Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

التحقُّق من أزواج المفاتيح المستنِدة إلى الأجهزة باستخدام مصادقة المفتاح

تمنحك ميزة "مصادقة المفتاح" ثقة أكبر بأنّ المفاتيح التي تستخدمها في تطبيقك مخزَّنة في ملف تخزين المفاتيح المُدمَج بشكل آمن في الأجهزة. توضّح الأقسام التالية كيفية التحقّق من خصائص المفاتيح المُدمَجة بشكل آمن في الأجهزة وكيفية تفسير بيانات الإضافة في شهادات المصادقة.

قبل البدء: تأكَّد من أنّ جهازك يتيح ميزة "مصادقة المفتاح" على مستوى الأجهزة

قبل التحقّق من خصائص المفاتيح المُدمَجة بشكل آمن في الأجهزة على جهاز في بيئة إنتاج، تأكَّد من أنّ الجهاز يتيح ميزة "مصادقة المفتاح" على مستوى الأجهزة. لإجراء ذلك، تأكَّد من أنّ سلسلة شهادات المصادقة تحتوي على شهادة جذر موقَّعة باستخدام مفتاح جذر المصادقة من Google وأنّ العنصر attestationSecurityLevel ضمن بنية بيانات وصف المفتاح مضبوط على مستوى الأمان TrustedEnvironment أو على مستوى الأمان StrongBox.

بالإضافة إلى ذلك، من المهم التحقّق من التواقيع في سلسلة الشهادات والتأكّد من أنّه لم يتم إبطال أي من المفاتيح في السلسلة من خلال التحقّق من قائمة حالة إبطال الشهادات. لا تثق في المصادقة بشكل كامل إلا إذا كانت جميع الشهادات صالحة وكانت الشهادة الجذرية هي مفتاح الجذر من Google.

استرداد زوج من المفاتيح المستندة إلى الأجهزة والتحقّق منه

أثناء عملية "مصادقة المفتاح"، يمكنك تحديد الاسم المستعار لزوج من المفاتيح واسترداد سلسلة الشهادات الخاصة به، والتي يمكنك استخدامها للتحقّق من خصائص زوج المفاتيح هذا.

إذا كان الجهاز يتيح ميزة "تصديق المفاتيح" على مستوى الأجهزة، يتم توقيع شهادة الجذر ضمن هذه السلسلة باستخدام مفتاح جذر المصادقة الذي يتم توفيره بشكل آمن لملف تخزين المفاتيح المستنِد إلى الأجهزة.

لتنفيذ ميزة "مصادقة المفتاح"، أكمل الخطوات التالية:

استخدِم طريقة KeyStore لعنصر getCertificateChain() للحصول على مرجع لسلسلة شهادات معيار X.509 المرتبطة بـ ملف تخزين المفاتيح المستنِد إلى الأجهزة.
أرسِل الشهادات إلى خادم منفصل تثق به لإجراء عملية التحقّق.

تنبيه: لا تُكمل عملية التحقّق التالية على الجهاز نفسه. إذا تم اختراق نظام Android على هذا الجهاز قد يؤدي ذلك إلى أن تثق عملية التحقّق في شيء غير موثوق به.
احصل على مرجع لمكتبة تحليل سلسلة شهادات X.509 والتحقّق منها الأكثر ملاءمةً لمجموعة أدواتك. تأكَّد من أنّ شهادة الجذر العامة موثوق بها وأنّ كل شهادة توقِّع على الشهادة التالية في السلسلة.
تحقَّق من حالة إبطال كل شهادة للتأكّد من أنّه لم يتم إبطال أي من الشهادات.
يمكنك اختياريًا فحص إضافة شهادة معلومات التزويد التي تظهر فقط في سلاسل الشهادات الأحدث.

احصل على مرجع لمكتبة محلّل CBOR الأكثر ملاءمةً لـ مجموعة أدواتك. ابحث عن أقرب شهادة إلى الشهادة الجذرية تحتوي على إضافة شهادة معلومات التزويد. استخدِم المحلّل لاستخراج بيانات إضافة شهادة معلومات التزويد من تلك الشهادة.

لمزيد من التفاصيل، يُرجى الاطّلاع على قسم إضافة معلومات التزويد .
احصل على مرجع لمكتبة محلّل ASN.1 الأكثر ملاءمةً لمجموعة أدواتك. ابحث عن أقرب شهادة إلى الشهادة الجذرية تحتوي على إضافة شهادة "مصادقة المفتاح". إذا كانت إضافة شهادة معلومات التزويد متوفّرة، يجب أن تكون إضافة شهادة "مصادقة المفتاح" في الشهادة التالية مباشرةً. استخدِم المحلّل لاستخراج بيانات إضافة شهادة "مصادقة المفتاح" من تلك الشهادة.

تنبيه: لا تفترض أنّ إضافة شهادة "مصادقة المفتاح" مصادقة المفتاح" موجودة في شهادة الورقة في السلسلة. لا يمكن الوثوق إلا بأول ظهور للإضافة في السلسلة. لم يتم إصدار أي حالات أخرى للإضافة من قِبل الأجهزة الآمنة، وقد يكون قد أصدرها مهاجم يوسّع السلسلة أثناء محاولة إنشاء شهادات مصادقة مزيفة لمفاتيح غير موثوق بها.

يستخدِم نموذج Key Attestation sample محلّل ASN.1 من Bouncy Castle لاستخراج بيانات إضافة شهادة المص101} attestation certificate'sادقة. يمكنك استخدام هذا النموذج كـ مرجع لإنشاء المحلّل الخاص بك.

لمزيد من التفاصيل، يُرجى الاطّلاع على قسم مخطط بيانات إضافة " مصادقة المفتاح".
تحقَّق من بيانات الإضافة التي استرددتها في الخطوات السابقة للتأكّد من اتساقها وقارِنها بمجموعة القيم التي تتوقّع أن يحتوي عليها المفتاح المستند إلى الأجهزة.

شهادات الجذر

تعتمد موثوقية المصادقة على شهادة الجذر في السلسلة. يجب أن تستخدم أجهزة Android التي اجتازت الاختبار المطلوب للحصول على مجموعة تطبيقات Google، بما في ذلك Google Play، والتي تم إطلاقها باستخدام Android 7.0 (المستوى 24 من واجهة برمجة التطبيقات) أو إصدار أحدث، مفاتيح المصادقة الموقَّعة من قِبل شهادة الجذر للمصادقة على الأجهزة من Google. يُرجى العِلم أنّه لم يكن مطلوبًا إجراء المصادقة حتى إصدار Android 8.0 (المستوى 26 من واجهة برمجة التطبيقات). يمكن تنزيل مجموعة شهادات الجذر الصالحة على شكل مصفوفة منسّقة بتنسيق JSON.

Root Certificates

يجب استخدام شهادتي الجذر التاليتَين كمرتكزات موثوقية عند التحقّق من سلسلة شهادات "مصادقة المفتاح" .

Previously Issued Root Certificates

إذا كانت شهادة الجذر في سلسلة المصادقة التي تتلقّاها تحتوي على هذا المفتاح العام و لم يتم إبطال أي من الشهادات في السلسلة، يعني ذلك ما يلي:

المفتاح موجود في جهاز تعتبره Google آمنًا.
يحتوي على الخصائص الموضّحة في شهادة المصادقة.

إذا كانت سلسلة المصادقة تحتوي على أي مفتاح عام آخر للشهادة الجذرية، لا تقدّم Google أي تأكيدات بشأن أمان الجهاز. لا يعني ذلك أنّ مفتاحك قد تم اختراقه، بل يعني فقط أنّ الـ مصادقة لا تثبت أنّ المفتاح موجود في جهاز آمن. عدِّل افتراضاتك الأمنية وفقًا لذلك.

إذا كانت شهادة الجذر لا تحتوي على المفتاح العام في هذه الصفحة، من المحتمل أن يكون هناك سببان لذلك:

من المرجّح أنّ الجهاز تم إطلاقه بإصدار Android أقل من 7.0 ولا يتيح ميزة مصادقة الأجهزة. في هذه الحالة، يتضمّن Android عملية مصادقة على مستوى البرامج تنتج النوع نفسه من شهادات المصادقة، ولكن يتم توقيعها باستخدام مفتاح مضمّن في رمز مصدر Android. بما أنّ مفتاح التوقيع هذا ليس سرّيًا، قد يكون قد أنشأ المصادقة مهاجم يتظاهر بتقديم جهاز آمن.
السبب المحتمل الآخر هو أنّ الجهاز ليس جهاز Google Play. في هذه الحالة، يحق لمصنّع الجهاز إنشاء شهادة الجذر الخاصة به وتحديد معنى بيانات المصادقة الخاصة به. يُرجى الرجوع إلى مستندات مصنّع الجهاز. يُرجى العِلم أنّ Google لا تعرف أي مصنّعين للأجهزة فعلوا ذلك.

تدوير شهادة الجذر للمصادقة على الأجهزة

تقدّم Google شهادة جذر جديدة لميزة "تصديق مفاتيح Android". يعزّز هذا التغيير أمان عملية المصادقة وموثوقيتها للتطبيقات الحسّاسة. تم إنشاء مفتاح جذر جديد لميزة "تصديق المفاتيح" في Android (KeyMint). الشهادة الجذرية الجديدة هي مفتاح ECDSA P-384.

الإجراءات التي يجب اتخاذها

إذا كان تطبيقك يعتمد على ميزة "تصديق المفاتيح" في Android، أضِف شهادة الجذر الجديدة إلى مخازن الشهادات الموثوق بها بحلول 31 مارس 2026. نزِّل الشهادتَين الجديدة والقديمة من https://android.googleapis.com/attestation/root
ستبدأ الأجهزة التي تستخدم ميزة "تزويد المفاتيح عن بُعد" (RKP) بتلقّي الشهادات المستندة إلى هذه الشهادة الجديدة في فبراير 2026. لن تستخدم الأجهزة التي تم تفعيل ميزة "تزويد المفاتيح عن بُعد" عليها إلا الشهادة الجذرية الجديدة بحلول 10 أبريل 2026.
عدِّل عمليات المصادقة لتثق في كل من شهادات الجذر الجديدة والحالية. لا تتيح الأجهزة القديمة التي تتضمّن مفاتيح تم توفيرها في المصنع تدوير المفاتيح وتستمر في استخدام الشهادة الجذرية القديمة.
سيظل مخطط إضافة الشهادة نفسه بدون تغيير، ولن يتغيّر سوى الشهادة الجذرية.
سيتوفّر كل من الشكل المقروء من قِبل الإنسان والشكل المقروء من قِبل الآلة للشهادة الجذرية الجديدة بشكل علني.

أفضل الممارسات

لا تستخدِم نقطة نهاية للاستعلام عن الشهادات الجذرية الموثوق بها في وقت التشغيل، لأنّ هذا الإجراء يؤدي إلى مخاطر أمنية. تعامَل مع التغييرات التي تطرأ على مرتكزات الموثوقية من خلال عملية رسمية.

إيقاف المفاتيح التي تم توفيرها في المصنع تدريجيًا: ميزة "تزويد المفاتيح عن بُعد" (RKP)

بالنسبة إلى الأجهزة التي يتم إطلاقها باستخدام Android 16، لا يتيح النظام سوى ميزة "تزويد المفاتيح عن بُعد". تؤدي هذه السياسة إلى إيقاف المفاتيح التي تم توفيرها في المصنع تدريجيًا. وتحسّن هذه السياسة طريقة توفير مفاتيح المصادقة وإدارتها، وتوسّع نطاق سياسة Android 15 التي كانت تتيح ميزة "تزويد المفاتيح عن بُعد" بشكل اختياري. تمنع ميزة "تزويد المفاتيح عن بُعد" تسرُّب المفاتيح لأنّ النظام لا يبرمج المفاتيح مباشرةً على الجهاز. لا يمكنك حذف هذه المفاتيح من الجهاز. إذا كان عليك إبطال مفتاح، يمكنك استهداف الجهاز الواحد لإبطاله.

مكتبات التحقّق من المصادقة

استخدِم مكتبة التحقّق من المصادقة في Kotlin للتحقّق من سلاسل شهادات "مصادقة المفتاح". بالإضافة إلى ذلك، تتضمّن هذه المكتبة بالفعل شهادات الجذر الجديدة . إذا كنت تستخدم أداة تحقّق مختلفة، ننصحك بالانتقال إلى مكتبة Kotlin بدلاً من ذلك. تم اختبارها جيدًا، وتغطّي الحالات القصوى التي غالبًا ما يتم إغفالها من قِبل أدوات التحقّق المخصّصة.

قائمة حالة إبطال الشهادات

يمكن إبطال مفاتيح المصادقة لعدد من الأسباب، بما في ذلك سوء التعامل معها أو الاشتباه في استخراجها من قِبل مهاجم. لذلك، من المهم التحقّق من حالة كل شهادة في سلسلة المصادقة مقارنةً بقائمة حالة إبطال الشهادات الرسمية (CRL). تتولى Google صيانة هذه القائمة ونشرها على: https://android.googleapis.com/attestation/status. يحدّد عنوان Cache-Control في استجابة HTTP عدد مرات التحقّق من التحديثات، لذا لا يكون طلب الشبكة مطلوبًا لكل شهادة يتم التحقّق منها. يعرض عنوان URL هذا ملف JSON يحتوي على حالة الإبطال لأي شهادات لا تتضمّن حالة صالحة عادية. يتوافق تنسيق ملف JSON مع تعريف JSON Schema (الإصدار 07) التالي:

{
  "$schema": "http://json-schema.org/draft-07/schema#",
  "type": "object",
  "properties": {
    "entries": {
      "description" : "Each entry represents the status of an attestation key. The dictionary-key is the certificate serial number in lowercase hex.",
      "type": "object",
      "propertyNames": {
        "pattern": "^[a-f1-9][a-f0-9]*$"
      },
      "additionalProperties": {
        "type": "object",
        "properties": {
          "status": {
            "description": "[REQUIRED] Current status of the key.",
            "type": "string",
            "enum": ["REVOKED", "SUSPENDED"]
          },
          "expires": {
            "description": "[OPTIONAL] UTC date when certificate expires in ISO8601 format (YYYY-MM-DD). Can be used to clear expired certificates from the status list.",
            "type": "string",
            "format": "date"
          },
          "reason": {
            "description": "[OPTIONAL] Reason for the current status.",
            "type": "string",
            "enum": ["UNSPECIFIED", "KEY_COMPROMISE", "CA_COMPROMISE", "SUPERSEDED", "SOFTWARE_FLAW"]
          },
          "comment": {
            "description": "[OPTIONAL] Free form comment about the key status.",
            "type": "string",
            "maxLength": 140
          }
        },
        "required": ["status"],
        "additionalProperties": false
      }
    }
  },
  "required": ["entries"],
  "additionalProperties": false
}

مثال على قائمة حالة إبطال الشهادات:

{
  "entries": {
    "2c8cdddfd5e03bfc": {
      "status": "REVOKED",
      "expires": "2020-11-13",
      "reason": "KEY_COMPROMISE",
      "comment": "Key stored on unsecure system"
    },
    "c8966fcb2fbb0d7a": {
      "status": "SUSPENDED",
      "reason": "SOFTWARE_FLAW",
      "comment": "Bug in keystore causes this key malfunction b/555555"
    }
  }
}

سياسة إبطال الشهادات

تشكّل المصادقة أساس مكافحة إساءة الاستخدام والموثوقية في نظام Android. وتقدّم بيانًا يمكن التحقّق منه باستخدام التشفير للأطراف خارج الجهاز بشأن حالة تشغيل الجهاز.

سيتم إبطال شهادات مفاتيح المصادقة على Android عند اختراق المفاتيح، نظرًا إلى الطبيعة المهمة لصلاحية المصادقة. يحدّد هذا القسم سياسة بشأن الحالات التي يتم فيها إبطال الشهادات. من المرجّح أن تتطوّر هذه السياسة وتدرج حالات إضافية بمرور الوقت.

ما هي الحالات التي تستدعي الإبطال؟

تكون مفاتيح المصادقة التي تم تسرُّبها مؤهّلة دائمًا لإبطال شهاداتها. يمكن اكتشاف التسرُّبات بعدة طرق، بما في ذلك:

تحليل بيانات المصادقة في بيئات الإنتاج
اكتشاف مفاتيح المصادقة على وسائل التواصل الاجتماعي أو المواقع الإلكترونية العامة الأخرى
التقارير الواردة مباشرةً من باحثي الأمان

عند اكتشاف شهادات المصادقة، سيتم إبطالها من خلال إضافة أرقامها التسلسلية إلى قائمة الإبطال. يحدث ذلك عادةً في غضون عدة أيام من الاكتشاف، ولكن قد يستغرق وقتًا أطول في حالات نادرة. على سبيل المثال، يتم عادةً تأخير إبطال شهادات مفاتيح المصادقة التي تم تسرُّبها إذا كان من الممكن إعادة تزويد الأجهزة المتأثرة بالإبطال بشكل آمن. يُعد نطاق تأثير الإبطال أيضًا عاملاً مهمًا في الجداول الزمنية للإبطال.

التحقُّق من أزواج المفاتيح المستنِدة إلى الأجهزة باستخدام مصادقة المفتاح

قبل البدء: تأكَّد من أنّ جهازك يتيح ميزة "مصادقة المفتاح" على مستوى الأجهزة

استرداد زوج من المفاتيح المستندة إلى الأجهزة والتحقّق منه

شهادات الجذر

تدوير شهادة الجذر للمصادقة على الأجهزة

الإجراءات التي يجب اتخاذها

أفضل الممارسات

إيقاف المفاتيح التي تم توفيرها في المصنع تدريجيًا: ميزة "تزويد المفاتيح عن بُعد" (RKP)

مكتبات التحقّق من المصادقة

قائمة حالة إبطال الشهادات

سياسة إبطال الشهادات

ما هي الحالات التي تستدعي الإبطال؟

مخطط بيانات إضافة "مصادقة المفتاح"

مخطط بيانات إضافة معلومات التزويد

التحقُّق من أزواج المفاتيح المستنِدة إلى الأجهزة باستخدام مصادقة المفتاح تنظيم صفحاتك في مجموعات يمكنك حفظ المحتوى وتصنيفه حسب إعداداتك المفضّلة.

قبل البدء: تأكَّد من أنّ جهازك يتيح ميزة "مصادقة المفتاح" على مستوى الأجهزة

استرداد زوج من المفاتيح المستندة إلى الأجهزة والتحقّق منه

شهادات الجذر

تدوير شهادة الجذر للمصادقة على الأجهزة

الإجراءات التي يجب اتخاذها

أفضل الممارسات

إيقاف المفاتيح التي تم توفيرها في المصنع تدريجيًا: ميزة "تزويد المفاتيح عن بُعد" (RKP)

مكتبات التحقّق من المصادقة

قائمة حالة إبطال الشهادات

سياسة إبطال الشهادات

ما هي الحالات التي تستدعي الإبطال؟

مخطط بيانات إضافة "مصادقة المفتاح"

مخطط بيانات إضافة معلومات التزويد

التحقُّق من أزواج المفاتيح المستنِدة إلى الأجهزة باستخدام مصادقة المفتاح