Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

التحقُّق من أزواج المفاتيح المستنِدة إلى الأجهزة باستخدام مصادقة المفتاح

تمنحك ميزة "مصادقة المفتاح" مزيدًا من الثقة بأنّ المفاتيح التي تستخدمها في تطبيقك مخزَّنة في ملف تخزين المفاتيح المُدمَج بشكل آمن في الأجهزة. تصف الأقسام التالية كيفية التحقّق من خصائص المفاتيح المُدمَجة بشكل آمن في الأجهزة وكيفية تفسير بيانات الإضافة في شهادات المصادقة.

قبل البدء: تأكَّد من أنّ جهازك يتيح ميزة "مصادقة المفتاح" على مستوى الأجهزة

قبل التحقّق من خصائص المفاتيح المُدمَجة بشكل آمن في الأجهزة على جهاز في بيئة إنتاج، تأكَّد من أنّ الجهاز يتيح ميزة "مصادقة المفتاح" على مستوى الأجهزة. لإجراء ذلك، تأكَّد من أنّ سلسلة شهادات المصادقة تحتوي على شهادة جذر موقَّعة باستخدام مفتاح جذر المصادقة من Google وأنّ العنصر attestationSecurityLevel ضِمن بنية بيانات وصف المفتاح مضبوط على مستوى الأمان TrustedEnvironment أو على مستوى الأمان StrongBox.

بالإضافة إلى ذلك، من المهم التحقّق من التواقيع في سلسلة الشهادات والتأكّد من أنّه لم يتم إبطال أي من المفاتيح في السلسلة من خلال التحقّق من قائمة حالة إبطال الشهادات. إذا لم تكن جميع الشهادات صالحة ولم يكن مفتاح الجذر هو مفتاح الجذر من Google، لا تثق في المصادقة بشكل كامل.

استرداد زوج من المفاتيح المُدمَجة بشكل آمن في الأجهزة والتحقّق منه

أثناء عملية "مصادقة المفتاح"، يمكنك تحديد الاسم المستعار لزوج من المفاتيح واسترداد سلسلة الشهادات الخاصة به، والتي يمكنك استخدامها للتحقّق من خصائص زوج المفاتيح هذا.

إذا كان الجهاز يتيح ميزة "مصادقة المفتاح" على مستوى الأجهزة، يتم توقيع شهادة الجذر ضِمن هذه السلسلة باستخدام مفتاح جذر المصادقة الذي يتم توفيره بشكل آمن لملف تخزين المفاتيح المُدمَج بشكل آمن في الأجهزة.

لتنفيذ ميزة "مصادقة المفتاح"، أكمل الخطوات التالية:

استخدِم طريقة KeyStore لكائن getCertificateChain() للحصول على مرجع لسلسلة شهادات X.509 المرتبطة بـ ملف تخزين المفاتيح المُدمَج بشكل آمن في الأجهزة.
أرسِل الشهادات إلى خادم منفصل تثق به للتحقّق من صحتها.

تنبيه: لا تُكمل عملية التحقّق التالية على الجهاز نفسه. إذا تم اختراق نظام Android على هذا الجهاز قد يؤدي ذلك إلى أن تثق عملية التحقّق في شيء غير موثوق به.
احصل على مرجع لمكتبة تحليل سلسلة شهادات X.509 والتحقّق من صحتها الأكثر ملاءمةً لمجموعة أدواتك. تأكَّد من أنّ شهادة الجذر العامة موثوق بها وأنّ كل شهادة توقِّع على الشهادة التالية في السلسلة.
تحقَّق من حالة إبطال كل شهادة للتأكّد من أنّه لم يتم إبطال أي من الشهادات.
يمكنك اختياريًا فحص إضافة شهادة معلومات التزويد التي لا تظهر إلا في سلاسل الشهادات الأحدث.

احصل على مرجع لمكتبة محلّل CBOR الأكثر ملاءمةً لـ مجموعة أدواتك. ابحث عن أقرب شهادة إلى الجذر تحتوي على إضافة شهادة معلومات التزويد. استخدِم المحلّل لاستخراج بيانات إضافة شهادة معلومات التزويد من هذه الشهادة.

راجِع قسم إضافة معلومات التزويد لمزيد من التفاصيل.
احصل على مرجع لمكتبة محلّل ASN.1 الأكثر ملاءمةً لمجموعة أدواتك. ابحث عن أقرب شهادة إلى الجذر تحتوي على إضافة شهادة "مصادقة المفتاح". إذا كانت إضافة شهادة معلومات التزويد متوفّرة، يجب أن تكون إضافة شهادة "مصادقة المفتاح" في الشهادة التالية مباشرةً. استخدِم المحلّل لاستخراج بيانات إضافة شهادة "مصادقة المفتاح" من هذه الشهادة.

تنبيه: لا تفترض أنّ إضافة شهادة "مصادقة المفتاح" مصادقة المفتاح" موجودة في شهادة الورقة في السلسلة. لا يمكن الوثوق إلا بأول ظهور للإضافة في السلسلة. لم تصدر الأجهزة الآمنة أي حالات أخرى للإضافة، وربما أصدرها مهاجم يوسّع السلسلة أثناء محاولة إنشاء شهادات مصادقة مزيفة لمفاتيح غير موثوق بها.

يستخدِم نموذج Key Attestation sample محلّل ASN.1 من Bouncy Castle لاستخراج بيانات إضافة شهادة المص101} attestation certificate'sادقة. يمكنك استخدام هذا النموذج كـ مرجع لإنشاء المحلّل الخاص بك.

راجِع قسم مخطط بيانات إضافة "مصادقة المفتاح" لمزيد من التفاصيل.
تحقَّق من بيانات الإضافة التي استرددتها في الخطوات السابقة للتأكّد من اتساقها وقارِنها بمجموعة القيم التي تتوقع أن يحتوي عليها المفتاح المُدمَج بشكل آمن في الأجهزة.

شهادات الجذر

تعتمد موثوقية المصادقة على شهادة الجذر في السلسلة. يجب أن تستخدم أجهزة Android التي اجتازت الاختبار المطلوب للحصول على مجموعة تطبيقات Google، بما في ذلك Google Play، والتي تم إطلاقها مع الإصدار Android 7.0 (المستوى 24 من واجهة برمجة التطبيقات) أو الإصدارات الأحدث، مفاتيح المصادقة الموقَّعة من شهادة الجذر من Google لمصادقة الأجهزة. يُرجى العِلم أنّه لم يكن مطلوبًا إجراء المصادقة حتى الإصدار Android 8.0 (المستوى 26 من واجهة برمجة التطبيقات). يمكن تنزيل مجموعة شهادات الجذر الصالحة كـ صفيف منسّق بتنسيق JSON.

Root Certificates

يجب استخدام شهادتي الجذر التاليتَين كمرتكزات موثوقية عند التحقّق من سلسلة شهادات "مصادقة المفتاح" .

Previously Issued Root Certificates

إذا كانت شهادة الجذر في سلسلة المصادقة التي تتلقّاها تحتوي على هذا المفتاح العام و لم يتم إبطال أي من الشهادات في السلسلة، يعني ذلك ما يلي:

مفتاحك موجود في جهاز تعتقد Google أنّه آمن.
يحتوي على الخصائص الموضّحة في شهادة المصادقة.

إذا كانت سلسلة المصادقة تحتوي على أي مفتاح عام آخر للجذر، لا تقدّم Google أي تأكيدات بشأن أمان الجهاز. لا يعني ذلك أنّ مفتاحك قد تم اختراقه، بل يعني فقط أنّ الـ مصادقة لا تثبت أنّ المفتاح موجود في جهاز آمن. عدِّل افتراضاتك الأمنية وفقًا لذلك.

إذا كانت شهادة الجذر لا تحتوي على المفتاح العام في هذه الصفحة، هناك سببان محتملان لذلك:

على الأرجح، تم إطلاق الجهاز بإصدار Android أقل من 7.0 ولا يتيح ميزة مصادقة الأجهزة. في هذه الحالة، يتضمّن Android تنفيذًا برمجيًا لميزة "مصادقة الأجهزة" ينتج النوع نفسه من شهادة المصادقة، ولكن يتم توقيعها باستخدام مفتاح مضمّن في رمز مصدر Android. بما أنّ مفتاح التوقيع هذا ليس سرًا، ربما أنشأ المصادقة مهاجم يتظاهر بتوفير جهاز آمن.
السبب المحتمل الآخر هو أنّ الجهاز ليس جهاز Google Play. في هذه الحالة، يحق للشركة المصنّعة للجهاز إنشاء شهادة الجذر الخاصة بها وتحديد معنى بيانات المصادقة الخاصة بها. راجِع مستندات الشركة المصنّعة للجهاز. يُرجى العِلم أنّ Google لا تعرف أي شركات مصنّعة للأجهزة فعلت ذلك.

إيقاف استخدام مفاتيح المصنع تدريجيًا: توفير المفاتيح عن بُعد (RKP)

بالنسبة إلى الأجهزة التي يتم إطلاقها مع الإصدار Android 16، لا يتيح النظام سوى ميزة "توفير المفاتيح عن بُعد". تؤدي هذه السياسة إلى إيقاف استخدام مفاتيح المصنع تدريجيًا. وتحسّن طريقة توفير مفاتيح المصادقة وإدارتها، وتوسّع نطاق سياسة Android 15 التي كانت تتيح ميزة "توفير المفاتيح عن بُعد" بشكل اختياري. تمنع ميزة "توفير المفاتيح عن بُعد" تسرُّب المفاتيح لأنّ النظام لا يبرمج المفاتيح مباشرةً على الجهاز. لا يمكنك حذف هذه المفاتيح من الجهاز. إذا كان عليك إبطال مفتاح، يمكنك استهداف الـ إبطال لجهاز واحد.

مكتبات التحقّق من المصادقة

استخدِم مكتبة التحقّق من المصادقة في Kotlinللتحقّق من سلاسل شهادات "مصادقة المفتاح". إذا كنت تستخدم أداة تحقّق مختلفة، ننصحك بالانتقال إلى مكتبة Kotlin بدلاً من ذلك. لقد تم اختبارها جيدًا، وتغطّي الحالات القصوى التي غالبًا ما يتم إغفالها من قِبل أدوات التحقّق المخصّصة.

قائمة حالة إبطال الشهادات

يمكن إبطال مفاتيح المصادقة لعدد من الأسباب، بما في ذلك سوء التعامل معها أو الاشتباه في استخراجها من قِبل مهاجم. لذلك، من المهم التحقّق من حالة كل شهادة في سلسلة المصادقة مقارنةً بقائمة حالة إبطال الشهادات الرسمية. تتولى Google صيانة هذه القائمة ونشرها على الرابط: https://android.googleapis.com/attestation/status. يحدّد عنوان Cache-Control في استجابة HTTP عدد مرات التحقّق من التحديثات، لذا لا يكون طلب الشبكة مطلوبًا لكل شهادة يتم التحقّق منها. يعرض عنوان URL هذا ملف JSON يحتوي على حالة الإبطال لأي شهادات لا تتضمّن حالة صالحة عادية. يتّبع تنسيق ملف JSON تعريف مسودة JSON Schema 07 التالية:

{
  "$schema": "http://json-schema.org/draft-07/schema#",
  "type": "object",
  "properties": {
    "entries": {
      "description" : "Each entry represents the status of an attestation key. The dictionary-key is the certificate serial number in lowercase hex.",
      "type": "object",
      "propertyNames": {
        "pattern": "^[a-f1-9][a-f0-9]*$"
      },
      "additionalProperties": {
        "type": "object",
        "properties": {
          "status": {
            "description": "[REQUIRED] Current status of the key.",
            "type": "string",
            "enum": ["REVOKED", "SUSPENDED"]
          },
          "expires": {
            "description": "[OPTIONAL] UTC date when certificate expires in ISO8601 format (YYYY-MM-DD). Can be used to clear expired certificates from the status list.",
            "type": "string",
            "format": "date"
          },
          "reason": {
            "description": "[OPTIONAL] Reason for the current status.",
            "type": "string",
            "enum": ["UNSPECIFIED", "KEY_COMPROMISE", "CA_COMPROMISE", "SUPERSEDED", "SOFTWARE_FLAW"]
          },
          "comment": {
            "description": "[OPTIONAL] Free form comment about the key status.",
            "type": "string",
            "maxLength": 140
          }
        },
        "required": ["status"],
        "additionalProperties": false
      }
    }
  },
  "required": ["entries"],
  "additionalProperties": false
}

مثال على قائمة حالة إبطال الشهادات:

{
  "entries": {
    "2c8cdddfd5e03bfc": {
      "status": "REVOKED",
      "expires": "2020-11-13",
      "reason": "KEY_COMPROMISE",
      "comment": "Key stored on unsecure system"
    },
    "c8966fcb2fbb0d7a": {
      "status": "SUSPENDED",
      "reason": "SOFTWARE_FLAW",
      "comment": "Bug in keystore causes this key malfunction b/555555"
    }
  }
}

مفاتيح المصنع المنتهية الصلاحية: لا تزال موثوقًا بها

تحتوي الأجهزة التي تم إطلاقها قبل عام 2021 على مفاتيح مصادقة تتضمّن شهادات منتهية الصلاحية. تظل هذه المفاتيح موثوقًا بها ما لم تظهر في قائمة الشهادات الباطلة. ننصحك بمواصلة الوثوق بالشهادات التي ترتبط بشهادة الجذر التي تحمل الموضوع SERIALNUMBER=f92009e853b6b045، بغض النظر عن فترة صلاحية الشهادة. من المهم، مع ذلك، التأكّد من مواصلة التحقّق من فترة صلاحية شهادات "توفير المفاتيح عن بُعد" . تُعد فترة انتهاء الصلاحية الأقصر لشهادات "توفير المفاتيح عن بُعد" اعتبارًا مهمًا لنموذج التهديد، وتهدف إلى السماح بالردود الأسرع على حالات الاختراق. تتعامل مكتبة Kotlin للتحقّق من "مصادقة المفتاح" مع انتهاء الصلاحية بشكل صحيح في جميع الحالات.

سياسة إبطال الشهادات

تشكّل المصادقة أساس مكافحة إساءة الاستخدام والثقة في نظام Android. وتقدّم بيانًا يمكن التحقّق منه باستخدام التشفير لأطراف خارج الجهاز بشأن حالة تشغيل الجهاز.

سيتم إبطال شهادات مفاتيح المصادقة على Android عند اختراق المفاتيح، نظرًا إلى الطبيعة المهمة لصلاحية المصادقة. يحدّد هذا القسم سياسة بشأن الحالات التي يتم فيها إبطال الشهادات. من المرجّح أن تتطوّر هذه السياسة وتعدّد حالات إضافية بمرور الوقت.

ما هي الحالات المؤهّلة للإبطال؟

تكون مفاتيح المصادقة التي تم تسرُّبها مؤهّلة دائمًا لإبطال شهاداتها. يمكن اكتشاف حالات التسرُّب بعدة طرق، بما في ذلك:

تحليل بيانات المصادقة في بيئة الإنتاج
اكتشاف مفاتيح المصادقة على وسائل التواصل الاجتماعي أو المواقع الإلكترونية العامة الأخرى
التقارير الواردة مباشرةً من باحثي الأمان

عند الاكتشاف، سيتم إبطال شهادات المصادقة من خلال إضافة أرقامها التسلسلية إلى قائمة الشهادات الباطلة. يحدث ذلك عادةً في غضون عدة أيام من الاكتشاف، ولكن قد يستغرق وقتًا أطول في حالات نادرة. على سبيل المثال، يتم عادةً تأخير إبطال شهادات مفاتيح المصادقة التي تم تسرُّبها إذا كان من الممكن إعادة تزويد الأجهزة المتأثرة بالإبطال بشكل آمن. يُعد نطاق تأثير الإبطال أيضًا عاملاً مهمًا في الجداول الزمنية للإبطال.