หน้านี้ได้รับการแปลโดย Cloud Translation API

ยืนยันคู่คีย์แบบใช้ฮาร์ดแวร์ด้วยเอกสารรับรองคีย์

การรับรองคีย์ช่วยให้คุณมั่นใจมากขึ้นว่าคีย์ที่คุณใช้ในแอปได้รับการจัดเก็บไว้ในคีย์สโตร์ที่รองรับฮาร์ดแวร์ของอุปกรณ์ ส่วนต่อไปนี้จะอธิบายวิธียืนยันคุณสมบัติของคีย์ที่เก็บไว้ในฮาร์ดแวร์และวิธีตีความข้อมูลส่วนขยายของใบรับรองการรับรอง

หมายเหตุ: ก่อนที่จะยืนยันพร็อพเพอร์ตี้ของคีย์ที่สำรองข้อมูลด้วยฮาร์ดแวร์ของอุปกรณ์ในสภาพแวดล้อมระดับเวอร์ชันที่ใช้งานจริง โปรดตรวจสอบว่าอุปกรณ์รองรับการรับรองคีย์ระดับฮาร์ดแวร์ โดยตรวจสอบว่าเชนใบรับรองการรับรองมีใบรับรองรูทที่ลงนามด้วยคีย์รูทการรับรองของ Google และองค์ประกอบ attestationSecurityLevel ภายในโครงสร้างข้อมูลคําอธิบายคีย์ได้รับการตั้งค่าเป็นระดับความปลอดภัย TrustedEnvironment หรือระดับความปลอดภัย StrongBox

นอกจากนี้ คุณควรตรวจสอบลายเซ็นในเชนใบรับรอง และยืนยันว่าไม่มีคีย์ใดในเชนที่ถูกเพิกถอนโดยดูรายการสถานะการเพิกถอนใบรับรอง อย่าเชื่อถือการรับรองอย่างเต็มรูปแบบ เว้นแต่ว่าคีย์ทั้งหมดจะถูกต้องและรูทเป็นคีย์รูทของ Google อย่างไรก็ตาม โปรดทราบว่าอุปกรณ์ที่มีใบรับรองที่เพิกถอนแล้วจะยังเชื่อถือได้เท่ากับอุปกรณ์ที่รองรับเฉพาะเอกสารรับรองซอฟต์แวร์เท่านั้น การรับรองที่ถูกต้องทั้งหมดเป็นตัวบ่งชี้เชิงบวกที่ชัดเจน การไม่มีข้อมูลดังกล่าวเป็นสัญญาณที่เป็นกลาง ไม่ใช่เชิงลบ

เรียกข้อมูลและยืนยันคู่คีย์แบบใช้ฮาร์ดแวร์

ในระหว่างการรับรองคีย์ คุณจะระบุชื่อแทนของคู่คีย์และดึงข้อมูลเชนใบรับรองของคู่คีย์ดังกล่าว ซึ่งคุณใช้เพื่อยืนยันพร็อพเพอร์ตี้ของคู่คีย์นั้นได้

หากอุปกรณ์รองรับเอกสารรับรองคีย์ระดับฮาร์ดแวร์ ใบรับรองรูทภายในเชนนี้จะลงนามโดยใช้คีย์รูทของเอกสารรับรองที่จัดสรรให้กับคีย์สโตร์ที่อาศัยฮาร์ดแวร์ของอุปกรณ์อย่างปลอดภัย

หมายเหตุ: ในอุปกรณ์ที่จัดส่งพร้อมเอกสารรับรองคีย์ระดับฮาร์ดแวร์, Android 7.0 (API ระดับ 24) ขึ้นไป และบริการ Google Play ใบรับรองรูทจะลงนามด้วยคีย์รูทของเอกสารรับรองของ Google ยืนยันว่าใบรับรองรูทนี้อยู่ในรายการที่แสดงในส่วนใบรับรองรูท

หากต้องการใช้เอกสารรับรองคีย์ ให้ทำตามขั้นตอนต่อไปนี้

ใช้KeyStore ของออบเจ็กต์ getCertificateChain() เพื่อทำเครื่องหมายอ้างอิงเชนใบรับรอง X.509 ที่เชื่อมโยงกับที่เก็บคีย์ที่รองรับฮาร์ดแวร์
ส่งใบรับรองไปยังเซิร์ฟเวอร์แยกต่างหากที่คุณเชื่อถือเพื่อตรวจสอบ

ข้อควรระวัง: อย่าทำตามขั้นตอนการตรวจสอบต่อไปนี้ให้เสร็จสมบูรณ์ในอุปกรณ์เดียวกันกับ KeyStore หากระบบ Android ในอุปกรณ์ดังกล่าวถูกบุกรุก กระบวนการตรวจสอบอาจเชื่อถือสิ่งที่ไม่น่าเชื่อถือ
รับการอ้างอิงถึงไลบรารีการแยกวิเคราะห์และการตรวจสอบความถูกต้องของห่วงโซ่ใบรับรอง X.509 ที่เหมาะสำหรับชุดเครื่องมือของคุณมากที่สุด ยืนยันว่าใบรับรองสาธารณะรูทเชื่อถือได้และใบรับรองแต่ละใบลงนามในใบรับรองถัดไปในเชน
ตรวจสอบสถานะการเพิกถอนของใบรับรองแต่ละใบเพื่อให้แน่ใจว่าไม่มีใบรับรองใดถูกเพิกถอน
(ไม่บังคับ) ตรวจสอบส่วนขยายใบรับรองข้อมูลการจัดสรรที่จะปรากฏในชุดใบรับรองที่ใหม่กว่าเท่านั้น

รับข้อมูลอ้างอิงไปยังไลบรารีโปรแกรมแยกวิเคราะห์ CBOR ที่เหมาะกับชุดเครื่องมือของคุณมากที่สุด ค้นหาใบรับรองที่ใกล้กับรูทที่สุดซึ่งมีส่วนขยายใบรับรอง การจัดสรรข้อมูล ใช้โปรแกรมแยกวิเคราะห์เพื่อดึงข้อมูลส่วนขยายใบรับรองข้อมูลการจัดสรรจากใบรับรองนั้น

ดูรายละเอียดเพิ่มเติมได้ที่ส่วนเกี่ยวกับสคีมาข้อมูลส่วนขยายข้อมูลการจัดสรร
รับข้อมูลอ้างอิงเกี่ยวกับไลบรารีโปรแกรมแยกวิเคราะห์ ASN.1 ที่เหมาะกับชุดเครื่องมือของคุณมากที่สุด ค้นหาใบรับรองที่ใกล้กับรูทที่สุดซึ่งมีส่วนขยายใบรับรองการรับรองคีย์ หากมีส่วนขยายใบรับรองข้อมูลการจัดสรร ส่วนขยายใบรับรองคีย์ดังกล่าวต้องอยู่ในใบรับรองถัดไปทันที ใช้โปรแกรมแยกวิเคราะห์เพื่อดึงข้อมูลส่วนขยายใบรับรองคีย์จากใบรับรองนั้น

ข้อควรระวัง: อย่าคิดว่าส่วนขยายใบรับรองการรับรองคีย์อยู่ในใบรับรองใบสุดท้ายของเชน เฉพาะการปรากฏครั้งแรกของส่วนขยายในเชนเท่านั้นที่เชื่อถือได้ อินสแตนซ์อื่นๆ ของส่วนขยายไม่ได้ออกโดยฮาร์ดแวร์ที่ปลอดภัยและอาจมีการออกโดยผู้โจมตีที่ขยายเชนขณะพยายามสร้างเอกสารรับรองปลอมสำหรับคีย์ที่ไม่น่าเชื่อถือ

ตัวอย่างการรับรองคีย์ใช้โปรแกรมแยกวิเคราะห์ ASN.1 จาก Bouncy Castle เพื่อดึงข้อมูลส่วนขยายของใบรับรองการรับรอง คุณสามารถใช้ตัวอย่างนี้เพื่อเป็นข้อมูลอ้างอิงในการสร้างโปรแกรมแยกวิเคราะห์ของคุณเอง

ดูรายละเอียดเพิ่มเติมได้ที่ส่วนสคีมาข้อมูลส่วนขยายการรับรอง
ตรวจสอบความสอดคล้องของข้อมูลส่วนขยายที่คุณดึงข้อมูลในขั้นตอนก่อนหน้า และเปรียบเทียบกับชุดค่าที่คุณคาดหวังว่าคีย์ที่สำรองข้อมูลด้วยฮาร์ดแวร์จะมี

ใบรับรองรูท

ความน่าเชื่อถือของการรับรองขึ้นอยู่กับใบรับรองรูทของเชน อุปกรณ์ Android ที่ผ่านการทดสอบที่จำเป็นต้องมีชุดแอปของ Google ซึ่งรวมถึง Google Play และเปิดตัวด้วย Android 7.0 (API ระดับ 24) ขึ้นไปควรใช้คีย์การรับรองที่รับรองโดยใบรับรองรูทการรับรองฮาร์ดแวร์ของ Google โปรดทราบว่าคุณไม่ต้องใช้เอกสารรับรองจนกว่าจะถึง Android 8.0 (API ระดับ 26) คีย์สาธารณะรูทมีดังนี้

ใบรับรองรูทที่ออกก่อนหน้านี้

หากใบรับรองรูทในเชนการรับรองที่คุณได้รับมีคีย์สาธารณะนี้และไม่มีใบรับรองใดในเชนถูกเพิกถอน คุณจะทราบสิ่งต่อไปนี้

คีย์ของคุณอยู่ในฮาร์ดแวร์ที่ Google เชื่อว่าปลอดภัย และ
โดยมีพร็อพเพอร์ตี้ตามที่อธิบายไว้ในใบรับรองของเอกสารรับรอง

หากเชนการรับรองมีคีย์สาธารณะรูทอื่นๆ อยู่ Google จะไม่อ้างสิทธิ์ใดๆ เกี่ยวกับความปลอดภัยของฮาร์ดแวร์ ซึ่งไม่ได้หมายความว่าคีย์ของคุณถูกบุกรุก แต่การรับรองไม่ได้พิสูจน์ว่าคีย์อยู่ในฮาร์ดแวร์ที่ปลอดภัย ปรับสมมติฐานด้านความปลอดภัยตามความเหมาะสม

หากใบรับรองรูทไม่มีคีย์สาธารณะในหน้านี้ สาเหตุที่เป็นไปได้มี 2 ประการดังนี้

เป็นไปได้ว่าอุปกรณ์เปิดตัวด้วย Android เวอร์ชันต่ำกว่า 7.0 และไม่รองรับการรับรองฮาร์ดแวร์ ในกรณีนี้ Android มีการใช้ซอฟต์แวร์ในการรับรองซึ่งจะสร้างใบรับรองการรับรองประเภทเดียวกัน แต่ลงนามด้วยคีย์ที่ฮาร์ดโค้ดไว้ในซอร์สโค้ดของ Android เนื่องจากคีย์การรับรองนี้ไม่ใช่ข้อมูลลับ ผู้โจมตีอาจสร้างการรับรองโดยแอบอ้างว่าจัดหาฮาร์ดแวร์ที่ปลอดภัย
อีกสาเหตุหนึ่งที่เป็นไปได้คืออุปกรณ์ไม่ใช่อุปกรณ์ Google Play ในกรณีนี้ ผู้ผลิตอุปกรณ์จะสร้างรูทของตัวเองได้อย่างอิสระและอ้างสิทธิ์ที่ตนต้องการเกี่ยวกับความหมายของเอกสารรับรอง โปรดดูเอกสารประกอบของผู้ผลิตอุปกรณ์ โปรดทราบว่า ณ เวลาที่เขียนบทความนี้ Google ไม่ทราบว่ามีผู้ผลิตอุปกรณ์รายใดทำเช่นนี้

รายการสถานะการเพิกถอนใบรับรอง

คีย์เอกสารรับรองอาจถูกเพิกถอนได้ด้วยเหตุผลหลายประการ ซึ่งรวมถึงการจัดการอย่างไม่ถูกต้องหรือการดึงข้อมูลที่น่าสงสัยโดยผู้โจมตี ดังนั้นจึงจำเป็นต้องตรวจสอบสถานะของใบรับรองแต่ละใบในเชนการรับรองกับรายการสถานะการเพิกถอนใบรับรองอย่างเป็นทางการ (CRL) รายการนี้ได้รับการดูแลโดย Google และเผยแพร่ที่ https://android.googleapis.com/attestation/status ส่วนหัว Cache-Control ในการตอบกลับ HTTP จะกำหนดความถี่ในการตรวจหาการอัปเดต จึงไม่จำเป็นต้องส่งคำขอเครือข่ายทุกครั้งที่มีการยืนยันใบรับรอง URL นี้จะแสดงผลไฟล์ JSON ที่มีสถานะการเพิกถอนสำหรับใบรับรองที่ไม่มีสถานะ "ใช้งานได้ตามปกติ" รูปแบบของไฟล์ JSON เป็นไปตามคำจำกัดความของสคีมา JSON (ฉบับร่าง 07) ต่อไปนี้

{
  "$schema": "http://json-schema.org/draft-07/schema#",
  "type": "object",
  "properties": {
    "entries": {
      "description" : "Each entry represents the status of an attestation key. The dictionary-key is the certificate serial number in lowercase hex.",
      "type": "object",
      "propertyNames": {
        "pattern": "^[a-f1-9][a-f0-9]*$"
      },
      "additionalProperties": {
        "type": "object",
        "properties": {
          "status": {
            "description": "[REQUIRED] Current status of the key.",
            "type": "string",
            "enum": ["REVOKED", "SUSPENDED"]
          },
          "expires": {
            "description": "[OPTIONAL] UTC date when certificate expires in ISO8601 format (YYYY-MM-DD). Can be used to clear expired certificates from the status list.",
            "type": "string",
            "format": "date"
          },
          "reason": {
            "description": "[OPTIONAL] Reason for the current status.",
            "type": "string",
            "enum": ["UNSPECIFIED", "KEY_COMPROMISE", "CA_COMPROMISE", "SUPERSEDED", "SOFTWARE_FLAW"]
          },
          "comment": {
            "description": "[OPTIONAL] Free form comment about the key status.",
            "type": "string",
            "maxLength": 140
          }
        },
        "required": ["status"],
        "additionalProperties": false
      }
    }
  },
  "required": ["entries"],
  "additionalProperties": false
}

ตัวอย่าง CRL

{
  "entries": {
    "2c8cdddfd5e03bfc": {
      "status": "REVOKED",
      "expires": "2020-11-13",
      "reason": "KEY_COMPROMISE",
      "comment": "Key stored on unsecure system"
    },
    "c8966fcb2fbb0d7a": {
      "status": "SUSPENDED",
      "reason": "SOFTWARE_FLAW",
      "comment": "Bug in keystore causes this key malfunction b/555555"
    }
  }
}

สคีมาข้อมูลของส่วนขยายเอกสารรับรองคีย์

ส่วนขยายการรับรองคีย์มี OID 1.3.6.1.4.1.11129.2.1.17 ส่วนขยายจะจัดเก็บข้อมูลตามสคีมา ASN.1

รายการต่อไปนี้แสดงคำอธิบายขององค์ประกอบแต่ละรายการภายในสคีมา

KeyDescription

ลําดับค่านี้แสดงข้อมูลทั่วไปเกี่ยวกับคู่คีย์ที่ยืนยันผ่านเอกสารรับรองคีย์ และช่วยให้เข้าถึงรายละเอียดเพิ่มเติมได้ง่ายๆ

attestationVersion

เวอร์ชันของฟีเจอร์การรับรองคีย์

ค่า	เวอร์ชัน
1	Keymaster เวอร์ชัน 2.0
2	Keymaster เวอร์ชัน 3.0
3	Keymaster เวอร์ชัน 4.0
4	Keymaster เวอร์ชัน 4.1
100	KeyMint เวอร์ชัน 1.0
200	KeyMint เวอร์ชัน 2.0
300	KeyMint เวอร์ชัน 3.0

attestationSecurityLevel

ระดับความปลอดภัยของเอกสารรับรอง

คำเตือน: แม้ว่าคุณจะรับรองคีย์ที่จัดเก็บไว้ในระบบ Android ได้ (นั่นคือ หากตั้งค่าค่าของ attestationSecurityLevel เป็น "ซอฟต์แวร์") แต่คุณก็ไม่สามารถเชื่อถือการรับรองเหล่านี้ได้หากระบบ Android ถูกบุกรุก

keymasterVersion / keyMintVersion

เวอร์ชันของระดับชั้นการจัดการฮาร์ดแวร์โดยตรง (HAL) ของ Keymaster หรือ KeyMint

ค่า	เวอร์ชัน
0	Keymaster เวอร์ชัน 0.2 หรือ 0.3
1	Keymaster เวอร์ชัน 1.0
2	Keymaster เวอร์ชัน 2.0
3	Keymaster เวอร์ชัน 3.0
4	Keymaster เวอร์ชัน 4.0
41	Keymaster เวอร์ชัน 4.1
100	KeyMint เวอร์ชัน 1.0
200	KeyMint เวอร์ชัน 2.0
300	KeyMint เวอร์ชัน 3.0

keymasterSecurityLevel / keyMintSecurityLevel

ระดับการรักษาความปลอดภัยของการติดตั้งใช้งาน Keymaster/KeyMint

attestationChallenge

มีภารกิจที่ระบุไว้เมื่อสร้างคีย์ ตรวจสอบว่าค่านี้ตรงกับค่าที่เซิร์ฟเวอร์ระบุตามที่จัดเก็บในแท็กการให้สิทธิ์ Tag::ATTESTATION_CHALLENGE หรือไม่ มิเช่นนั้น บริการของคุณอาจเสี่ยงต่อการบันทึกซ้ำของใบรับรองการรับรองแบบเก่า

uniqueId

ค่านี้จะระบุอุปกรณ์ แต่จะใช้ได้ในช่วงระยะเวลาที่จำกัดเท่านั้น โดยระบบจะคํานวณและจะใช้โดยแอประบบเท่านั้น ในแอปอื่นๆ ทั้งหมด uniqueId จะว่างเปล่า

softwareEnforced

ไม่บังคับ รายการการให้สิทธิ์ Keymaster / KeyMint ที่บังคับใช้โดยระบบ Android ไม่ใช่โดย Trusted Execution Environment (TEE) ของอุปกรณ์ ข้อมูลในรายการการให้สิทธิ์นี้จะรวบรวมหรือสร้างโดยโค้ดที่เป็นส่วนหนึ่งของแพลตฟอร์มและจัดเก็บไว้ในพาร์ติชันระบบของอุปกรณ์ เนื้อหาของรายการการให้สิทธิ์นี้เชื่อถือได้ตราบใดที่อุปกรณ์ใช้ระบบปฏิบัติการที่เป็นไปตามรูปแบบความปลอดภัยของแพลตฟอร์ม Android อุปกรณ์ Android ที่ได้รับการรับรองทั้งหมดเป็นไปตามโมเดลความปลอดภัยนี้ ดังนั้นหากอุปกรณ์ล็อกอยู่และสถานะการเปิดเครื่องที่ได้รับการยืนยันคือ Verified ค่าที่นี่ควรเชื่อถือได้ ในอุปกรณ์ที่ดัดแปลงซึ่งมีการปลดล็อก Bootloader ผู้ใช้จะติดตั้งระบบปฏิบัติการที่ไม่สอดคล้องกับโมเดลความปลอดภัยของแพลตฟอร์ม Android ได้ ดังนั้นผู้ใช้อาจเลือกค่าในช่องนี้โดยไม่มีกฎเกณฑ์ตายตัว

hardwareEnforced

ไม่บังคับ รายการการให้สิทธิ์ Keymaster / KeyMint ที่บังคับใช้โดย Trusted Execution Environment (TEE) ของอุปกรณ์ ข้อมูลในรายการการให้สิทธิ์นี้รวบรวมหรือสร้างขึ้นโดยโค้ดที่เป็นส่วนหนึ่งของฮาร์ดแวร์ที่มีความปลอดภัย และแพลตฟอร์มไม่ได้ควบคุม ตัวอย่างเช่น ข้อมูลในรายการการให้สิทธิ์นี้มาจาก Bootloader ของอุปกรณ์หรือ TEE ที่ทำงานในอุปกรณ์ ช่องในรายการการให้สิทธิ์นี้ที่ KeyMint ไม่ได้เป็นผู้ตั้งค่าโดยตรงจะมาจากส่วนอื่นๆ ของฮาร์ดแวร์ที่มีความปลอดภัย (เช่น บูตโหลดเดอร์) ผ่านช่องทางการสื่อสารที่ปลอดภัยซึ่งไม่เกี่ยวข้องกับการเชื่อถือแพลตฟอร์ม ความแตกต่างระหว่างฮาร์ดแวร์ที่ปลอดภัยกับระบบ Android คือผู้ใช้ไม่สามารถแก้ไขโค้ดที่ทำงานในฮาร์ดแวร์ที่ปลอดภัย (เฟิร์มแวร์) ดังนั้นผู้ใช้จึงไม่สามารถลบล้างค่าในรายการการให้สิทธิ์ได้

ระดับการรักษาความปลอดภัย

โครงสร้างข้อมูลนี้ระบุระดับการปกป้องฟีเจอร์ซอฟต์แวร์ เช่น คู่คีย์ โดยอิงตามตำแหน่งภายในอุปกรณ์

เนื่องจากโครงสร้างข้อมูลเป็นการแจกแจงค่า จึงใช้ค่าใดค่าหนึ่งต่อไปนี้ได้เท่านั้น

คีย์สโตร์: ระบบจะใช้ตรรกะในการสร้างและจัดการฟีเจอร์ในระบบ Android ในการสร้างและจัดเก็บคู่คีย์ ตำแหน่งนี้มีความปลอดภัยน้อยกว่า TEE แต่ปลอดภัยกว่าพื้นที่การประมวลผลของแอป
TrustedEnvironment: ระบบจะใช้ตรรกะในการสร้างและจัดการฟีเจอร์ในฮาร์ดแวร์ที่ปลอดภัย เช่น TEE ตำแหน่งนี้ปลอดภัยกว่าสำหรับการสร้างและจัดเก็บคู่คีย์ เนื่องจากฮาร์ดแวร์ที่มีความปลอดภัยสามารถป้องกันการประนีประนอมจากระยะไกลได้
StrongBox: ตรรกะในการสร้างและจัดการฟีเจอร์นี้จะใช้ในโมดูลความปลอดภัยฮาร์ดแวร์โดยเฉพาะ ตำแหน่งนี้ปลอดภัยกว่าสำหรับการสร้างและจัดเก็บคู่คีย์ เนื่องจากมีความต้านทานสูงต่อการประนีประนอมจากระยะไกลและการโจมตีฮาร์ดแวร์ต่อโมดูล
ซอฟต์แวร์: ตรรกะสำหรับการสร้างและจัดการฟีเจอร์นี้จะมีการติดตั้งใช้งาน KeyMint หรือ Keymaster ที่ไม่ได้ทำงานในสภาพแวดล้อมที่ปลอดภัย ตำแหน่งนี้ไม่ปลอดภัยเท่า TEE แต่ปลอดภัยกว่าพื้นที่กระบวนการของแอปสำหรับการสร้างและจัดเก็บคู่คีย์

รายการการให้สิทธิ์

โครงสร้างข้อมูลนี้มีพร็อพเพอร์ตี้ของคู่คีย์เองตามที่กําหนดไว้ในเลเยอร์ Abstraction ของฮาร์ดแวร์ Keymaster หรือ KeyMint (HAL) คุณสามารถเปรียบเทียบค่าเหล่านี้กับสถานะปัจจุบันของอุปกรณ์หรือชุดค่าที่คาดไว้เพื่อยืนยันว่าคู่คีย์ยังคงใช้งานได้ในแอป

ชื่อช่องแต่ละรายการจะสอดคล้องกับแท็กการให้สิทธิ์ Keymaster / KeyMint ที่มีชื่อคล้ายกัน เช่น ช่อง keySize ในรายการการให้สิทธิ์จะสอดคล้องกับแท็กการให้สิทธิ์ Tag::KEY_SIZE

ข้อกําหนดอินเทอร์เฟซ AIDL มีข้อมูลที่แน่นอนเกี่ยวกับแท็กการให้สิทธิ์ ซึ่งจะกำหนดค่ารหัสและประเภทของแท็กแต่ละรายการ รวมถึงระบุว่าระบบคาดหวังว่าแท็กแต่ละรายการจะอยู่ในhardwareEnforcedรายการการให้สิทธิ์ (บ่งบอกว่ามีการบังคับใช้แท็กในสภาพแวดล้อมที่ปลอดภัย) หรืออยู่ในsoftwareEnforcedรายการการให้สิทธิ์ (บ่งบอกว่า Android บังคับใช้แท็ก โดยปกติแล้วจะใช้คีย์สโตร์)

ช่องแต่ละช่องในรายการต่อไปนี้เป็นช่องที่ไม่บังคับ

purpose

สอดคล้องกับแท็กการให้สิทธิ์ Tag::PURPOSE ซึ่งใช้ค่ารหัสแท็กเป็น 1

algorithm

สอดคล้องกับแท็กการให้สิทธิ์ Tag::ALGORITHM ซึ่งใช้ค่ารหัสแท็กเป็น 2

ในออบเจ็กต์AuthorizationList ของการรับรอง ค่าอัลกอริทึมจะเป็น RSA หรือ EC เสมอ

keySize

สอดคล้องกับแท็กการให้สิทธิ์ Tag::KEY_SIZE ซึ่งใช้ค่ารหัสแท็ก 3

digest

สอดคล้องกับแท็กการให้สิทธิ์ Tag::DIGEST ซึ่งใช้ค่ารหัสแท็ก 5

padding

สอดคล้องกับแท็กการให้สิทธิ์ Tag::PADDING ซึ่งใช้ค่ารหัสแท็ก 6

ecCurve

สอดคล้องกับแท็กการให้สิทธิ์ Tag::EC_CURVE ซึ่งใช้ค่ารหัสแท็ก 10

ชุดพารามิเตอร์ที่ใช้สร้างคู่คีย์รูปไข่ (EC) ซึ่งใช้ ECDSA สำหรับการรับรองและการยืนยันภายในคีย์สโตร์ของระบบ Android

rsaPublicExponent

สอดคล้องกับแท็กการให้สิทธิ์ Tag::RSA_PUBLIC_EXPONENT ซึ่ง ใช้ค่ารหัสแท็กเป็น 200

mgfDigest

แสดงเฉพาะในเอกสารรับรองคีย์เวอร์ชัน >= 100

สอดคล้องกับแท็กTag::RSA_OAEP_MGF_DIGESTการให้สิทธิ์ KeyMint ซึ่งมีค่ารหัสแท็ก 203

rollbackResistance

มีเฉพาะในเวอร์ชันการรับรองคีย์ที่ >= 3

สอดคล้องกับแท็กการให้สิทธิ์ Tag::ROLLBACK_RESISTANT ซึ่งใช้ค่ารหัสแท็ก 303

earlyBootOnly

มีเฉพาะในเวอร์ชันการรับรองคีย์ที่ >= 4

สอดคล้องกับแท็กการให้สิทธิ์ Tag::EARLY_BOOT_ONLY ซึ่งใช้ค่ารหัสแท็ก 305

activeDateTime

สอดคล้องกับแท็กการให้สิทธิ์ Tag::ACTIVE_DATETIME ซึ่งใช้ค่ารหัสแท็ก 400

originationExpireDateTime

สอดคล้องกับแท็กการให้สิทธิ์ของ Tag::ORIGINATION_EXPIRE_DATETIME Keymaster ซึ่งใช้ค่ารหัสแท็ก 401

usageExpireDateTime

สอดคล้องกับแท็กการให้สิทธิ์ Tag::USAGE_EXPIRE_DATETIME ซึ่งใช้ค่ารหัสแท็ก 402

usageCountLimit

สอดคล้องกับแท็กการให้สิทธิ์ Tag::USAGE_COUNT_LIMIT ที่ใช้ค่ารหัสแท็ก 405

noAuthRequired

สอดคล้องกับแท็กการให้สิทธิ์ Tag::NO_AUTH_REQUIRED ซึ่งใช้ค่ารหัสแท็ก 503

userAuthType

สอดคล้องกับแท็กการให้สิทธิ์ Tag::USER_AUTH_TYPE ซึ่งใช้ค่ารหัสแท็ก 504

authTimeout

สอดคล้องกับแท็กการให้สิทธิ์ Tag::AUTH_TIMEOUT ซึ่งใช้ค่ารหัสแท็ก 505

allowWhileOnBody

สอดคล้องกับแท็กการให้สิทธิ์ Tag::ALLOW_WHILE_ON_BODY ซึ่งใช้ค่ารหัสแท็ก 506

อนุญาตให้ใช้กุญแจหลังจากพ้นระยะเวลาหมดเวลาการตรวจสอบสิทธิ์หากผู้ใช้ยังสวมใส่อุปกรณ์อยู่ โปรดทราบว่าเซ็นเซอร์ที่อยู่บนร่างกายที่ปลอดภัยจะระบุว่ามีการใช้อุปกรณ์บนร่างกายของผู้ใช้หรือไม่

trustedUserPresenceRequired

มีเฉพาะในเวอร์ชันการรับรองคีย์ที่ >= 3

สอดคล้องกับTag::TRUSTED_USER_PRESENCE_REQUIRED แท็กการให้สิทธิ์ซึ่งใช้ค่ารหัสแท็ก 507

ระบุว่าจะใช้คีย์นี้ได้ก็ต่อเมื่อผู้ใช้แสดงหลักฐานยืนยันตัวตน ตัวอย่างบางส่วนมีดังนี้

สำหรับคีย์ StrongBox ให้ใช้ปุ่มฮาร์ดแวร์ที่ต่อสายกับหมุดบนอุปกรณ์ StrongBox
สำหรับคีย์ TEE การตรวจสอบสิทธิ์ด้วยลายนิ้วมือจะให้หลักฐานยืนยันตัวตน ตราบใดที่ TEE มีการควบคุมเครื่องสแกนอย่างมีเอกสิทธิ์และดำเนินการตามกระบวนการจับคู่ลายนิ้วมือ

trustedConfirmationRequired

มีเฉพาะในเวอร์ชันการรับรองคีย์ที่ >= 3

สอดคล้องกับแท็กการให้สิทธิ์ Tag::TRUSTED_CONFIRMATION_REQUIRED ซึ่งใช้ค่ารหัสแท็ก 508

ระบุว่าคีย์จะใช้ได้ต่อเมื่อผู้ใช้ให้การยืนยันข้อมูลที่จะลงนามโดยใช้โทเค็นการอนุมัติเท่านั้น ดูข้อมูลเพิ่มเติมเกี่ยวกับวิธีรับการยืนยันจากผู้ใช้ได้ที่การยืนยันการป้องกันสำหรับ Android

หมายเหตุ: แท็กนี้ใช้กับคีย์ที่วัตถุประสงค์ SIGN เท่านั้น

unlockedDeviceRequired

มีเฉพาะในเวอร์ชันการรับรองคีย์ที่ >= 3

สอดคล้องกับTag::UNLOCKED_DEVICE_REQUIRED แท็กการให้สิทธิ์ซึ่งใช้ค่ารหัสแท็ก 509

allApplications

สอดคล้องกับแท็กการให้สิทธิ์ Tag::ALL_APPLICATIONS ซึ่งใช้ค่ารหัสแท็ก 600

ระบุว่าแอปทั้งหมดในอุปกรณ์เข้าถึงคู่คีย์ได้หรือไม่

applicationId

สอดคล้องกับแท็กการให้สิทธิ์ Tag::APPLICATION_ID ซึ่งใช้ค่ารหัสแท็ก 601

creationDateTime

สอดคล้องกับแท็กการให้สิทธิ์ Tag::CREATION_DATETIME ซึ่งใช้ค่ารหัสแท็ก 701

origin

สอดคล้องกับแท็กการให้สิทธิ์ Tag::ORIGIN ซึ่งใช้ค่ารหัสแท็ก 702

rollbackResistant

นำเสนอในเอกสารรับรองคีย์เวอร์ชัน 1 และ 2 เท่านั้น

สอดคล้องกับแท็กการให้สิทธิ์ Tag::ROLLBACK_RESISTANT ซึ่งใช้ค่ารหัสแท็ก 703

rootOfTrust

สอดคล้องกับแท็กการให้สิทธิ์ Tag::ROOT_OF_TRUST ซึ่งใช้ค่ารหัสแท็ก 704

ดูรายละเอียดเพิ่มเติมได้ที่ส่วนที่อธิบายโครงสร้างข้อมูล RootOfTrust

osVersion

สอดคล้องกับแท็กการให้สิทธิ์ Tag::OS_VERSION ซึ่งใช้ค่ารหัสแท็ก 705

เวอร์ชันของระบบปฏิบัติการ Android ที่เชื่อมโยงกับ Keymaster ซึ่งระบุเป็นจำนวนเต็ม 6 หลัก เช่น เวอร์ชัน 8.1.0 จะแสดงเป็น 080100

เฉพาะ Keymaster เวอร์ชัน 1.0 ขึ้นไปเท่านั้นที่จะรวมค่านี้ไว้ในรายการการให้สิทธิ์

osPatchLevel

สอดคล้องกับแท็กการให้สิทธิ์ Tag::PATCHLEVEL ซึ่งใช้ค่ารหัสแท็ก 706

เดือนและปีที่เชื่อมโยงกับแพตช์ความปลอดภัยที่ใช้ภายใน Keymaster ซึ่งระบุเป็นจำนวนเต็ม 6 หลัก เช่น การแก้ไขในเดือนสิงหาคม 2018 จะแสดงเป็น 201808

attestationApplicationId