Bu sayfa, Cloud Translation API ile çevrilmiştir.

Anahtar onayı ile donanım destekli anahtar çiftlerini doğrulama

Anahtar doğrulaması, uygulamanızda kullandığınız anahtarların bir cihazın donanım destekli anahtar deposunda depolandığından daha emin olmanızı sağlar. Aşağıdaki bölümlerde, donanım destekli anahtarların özelliklerinin nasıl doğrulanacağı ve doğrulama sertifikalarının uzantı verilerinin nasıl yorumlanacağı açıklanmaktadır.

Not: Bir cihazın donanım destekli anahtarlarının özelliklerini üretim düzeyinde bir ortamda doğrulamadan önce cihazın donanım düzeyinde anahtar onayını desteklediğinden emin olun. Bunu yapmak için doğrulama sertifikası zincirinin, Google doğrulama kök anahtarıyla imzalanan bir kök sertifika içerdiğinden ve anahtar açıklaması veri yapısındaki attestationSecurityLevel öğesinin TrustedEnvironment güvenlik seviyesine veya StrongBox güvenlik seviyesine ayarlandığından emin olun.

Ayrıca, sertifika iptal durumu listesini kontrol ederek sertifika zincirindeki imzaları doğrulamak ve zincirdeki anahtarların hiçbirinin iptal edilmediğini onaylamak önemlidir. Hepsi geçerli değilse ve kök, Google kök anahtarı değilse sertifikaya tam olarak güvenmeyin. Bununla birlikte, iptal edilmiş sertifikalar içeren cihazların, en az yalnızca yazılım onayını destekleyen cihazlar kadar güvenilir olduğunu unutmayın. Tam geçerlilik onayı, olumlu bir göstergedir. Bir şeyin olmaması nötr (olumsuz değil) bir göstergedir.

Donanım destekli anahtar çiftini alma ve doğrulama

Anahtar onayı sırasında bir anahtar çiftinin takma adını belirtir ve sertifika zincirini alırsınız. Bu sertifika zincirini, anahtar çiftinin özelliklerini doğrulamak için kullanabilirsiniz.

Cihaz donanım düzeyinde anahtar onayı destekliyorsa bu zincirdeki kök sertifika, cihazın donanım destekli anahtar deposunda güvenli bir şekilde temel hazırlığı yapılan bir doğrulama kök anahtarı kullanılarak imzalanır.

Not: Donanım düzeyinde anahtar onayı, Android 7.0 (API düzeyi 24) veya sonraki sürümler ve Google Play Hizmetleri ile birlikte gönderilen cihazlarda kök sertifika, Google onay kök anahtarıyla imzalanır. Bu kök sertifikanın, kök sertifikalar bölümünde listelenenler arasında olduğundan emin olun.

Anahtar onayını uygulamak için aşağıdaki adımları tamamlayın:

Donanım destekli anahtar deposuyla ilişkili X.509 sertifika zincirinin referansını almak için bir KeyStore nesnesinin getCertificateChain() yöntemini kullanın.
Sertifikaları, doğrulama için güvendiğiniz ayrı bir sunucuya gönderin.

Dikkat: Aşağıdaki doğrulama işlemini KeyStore ile aynı cihazda tamamlamayın. Söz konusu cihazdaki Android sisteminin güvenliği ihlal edilmişse doğrulama sürecinin güvenilir olmayan bir şeye güvenmesine neden olabilir.
Araç grubunuz için en uygun olan X.509 sertifika zinciri ayrıştırma ve doğrulama kitaplığına yönelik bir referans edinin. Kök genel sertifikanın güvenilir olduğundan ve her sertifikanın zincirdeki sonraki sertifikayı imzaladığından emin olun.
Sertifikaların hiçbirinin iptal edilmediğinden emin olmak için her sertifikanın iptal durumunu kontrol edin.
İsteğe bağlı olarak, yalnızca yeni sertifika zincirlerinde bulunan temel hazırlık bilgileri sertifika uzantısını inceleyin.

Araç setinize en uygun CBOR ayrıştırıcı kitaplığının referansını edinin. Temel hazırlık bilgileri sertifika uzantısını içeren köke en yakın sertifikayı bulun. Bu sertifikadaki temel hazırlama bilgileri sertifika uzantısı verilerini ayıklamak için ayrıştırıcıyı kullanın.

Daha fazla bilgi için temel hazırlama bilgileri uzantı veri şeması ile ilgili bölümü inceleyin.
Araç setiniz için en uygun ASN.1 ayrıştırıcı kitaplığının referansını edinin. Köke en yakın, anahtar doğrulama sertifikası uzantısını içeren sertifikayı bulun. Temel hazırlık bilgileri sertifika uzantısı varsa anahtar onayı sertifikası uzantısı hemen bir sonraki sertifikada yer almalıdır. Anahtar doğrulama sertifikası uzantısı verilerini bu sertifikadan ayıklamak için ayrıştırıcıyı kullanın.

Dikkat: Anahtar doğrulama sertifikası uzantısının zincirin son sertifikasında olduğunu varsaymayın. Uzantının yalnızca zincirdeki ilk oluşumuna güvenilebilir. Uzatmayla ilgili diğer tüm örnekler güvenli donanım tarafından yayınlanmamıştır ve güvenilmeyen anahtarlar için sahte onay oluşturmaya çalışırken zinciri uzatan bir saldırgan tarafından yayınlanmış olabilir.

Anahtar Onaylama örneği, onaylama sertifikasının uzantı verilerini ayıklamak için Bouncy Castle'daki ASN.1 ayrıştırıcısını kullanır. Kendi ayrıştırıcınızı oluşturmak için bu örneği referans olarak kullanabilirsiniz.

Daha fazla bilgi için anahtar doğrulama uzantısı veri şeması ile ilgili bölüme bakın.
Önceki adımlarda aldığınız uzantı verilerini tutarlılık açısından kontrol edin ve bu verileri, donanım destekli anahtarın içermesini beklediğiniz değer grubuyla karşılaştırın.

Kök sertifikalar

Onay belgesinin güvenilirliği, zincirin kök sertifikasına bağlıdır. Google Play dahil olmak üzere Google uygulama paketine sahip olmak için gereken testi geçmiş ve Android 7.0 (API düzeyi 24) veya sonraki sürümlerle kullanıma sunulmuş Android cihazlar, Google Donanım Onaylama Kök Sertifikası tarafından imzalanmış doğrulama anahtarları kullanmalıdır. Android 8.0'a (API düzeyi 26) kadar doğrulamanın gerekli olmadığını unutmayın. Kök ortak anahtarı aşağıdaki gibidir:

Daha Önce Yayınlanan Kök Sertifikalar

Aldığınız doğrulama zincirindeki kök sertifika bu ortak anahtarı içeriyorsa ve zincirdeki sertifikaların hiçbiri iptal edilmemişse şunları bilebilirsiniz:

Anahtarınız, Google'ın güvenli olduğunu düşündüğü donanımdadır ve
Onay sertifikasında açıklanan özelliklere sahiptir.

Onay zincirinde başka bir kök ortak anahtar varsa Google, donanımın güvenliği hakkında herhangi bir iddiada bulunmaz. Bu, anahtarınızın güvenliğinin ihlal edildiği anlamına gelmez. Yalnızca onay, anahtarın güvenli donanımda olduğunu kanıtlamaz. Güvenlik varsayımlarınızı buna göre ayarlayın.

Kök sertifika bu sayfada ortak anahtarı içermiyorsa bunun iki olası nedeni vardır:

Cihaz büyük olasılıkla 7.0'dan eski bir Android sürümüyle kullanıma sunulmuş ve donanım doğrulamasını desteklemiyordur. Bu durumda Android, aynı türde onay sertifikası oluşturan ancak Android kaynak koduna kodlanmış bir anahtarla imzalanan bir onay yazılımı uygulamasına sahiptir. Bu imzalama anahtarı gizli olmadığından onay, güvenli donanım sağladığını iddia eden bir saldırgan tarafından oluşturulmuş olabilir.
Diğer olası neden, cihazın Google Play cihazı olmamasıdır. Bu durumda, cihaz üreticisi kendi kökünü oluşturabilir ve doğrulamanın ne anlama geldiğiyle ilgili istediği iddialarda bulunabilir. Cihaz üreticisinin dokümanlarına bakın. Google'ın, bu tür bir işlem yapan herhangi bir cihaz üreticisi

Sertifika iptal durumu listesi

Onay anahtarları, yanlış işleme veya bir saldırgan tarafından şüphelenilmesi gibi çeşitli nedenlerle iptal edilebilir. Bu nedenle, bir doğrulama zincirindeki her bir sertifikanın durumunun resmi sertifika iptal durumu listesinde (CRL) kontrol edilmesi önemlidir. Bu liste Google tarafından yönetilir ve şu adreste yayınlanır: https://android.googleapis.com/attestation/status. HTTP yanıtındaki Cache-Control başlığı, güncellemelerin ne sıklıkta kontrol edileceğini belirler. Böylece, doğrulanan her sertifika için ağ isteği gerekmez. Bu URL, normal geçerli bir duruma sahip olmayan tüm sertifikaların iptal durumunu içeren bir JSON dosyası döndürür. JSON dosyasının biçimi aşağıdaki JSON şeması (taslak 07) tanımına uygun olmalıdır:

{
  "$schema": "http://json-schema.org/draft-07/schema#",
  "type": "object",
  "properties": {
    "entries": {
      "description" : "Each entry represents the status of an attestation key. The dictionary-key is the certificate serial number in lowercase hex.",
      "type": "object",
      "propertyNames": {
        "pattern": "^[a-f1-9][a-f0-9]*$"
      },
      "additionalProperties": {
        "type": "object",
        "properties": {
          "status": {
            "description": "[REQUIRED] Current status of the key.",
            "type": "string",
            "enum": ["REVOKED", "SUSPENDED"]
          },
          "expires": {
            "description": "[OPTIONAL] UTC date when certificate expires in ISO8601 format (YYYY-MM-DD). Can be used to clear expired certificates from the status list.",
            "type": "string",
            "format": "date"
          },
          "reason": {
            "description": "[OPTIONAL] Reason for the current status.",
            "type": "string",
            "enum": ["UNSPECIFIED", "KEY_COMPROMISE", "CA_COMPROMISE", "SUPERSEDED", "SOFTWARE_FLAW"]
          },
          "comment": {
            "description": "[OPTIONAL] Free form comment about the key status.",
            "type": "string",
            "maxLength": 140
          }
        },
        "required": ["status"],
        "additionalProperties": false
      }
    }
  },
  "required": ["entries"],
  "additionalProperties": false
}

Örnek CRL:

{
  "entries": {
    "2c8cdddfd5e03bfc": {
      "status": "REVOKED",
      "expires": "2020-11-13",
      "reason": "KEY_COMPROMISE",
      "comment": "Key stored on unsecure system"
    },
    "c8966fcb2fbb0d7a": {
      "status": "SUSPENDED",
      "reason": "SOFTWARE_FLAW",
      "comment": "Bug in keystore causes this key malfunction b/555555"
    }
  }
}

Anahtar onayı uzantısı veri şeması

Kurulum bilgileri uzantı veri şeması

Temel hazırlık bilgileri uzantısının OID'si var: 1.3.6.1.4.1.11129.2.1.30. Uzantı, cihaz sağlama sunucusu tarafından cihaz hakkında bilinen bilgileri sağlar. Bu uzantı CDDL şemasını izler.

  {
        1 : int,   ; certificates issued
  }

Haritanın sürümü kaldırılır ve yeni isteğe bağlı alanlar eklenebilir.

certs_issued: Son 30 gün içinde cihaza verilen yaklaşık sertifika sayısı. Bu değer, ortalamadan birkaç kat daha büyükse olası kötüye kullanım sinyali olarak kullanılabilir.