इस पेज का अनुवाद Cloud Translation API से किया गया है.

कुंजी को प्रमाणित करने की सुविधा के साथ, हार्डवेयर-बैक्ड कुंजी के जोड़े की पुष्टि करें

पासकोड की पुष्टि करने से आपको ज़्यादा भरोसा होता है कि आपके ऐप्लिकेशन में इस्तेमाल की जाने वाली पासकोड, डिवाइस के हार्डवेयर पर आधारित पासकोड स्टोर में सेव किए गए हैं. यहां दिए गए सेक्शन में, हार्डवेयर से सुरक्षित कुंजियों की प्रॉपर्टी की पुष्टि करने और पुष्टि करने वाले सर्टिफ़िकेट के एक्सटेंशन डेटा का विश्लेषण करने का तरीका बताया गया है.

ध्यान दें: किसी डिवाइस की हार्डवेयर से सुरक्षित की गई कुंजियों की प्रॉपर्टी की पुष्टि, प्रोडक्शन-लेवल के एनवायरमेंट में करने से पहले, पक्का करें कि डिवाइस में हार्डवेयर-लेवल की कुंजी की पुष्टि करने की सुविधा काम करती हो. ऐसा करने के लिए, देखें कि पुष्टि करने वाले सर्टिफ़िकेट की चेन में कोई ऐसा रूट सर्टिफ़िकेट शामिल हो जिस पर Google की पुष्टि करने वाली रूट कुंजी से हस्ताक्षर किया गया हो. साथ ही, यह भी देखें कि कुंजी की जानकारी वाले डेटा स्ट्रक्चर में attestationSecurityLevel एलिमेंट, सुरक्षा के TrustedEnvironment लेवल या StrongBox लेवल पर सेट हो.

इसके अलावा, सर्टिफ़िकेट चेन में मौजूद हस्ताक्षरों की पुष्टि करना और सर्टिफ़िकेट रद्द करने की स्थिति की सूची देखकर यह पुष्टि करना ज़रूरी है कि चेन में मौजूद किसी भी पासकोड को रद्द नहीं किया गया है. जब तक सभी सर्टिफ़िकेट मान्य न हों और रूट सर्टिफ़िकेट, Google रूट पासकोड न हो, तब तक पुष्टि पर पूरी तरह भरोसा न करें. हालांकि, ध्यान दें कि जिन डिवाइसों में रद्द किए गए सर्टिफ़िकेट मौजूद हैं वे कम से कम उतने ही भरोसेमंद हैं जितने वे डिवाइस जो सिर्फ़ सॉफ़्टवेयर की पुष्टि की सुविधा के साथ काम करते हैं. पूरी तरह मान्य पुष्टि का होना, एक अच्छा संकेत है. इसका न होना, न तो कोई नकारात्मक और न ही सामान्य संकेत है.

हार्डवेयर पर सेव की गई कुंजी के पेयर को वापस लाना और उसकी पुष्टि करना

पासकोड की पुष्टि के दौरान, आपको पासकोड जोड़े के उपनाम की जानकारी देनी होती है और उसका सर्टिफ़िकेट चेन पाना होता है. इस सर्टिफ़िकेट चेन का इस्तेमाल, पासकोड जोड़े की प्रॉपर्टी की पुष्टि करने के लिए किया जा सकता है.

अगर डिवाइस में हार्डवेयर-लेवल की कुंजी की पुष्टि करने की सुविधा काम करती है, तो इस चेन में मौजूद रूट सर्टिफ़िकेट पर, पुष्टि करने वाली रूट कुंजी का इस्तेमाल करके हस्ताक्षर किया जाता है. यह कुंजी, डिवाइस के हार्डवेयर पर आधारित कीस्टोर में सुरक्षित तरीके से सेट की जाती है.

ध्यान दें: हार्डवेयर-लेवल पासकोड की पुष्टि करने की सुविधा, Android 7.0 (एपीआई लेवल 24) या इसके बाद के वर्शन, और Google Play services के साथ शिप होने वाले डिवाइसों पर, रूट सर्टिफ़िकेट पर Google की पुष्टि करने वाली रूट पासकोड से हस्ताक्षर किया जाता है. पुष्टि करें कि यह रूट सर्टिफ़िकेट, रूट सर्टिफ़िकेट सेक्शन में मौजूद सर्टिफ़िकेट में से एक हो.

पासकोड की पुष्टि करने की सुविधा लागू करने के लिए, यह तरीका अपनाएं:

हार्डवेयर पर आधारित पासकोड सेव करने की सुविधा वाले पासकोड स्टोर से जुड़े X.509 सर्टिफ़िकेट की चेन का रेफ़रंस पाने के लिए, KeyStore ऑब्जेक्ट के getCertificateChain() तरीके का इस्तेमाल करें.
पुष्टि के लिए, सर्टिफ़िकेट किसी ऐसे अलग सर्वर पर भेजें जिस पर आपको भरोसा हो.

चेतावनी: पुष्टि करने की यह प्रोसेस, उसी डिवाइस पर न करें जिस पर KeyStore मौजूद है. अगर उस डिवाइस पर मौजूद Android सिस्टम को हैक कर लिया गया है, तो पुष्टि करने की प्रोसेस में, किसी ऐसे ऐप्लिकेशन पर भरोसा किया जा सकता है जिस पर भरोसा नहीं किया जा सकता.
X.509 सर्टिफ़िकेट चेन को पार्स करने और पुष्टि करने वाली ऐसी लाइब्रेरी का रेफ़रंस पाएं जो आपके टूलसेट के लिए सबसे सही हो. पुष्टि करें कि रूट सार्वजनिक सर्टिफ़िकेट भरोसेमंद है और हर सर्टिफ़िकेट, चेन में अगले सर्टिफ़िकेट पर हस्ताक्षर करता है.
हर सर्टिफ़िकेट के रद्द होने का स्टेटस देखें, ताकि यह पक्का किया जा सके कि किसी भी सर्टिफ़िकेट को रद्द नहीं किया गया है.
इसके अलावा, प्रॉविज़न करने की जानकारी वाले सर्टिफ़िकेट एक्सटेंशन की जांच करें. यह एक्सटेंशन, सिर्फ़ नई सर्टिफ़िकेट चेन में मौजूद होता है.

अपने टूलसेट के लिए सबसे सही CBOR पार्स करने वाली लाइब्रेरी का रेफ़रंस पाएं. रूट के सबसे नज़दीक का वह सर्टिफ़िकेट ढूंढें जिसमें प्रोविज़निंग की जानकारी वाला सर्टिफ़िकेट एक्सटेंशन शामिल हो. उस सर्टिफ़िकेट से, प्रोवाइज़न करने की जानकारी वाले सर्टिफ़िकेट एक्सटेंशन का डेटा निकालने के लिए, पार्सर का इस्तेमाल करें.

ज़्यादा जानकारी के लिए, प्रोविज़न करने से जुड़ी जानकारी वाले एक्सटेंशन के बारे में सेक्शन देखें.
अपने टूलसेट के लिए सबसे सही ASN.1 पार्स करने वाली लाइब्रेरी का रेफ़रंस पाएं. रूट के सबसे नज़दीक का वह सर्टिफ़िकेट ढूंढें जिसमें पासकोड की पुष्टि करने वाला सर्टिफ़िकेट एक्सटेंशन शामिल हो. अगर डिवाइस को चालू करने की जानकारी वाला सर्टिफ़िकेट एक्सटेंशन मौजूद था, तो पुष्टि करने वाला मुख्य सर्टिफ़िकेट एक्सटेंशन, अगले सर्टिफ़िकेट में मौजूद होना चाहिए. उस सर्टिफ़िकेट से, पुष्टि करने वाले सर्टिफ़िकेट के एक्सटेंशन का मुख्य डेटा निकालने के लिए, पार्सर का इस्तेमाल करें.

चेतावनी: यह न मानें कि कुंजी की पुष्टि करने वाला सर्टिफ़िकेट, चेन के लीफ़ सर्टिफ़िकेट में मौजूद है. चेन में, एक्सटेंशन के सिर्फ़ पहले वर्शन पर भरोसा किया जा सकता है. एक्सटेंशन के किसी और उदाहरण को सुरक्षित हार्डवेयर ने जारी नहीं किया है. ऐसा हो सकता है कि अटैकर ने अविश्वसनीय कुंजियों के लिए फ़र्ज़ी पुष्टि करने की कोशिश करते समय, चेन को बढ़ाकर ऐसा किया हो.

कुंजी के पुष्टि करने वाले सर्टिफ़िकेट का सैंपल, Bouncy Castle के ASN.1 पार्सर का इस्तेमाल करके, पुष्टि करने वाले सर्टिफ़िकेट के एक्सटेंशन डेटा को निकालता है. अपना पार्सर बनाने के लिए, इस सैंपल का इस्तेमाल रेफ़रंस के तौर पर किया जा सकता है.

ज़्यादा जानकारी के लिए, पुष्टि करने वाले एक्सटेंशन के डेटा स्कीमा सेक्शन देखें.
पिछले चरणों में हासिल किए गए एक्सटेंशन डेटा की जांच करें, ताकि यह पता चल सके कि वह एक जैसा है या नहीं. साथ ही, उस डेटा की तुलना उन वैल्यू के सेट से करें जो आपको लगता है कि हार्डवेयर की मदद से सुरक्षित की गई कुंजी में होनी चाहिए.

रूट सर्टिफ़िकेट

पुष्टि करने की प्रक्रिया कितनी भरोसेमंद है, यह चेन के रूट सर्टिफ़िकेट पर निर्भर करता है. Android डिवाइसों को Google Play के साथ-साथ, Google के अन्य ऐप्लिकेशन इस्तेमाल करने के लिए, ज़रूरी टेस्टिंग पूरी करनी होती है. ऐसे डिवाइसों को Android 7.0 (एपीआई लेवल 24) या उसके बाद के वर्शन पर लॉन्च किया जाना चाहिए. साथ ही, इन डिवाइसों को Google के हार्डवेयर की पुष्टि करने वाले रूट सर्टिफ़िकेट से साइन की गई पुष्टि करने वाली कुंजियों का इस्तेमाल करना चाहिए. ध्यान दें कि Android 8.0 (एपीआई लेवल 26) तक, पुष्टि करना ज़रूरी नहीं था. रूट सार्वजनिक कुंजी इस तरह की होती है:

पहले जारी किए गए रूट सर्टिफ़िकेट

अगर आपको मिली पुष्टि की चेन में मौजूद रूट सर्टिफ़िकेट में यह सार्वजनिक कुंजी है और चेन में मौजूद किसी भी सर्टिफ़िकेट को रद्द नहीं किया गया है, तो आपको यह पता चलता है कि:

आपकी कुंजी उस हार्डवेयर में हो जिसे Google सुरक्षित मानता हो; और
इसमें, पुष्टि करने वाले सर्टिफ़िकेट में बताई गई प्रॉपर्टी होती हैं.

अगर पुष्टि करने वाली चेन में कोई दूसरी रूट सार्वजनिक कुंजी है, तो Google, हार्डवेयर की सुरक्षा के बारे में कोई दावा नहीं करता. इसका मतलब यह नहीं है कि आपकी कुंजी का इस्तेमाल गलत तरीके से किया जा रहा है. इसका मतलब सिर्फ़ यह है कि पुष्टि करने की प्रक्रिया से यह पता नहीं चलता कि कुंजी सुरक्षित हार्डवेयर में है या नहीं. इसके हिसाब से, अपनी सुरक्षा से जुड़ी मान्यताओं में बदलाव करें.

अगर रूट सर्टिफ़िकेट में इस पेज पर सार्वजनिक कुंजी मौजूद नहीं है, तो इसकी दो वजहें हो सकती हैं:

ऐसा हो सकता है कि डिवाइस को Android 7.0 से पहले के वर्शन के साथ लॉन्च किया गया हो और वह हार्डवेयर की पुष्टि करने की सुविधा के साथ काम न करता हो. इस मामले में, Android में पुष्टि करने के लिए एक सॉफ़्टवेयर लागू किया गया है. यह सॉफ़्टवेयर, पुष्टि करने वाला वही सर्टिफ़िकेट बनाता है. हालांकि, इस पर Android के सोर्स कोड में हार्डकोड की गई पासकोड से हस्ताक्षर किया जाता है. साइनिंग पासकोड को सार्वजनिक तौर पर शेयर किया जाता है. इसलिए, हो सकता है कि हमलावर ने सुरक्षित हार्डवेयर उपलब्ध कराने का दावा करके, पुष्टि करने वाला सर्टिफ़िकेट बनाया हो.
इसकी एक और वजह यह हो सकती है कि डिवाइस, Google Play डिवाइस न हो. ऐसे में, डिवाइस बनाने वाली कंपनी अपने हिसाब से रूट बना सकती है और पुष्टि के बारे में अपनी पसंद के मुताबिक दावे कर सकती है. डिवाइस बनाने वाली कंपनी का दस्तावेज़ देखें. ध्यान दें कि Google को ऐसे किसी भी डिवाइस मैन्युफ़ैक्चरर के बारे में जानकारी नहीं है जिसने ऐसा किया हो.

सर्टिफ़िकेट रद्द करने की स्थिति की सूची

पुष्टि करने वाली कुंजियों को कई वजहों से रद्द किया जा सकता है. इनमें, गलत तरीके से इस्तेमाल करना या हमलावर के पास उनका ऐक्सेस होने का संदेह होना शामिल है. इसलिए, यह ज़रूरी है कि पुष्टि की चेन में मौजूद हर सर्टिफ़िकेट की स्थिति की जांच, सर्टिफ़िकेट रद्द करने की आधिकारिक स्थिति सूची (सीआरएल) के हिसाब से की जाए. इस सूची को Google मैनेज करता है और इसे यहां पब्लिश किया जाता है: https://android.googleapis.com/attestation/status. एचटीटीपी रिस्पॉन्स में मौजूद Cache-Control हेडर से यह तय होता है कि अपडेट की जांच कितनी बार करनी है, ताकि पुष्टि किए जा रहे हर सर्टिफ़िकेट के लिए नेटवर्क अनुरोध की ज़रूरत न पड़े. यह यूआरएल, एक JSON फ़ाइल दिखाता है. इसमें उन सभी सर्टिफ़िकेट के लिए रद्द करने का स्टेटस होता है जिनका सामान्य मान्य स्टेटस नहीं है. JSON फ़ाइल का फ़ॉर्मैट, JSON स्कीमा (ड्राफ़्ट 07) की इस परिभाषा के मुताबिक होना चाहिए:

{
  "$schema": "http://json-schema.org/draft-07/schema#",
  "type": "object",
  "properties": {
    "entries": {
      "description" : "Each entry represents the status of an attestation key. The dictionary-key is the certificate serial number in lowercase hex.",
      "type": "object",
      "propertyNames": {
        "pattern": "^[a-f1-9][a-f0-9]*$"
      },
      "additionalProperties": {
        "type": "object",
        "properties": {
          "status": {
            "description": "[REQUIRED] Current status of the key.",
            "type": "string",
            "enum": ["REVOKED", "SUSPENDED"]
          },
          "expires": {
            "description": "[OPTIONAL] UTC date when certificate expires in ISO8601 format (YYYY-MM-DD). Can be used to clear expired certificates from the status list.",
            "type": "string",
            "format": "date"
          },
          "reason": {
            "description": "[OPTIONAL] Reason for the current status.",
            "type": "string",
            "enum": ["UNSPECIFIED", "KEY_COMPROMISE", "CA_COMPROMISE", "SUPERSEDED", "SOFTWARE_FLAW"]
          },
          "comment": {
            "description": "[OPTIONAL] Free form comment about the key status.",
            "type": "string",
            "maxLength": 140
          }
        },
        "required": ["status"],
        "additionalProperties": false
      }
    }
  },
  "required": ["entries"],
  "additionalProperties": false
}

सीआरएल का उदाहरण:

{
  "entries": {
    "2c8cdddfd5e03bfc": {
      "status": "REVOKED",
      "expires": "2020-11-13",
      "reason": "KEY_COMPROMISE",
      "comment": "Key stored on unsecure system"
    },
    "c8966fcb2fbb0d7a": {
      "status": "SUSPENDED",
      "reason": "SOFTWARE_FLAW",
      "comment": "Bug in keystore causes this key malfunction b/555555"
    }
  }
}