasangan kunci dan mengambil rantai sertifikatnya, yang dapat Anda gunakan untuk memverifikasi properti pasangan kunci tersebut.

Jika perangkat mendukung pengesahan kunci level hardware, root certificate dalam rantai ditandatangani menggunakan kunci utama pengesahan yang disediakan dengan aman ke keystore yang didukung hardware di perangkat.

Untuk mengimplementasikan pengesahan kunci, lakukan langkah-langkah berikut:

Gunakan metode getCertificateChain() objek KeyStore untuk mendapatkan referensi ke rantai sertifikat X.509 yang terkait dengan keystore yang didukung hardware.
Kirim sertifikat ke server terpisah yang Anda percayai untuk validasi.

Perhatian: Jangan selesaikan proses validasi berikut di perangkat yang sama. Jika sistem Android pada perangkat tersebut disusupi, proses validasi menjadi bisa memercayai sesuatu yang tidak dapat dipercaya.
Dapatkan referensi ke library validasi dan penguraian rantai sertifikat X.509 yang paling sesuai untuk rangkaian alat Anda. Pastikan bahwa root certificate publik dapat dipercaya dan setiap sertifikat menandatangani sertifikat berikutnya di dalam rantai.
Periksa status pencabutan setiap sertifikat untuk memastikan tidak ada sertifikat yang dicabut.
Periksa ekstensi sertifikat informasi penyediaan yang hanya berada dalam rantai sertifikat yang lebih baru secara opsional.

Dapatkan referensi ke library parser CBOR yang paling sesuai untuk rangkaian alat Anda. Temukan sertifikat terdekat ke root yang berisi ekstensi sertifikat informasi penyediaan. Gunakan parser untuk mengekstrak data ekstensi sertifikat informasi penyediaan dari sertifikat tersebut.

Lihat bagian ekstensi informasi penyediaan untuk mengetahui detail selengkapnya.
Dapatkan referensi ke library parser ASN.1 yang paling sesuai untuk rangkaian alat Anda. Temukan sertifikat terdekat ke root yang berisi ekstensi sertifikat pengesahan kunci. Jika ada ekstensi sertifikat informasi penyediaan, ekstensi sertifikat pengesahan kunci harus berada dalam sertifikat berikutnya secara langsung. Gunakan parser untuk mengekstrak data ekstensi sertifikat pengesahan kunci dari sertifikat tersebut.

Perhatian: Jangan berasumsi bahwa ekstensi sertifikat pengesahan kunci berada dalam sertifikat entitas akhir rantai. Hanya kemunculan ekstensi pertama dalam rantai yang dapat dipercaya. Setiap instance ekstensi lebih lanjut belum dikeluarkan oleh hardware yang aman dan dapat dikeluarkan oleh penyerang yang memperluas rantai sambil mencoba membuat pengesahan palsu untuk kunci yang tidak tepercaya.

Sampel Pengesahan Kunci menggunakan parser ASN.1 dari Bouncy Castle untuk mengekstrak data ekstensi sertifikat pengesahan. Anda dapat menggunakan sampel ini sebagai referensi untuk membuat parser Anda sendiri.

Lihat bagian skema data ekstensi pengesahan kunci untuk mengetahui detail selengkapnya.
Periksa konsistensi data ekstensi yang telah Anda ambil pada langkah sebelumnya, dan bandingkan dengan kumpulan nilai yang Anda harapkan untuk dimuat oleh kunci yang didukung hardware.

Root certificate

Validitas pengesahan tergantung pada root certificate rantai. Perangkat Android yang telah lulus pengujian harus memiliki rangkaian aplikasi Google, termasuk Google Play, dan yang diluncurkan dengan Android 7.0 (API level 24) atau lebih tinggi harus menggunakan kunci pengesahan yang ditandatangani oleh sertifikat Root Pengesahan Hardware Google. Perhatikan bahwa pengesahan tidak diperlukan hingga Android 8.0 (level API 26). Kumpulan root certificate yang valid dapat didownload sebagai a array berformat JSON.

Root Certificate

Dua root certificate berikut harus digunakan sebagai anchor tepercaya saat memverifikasi rantai sertifikat pengesahan kunci.

Root Certificate yang Sudah Diterbitkan Sebelumnya

Jika root certificate dalam rantai pengesahan yang Anda terima berisi kunci publik dan tidak ada sertifikat dalam rantai yang dicabut, Anda dapat memastikan bahwa:

Kunci Anda berada di hardware yang Google yakini aman; dan
Kunci memiliki properti yang dijelaskan dalam sertifikat pengesahan.

Jika rantai pengesahan memiliki root kunci publik lain, Google tidak membuat klaim apa pun tentang keamanan hardware. Hal ini tidak berarti kunci Anda disusupi, hanya saja pengesahan tidak membuktikan kunci tersebut berada dalam hardware yang aman. Sesuaikan asumsi keamanan Anda dengan semestinya.

Jika root certificate tidak berisi kunci publik di halaman ini, ada dua kemungkinan alasan:

Kemungkinan besar, perangkat diluncurkan dengan versi Android kurang dari 7.0 dan tidak mendukung pengesahan hardware. Dalam hal ini, Android memiliki implementasi software pengesahan yang menghasilkan sertifikat pengesahan yang sama, tetapi ditandatangani dengan kunci hardcode dalam kode sumber Android. Karena kunci penandatanganan ini tidak bersifat rahasia, pengesahan dapat dibuat oleh penyerang yang berpura-pura menyediakan hardware yang aman.
Kemungkinan alasan lainnya adalah perangkat tersebut bukan perangkat Google Play. Dalam hal ini, pembuat perangkat bebas untuk membuat root certificate mereka sendiri dan menentukan arti data pengesahan mereka. Lihat dokumentasi pembuat perangkat. Perhatikan bahwa Google tidak mengetahui adanya pembuat perangkat yang telah melakukan hal tersebut.

Rotasi root certificate pengesahan hardware

Google memperkenalkan root certificate baru untuk Pengesahan Kunci Android. Perubahan ini meningkatkan keamanan dan keandalan proses pengesahan untuk aplikasi sensitif. Kunci root baru telah dibuat untuk Pengesahan Kunci Android (KeyMint). Root baru adalah kunci ECDSA P-384.

Yang perlu dilakukan

Jika aplikasi Anda mengandalkan Pengesahan Kunci Android, tambahkan root certificate baru ke penyimpanan tepercaya Anda paling lambat 31 Maret 2026. Download sertifikat baru dan lama dari https://android.googleapis.com/attestation/root
Perangkat yang menggunakan Penyediaan Kunci Jarak Jauh (RKP) akan mulai menerima sertifikat yang di-root di sertifikat baru ini pada Februari 2026. Perangkat yang mendukung RKP akan menggunakan root baru secara eksklusif paling lambat 10 April 2026.
Perbarui proses pengesahan Anda untuk memercayai root certificate baru dan yang sudah ada. Perangkat lama dengan kunci yang disediakan pabrik tidak mendukung rotasi kunci dan terus menggunakan root lama.
Skema ekstensi sertifikat itu sendiri tidak akan berubah; hanya root yang berubah.
Bentuk root baru yang dapat dibaca manusia dan mesin akan tersedia secara publik.

Praktik Terbaik

Jangan kueri endpoint untuk root tepercaya saat runtime, karena tindakan ini menimbulkan risiko keamanan. Tangani perubahan pada root tepercaya melalui proses formal.

Menghapus kunci pabrik: Penyediaan Kunci Jarak Jauh (RKP)

Untuk perangkat yang diluncurkan dengan Android 16, sistem hanya mendukung RKP. Kebijakan ini menghapus kunci pabrik. Kebijakan ini meningkatkan cara Anda menyediakan dan mengelola kunci pengesahan, yang memperluas kebijakan Android 15 yang dukungan RKP-nya bersifat opsional. RKP mencegah kebocoran kunci karena sistem tidak memprogram kunci langsung ke perangkat. Anda tidak dapat menghapus kunci ini dari perangkat. Jika harus mencabut kunci, Anda dapat menargetkan pencabutan ke satu perangkat.

Library verifikasi pengesahan

Gunakan library Kotlin verifikasi pengesahan untuk memverifikasi rantai sertifikat Pengesahan Kunci. Selain itu, library ini sudah mengintegrasikan root certificate baru. Jika Anda menggunakan verifikator lain, sebaiknya beralih ke library Kotlin. Library ini telah diuji dengan baik, dan mencakup kasus ekstrem yang sering terlewat oleh verifikator kustom.

Daftar status pencabutan sertifikat

Kunci pengesahan dapat dicabut karena berbagai alasan, termasuk kesalahan penanganan atau dugaan ekstraksi oleh penyerang. Oleh karena itu, status setiap sertifikat dalam rantai pengesahan harus diperiksa dengan daftar status pencabutan sertifikat (CRL) resmi. Daftar ini dikelola oleh Google dan dipublikasikan di: https://android.googleapis.com/attestation/status. Header Cache-Control dalam respons HTTP menentukan seberapa sering pemeriksaan update dilakukan sehingga tidak diperlukan permintaan jaringan untuk setiap sertifikat yang diverifikasi. URL ini menampilkan file JSON yang berisi status pencabutan sertifikat apa pun yang tidak memiliki status valid yang normal. Format file JSON mematuhi definisi Skema JSON (draf 07) berikut:

{
  "$schema": "http://json-schema.org/draft-07/schema#",
  "type": "object",
  "properties": {
    "entries": {
      "description" : "Each entry represents the status of an attestation key. The dictionary-key is the certificate serial number in lowercase hex.",
      "type": "object",
      "propertyNames": {
        "pattern": "^[a-f1-9][a-f0-9]*$"
      },
      "additionalProperties": {
        "type": "object",
        "properties": {
          "status": {
            "description": "[REQUIRED] Current status of the key.",
            "type": "string",
            "enum": ["REVOKED", "SUSPENDED"]
          },
          "expires": {
            "description": "[OPTIONAL] UTC date when certificate expires in ISO8601 format (YYYY-MM-DD). Can be used to clear expired certificates from the status list.",
            "type": "string",
            "format": "date"
          },
          "reason": {
            "description": "[OPTIONAL] Reason for the current status.",
            "type": "string",
            "enum": ["UNSPECIFIED", "KEY_COMPROMISE", "CA_COMPROMISE", "SUPERSEDED", "SOFTWARE_FLAW"]
          },
          "comment": {
            "description": "[OPTIONAL] Free form comment about the key status.",
            "type": "string",
            "maxLength": 140
          }
        },
        "required": ["status"],
        "additionalProperties": false
      }
    }
  },
  "required": ["entries"],
  "additionalProperties": false
}

Contoh CRL:

{
  "entries": {
    "2c8cdddfd5e03bfc": {
      "status": "REVOKED",
      "expires": "2020-11-13",
      "reason": "KEY_COMPROMISE",
      "comment": "Key stored on unsecure system"
    },
    "c8966fcb2fbb0d7a": {
      "status": "SUSPENDED",
      "reason": "SOFTWARE_FLAW",
      "comment": "Bug in keystore causes this key malfunction b/555555"
    }
  }
}

Kebijakan pencabutan sertifikat

Pengesahan membentuk tulang punggung upaya melawan penyalahgunaan dan kepercayaan dalam ekosistem Android. Pengesahan memberikan pernyataan yang dapat diverifikasi secara kriptografis kepada pihak di luar perangkat tentang status booting perangkat.

Sertifikat untuk kunci pengesahan Android akan dicabut jika kunci tersebut disusupi, karena sifat penting validitas pengesahan. Bagian ini menguraikan kebijakan tentang kapan sertifikat dicabut. Kebijakan ini kemungkinan akan berkembang dan mencantumkan kasus tambahan dari waktu ke waktu.

Apa yang memenuhi syarat untuk pencabutan?

Kunci pengesahan yang telah bocor selalu memenuhi syarat untuk dicabut sertifikatnya. Kebocoran dapat ditemukan dengan beberapa cara, termasuk:

Analisis data pengesahan di luar.
Penemuan kunci pengesahan di media sosial atau situs publik lainnya.
Laporan langsung dari peneliti keamanan.

Setelah ditemukan, sertifikat pengesahan akan dicabut dengan menambahkan nomor serinya ke daftar pencabutan. Biasanya hal ini akan terjadi dalam beberapa hari setelah penemuan, tetapi mungkin memerlukan waktu lebih lama dalam kasus yang jarang terjadi. Misalnya, pencabutan sertifikat untuk kunci pengesahan yang bocor biasanya ditunda jika perangkat yang terpengaruh oleh pencabutan dapat disediakan ulang dengan aman. Skala dampak pencabutan juga merupakan faktor penting dalam linimasa pencabutan.

Memverifikasi pasangan kunci yang didukung hardware dengan pengesahan kunci

Sebelum memulai: pastikan perangkat Anda mendukung pengesahan kunci level hardware

Mengambil dan memverifikasi pasangan kunci yang didukung hardware

Root certificate

Rotasi root certificate pengesahan hardware

Yang perlu dilakukan

Praktik Terbaik

Menghapus kunci pabrik: Penyediaan Kunci Jarak Jauh (RKP)

Library verifikasi pengesahan

Daftar status pencabutan sertifikat

Kebijakan pencabutan sertifikat

Apa yang memenuhi syarat untuk pencabutan?

Skema data ekstensi pengesahan kunci

Skema data ekstensi informasi penyediaan

Memverifikasi pasangan kunci yang didukung hardware dengan pengesahan kunci Tetap teratur dengan koleksi Simpan dan kategorikan konten berdasarkan preferensi Anda.

Sebelum memulai: pastikan perangkat Anda mendukung pengesahan kunci level hardware

Mengambil dan memverifikasi pasangan kunci yang didukung hardware

Root certificate

Rotasi root certificate pengesahan hardware

Yang perlu dilakukan

Praktik Terbaik

Menghapus kunci pabrik: Penyediaan Kunci Jarak Jauh (RKP)

Library verifikasi pengesahan

Daftar status pencabutan sertifikat

Kebijakan pencabutan sertifikat

Apa yang memenuhi syarat untuk pencabutan?

Skema data ekstensi pengesahan kunci

Skema data ekstensi informasi penyediaan

Memverifikasi pasangan kunci yang didukung hardware dengan pengesahan kunci