หน้านี้ได้รับการแปลโดย Cloud Translation API

ยืนยันคู่คีย์แบบใช้ฮาร์ดแวร์ด้วยเอกสารรับรองคีย์

การรับรองคีย์ช่วยให้คุณมั่นใจได้มากขึ้นว่าคีย์ที่คุณใช้ในแอป จะจัดเก็บไว้ในที่เก็บคีย์ที่ได้รับการสนับสนุนจากฮาร์ดแวร์ของอุปกรณ์ ส่วนต่อไปนี้ จะอธิบายวิธียืนยันพร็อพเพอร์ตี้ของคีย์ที่ได้รับการสนับสนุนจากฮาร์ดแวร์และวิธี ตีความข้อมูลส่วนขยายของใบรับรองการรับรอง

หมายเหตุ: ก่อนที่จะยืนยันพร็อพเพอร์ตี้ของคีย์ที่ได้รับการสนับสนุนจากฮาร์ดแวร์ของอุปกรณ์ในสภาพแวดล้อมระดับการผลิต โปรดตรวจสอบว่าอุปกรณ์รองรับการรับรองคีย์ระดับฮาร์ดแวร์ โดยให้ตรวจสอบว่าห่วงโซ่ใบรับรองการรับรองมีใบรับรองรูทที่ลงนามด้วยคีย์รูทการรับรองของ Google และตั้งค่าองค์ประกอบ attestationSecurityLevel ภายในโครงสร้างข้อมูลคำอธิบายคีย์เป็นระดับความปลอดภัย TrustedEnvironment หรือระดับความปลอดภัย StrongBox

นอกจากนี้ คุณควรยืนยันลายเซ็นในกลุ่มใบรับรอง และยืนยันว่าไม่มีคีย์ใดในกลุ่มที่ถูกเพิกถอนโดยการตรวจสอบ รายการสถานะการเพิกถอนใบรับรอง อย่าเชื่อถือการรับรองอย่างเต็มที่ เว้นแต่ว่าทั้งหมดจะถูกต้องและรูทเป็นคีย์รูทของ Google

เรียกข้อมูลและยืนยันคู่คีย์แบบใช้ฮาร์ดแวร์

ในระหว่างการรับรองคีย์ คุณจะระบุชื่อแทนของคู่คีย์และเรียกเชนใบรับรองของคู่คีย์นั้น ซึ่งคุณสามารถใช้เพื่อยืนยันพร็อพเพอร์ตี้ของคู่คีย์นั้นได้

หากอุปกรณ์รองรับเอกสารรับรองคีย์ระดับฮาร์ดแวร์ ระบบจะลงนามใบรับรองรูท ภายในห่วงโซ่นี้โดยใช้คีย์รูทของเอกสารรับรองที่จัดสรรอย่างปลอดภัย ไปยังที่เก็บคีย์ที่ใช้ฮาร์ดแวร์ของอุปกรณ์

หมายเหตุ: ในอุปกรณ์ที่จัดส่งพร้อมการรับรองคีย์ระดับฮาร์ดแวร์ Android 7.0 (API ระดับ 24) ขึ้นไป และบริการ Google Play ใบรับรองรูทจะลงนามด้วยคีย์รูทการรับรองของ Google ตรวจสอบว่าใบรับรองรูทนี้อยู่ในรายการที่ระบุไว้ในส่วนใบรับรองรูท

หากต้องการใช้การรับรองคีย์ ให้ทำตามขั้นตอนต่อไปนี้

ใช้เมธอด KeyStore ของออบเจ็กต์ getCertificateChain() เพื่อรับการอ้างอิงเชนของใบรับรอง X.509 ที่เชื่อมโยงกับ ที่เก็บคีย์ที่ได้รับการสนับสนุนจากฮาร์ดแวร์
ส่งใบรับรองไปยังเซิร์ฟเวอร์อื่นที่คุณเชื่อถือเพื่อทำการตรวจสอบ

ข้อควรระวัง: อย่าทำกระบวนการตรวจสอบต่อไปนี้ ในอุปกรณ์เดียวกัน หากระบบ Android ในอุปกรณ์นั้นถูกบุกรุก อาจทำให้กระบวนการตรวจสอบเชื่อถือสิ่งที่ไม่น่าเชื่อถือ ได้
รับข้อมูลอ้างอิงถึงการแยกวิเคราะห์และการตรวจสอบห่วงโซ่ใบรับรอง X.509 ซึ่งเป็นไลบรารีที่เหมาะสมที่สุดสำหรับชุดเครื่องมือของคุณ ตรวจสอบว่าใบรับรองสาธารณะ ของรูทเชื่อถือได้ และใบรับรองแต่ละใบเซ็น ใบรับรองถัดไปในเชน
ตรวจสอบสถานะการเพิกถอนของใบรับรองแต่ละรายการ เพื่อให้แน่ใจว่าไม่มีใบรับรองใดถูกเพิกถอน
ไม่บังคับ: ตรวจสอบส่วนขยายใบรับรองข้อมูลการจัดสรรที่มีเฉพาะในห่วงโซ่ใบรับรองที่ใหม่กว่า

รับการอ้างอิงไปยังไลบรารีตัวแยกวิเคราะห์ CBOR ที่เหมาะสมที่สุดสำหรับชุดเครื่องมือของคุณ ค้นหาใบรับรองที่ใกล้เคียงกับรูทมากที่สุดซึ่งมี ส่วนขยายใบรับรองข้อมูลการจัดสรร ใช้ตัวแยกวิเคราะห์เพื่อดึงข้อมูลการจัดสรร ข้อมูลส่วนขยายใบรับรองจากใบรับรองนั้น

ดูรายละเอียดเพิ่มเติมได้ที่ส่วนเกี่ยวกับ ส่วนขยายข้อมูลการจัดสรร
รับการอ้างอิงไปยังไลบรารีตัวแยกวิเคราะห์ ASN.1 ที่เหมาะสมที่สุด สำหรับชุดเครื่องมือของคุณ ค้นหาใบรับรองที่ใกล้เคียงกับรูทมากที่สุดซึ่งมี ส่วนขยายใบรับรองการรับรองคีย์ หากมีส่วนขยายใบรับรองข้อมูลการจัดสรร ส่วนขยายใบรับรองการรับรองคีย์ ต้องอยู่ในใบรับรองที่ตามมาทันที ใช้ พาร์สเซอร์เพื่อดึงข้อมูลส่วนขยายใบรับรองการรับรองคีย์จาก ใบรับรองนั้น

ข้อควรระวัง: อย่าคิดว่าส่วนขยายใบรับรองการรับรองคีย์ อยู่ในใบรับรองลีฟของเชน เชื่อถือได้เฉพาะ ส่วนขยายที่ปรากฏครั้งแรกในห่วงโซ่เท่านั้น อินสแตนซ์อื่นๆ ของส่วนขยายไม่ได้ออกโดยฮาร์ดแวร์ที่ปลอดภัย และอาจออกโดยผู้โจมตีที่ขยายห่วงโซ่ขณะพยายามสร้างการรับรองปลอมสำหรับคีย์ที่ไม่น่าเชื่อถือ

ตัวอย่างการรับรองคีย์ใช้ตัวแยกวิเคราะห์ ASN.1 จาก Bouncy Castle เพื่อดึงข้อมูลส่วนขยายของ ใบรับรองการรับรอง คุณสามารถใช้ตัวอย่างนี้เป็น ข้อมูลอ้างอิงในการสร้างตัวแยกวิเคราะห์ของคุณเอง

ดูรายละเอียดเพิ่มเติมได้ที่ส่วนเกี่ยวกับ สคีมาข้อมูลส่วนขยายการรับรองคีย์
ตรวจสอบข้อมูลส่วนขยายที่คุณดึงมาในขั้นตอนก่อนหน้าเพื่อดูความสอดคล้องกัน และเปรียบเทียบกับชุดค่าที่คุณคาดหวังว่าคีย์ที่ได้รับการสนับสนุนจากฮาร์ดแวร์จะมี

ใบรับรองรูท

ความน่าเชื่อถือของการรับรองขึ้นอยู่กับใบรับรองรูทของห่วงโซ่ อุปกรณ์ Android ที่ผ่านการทดสอบที่จำเป็นต้องมีชุดแอปของ Google ซึ่งรวมถึง Google Play และเปิดตัวด้วย Android 7.0 (API ระดับ 24) ขึ้นไปควรใช้การรับรอง คีย์ที่ลงนามโดยใบรับรองรูทการรับรองฮาร์ดแวร์ของ Google โปรดทราบว่าเราไม่ได้กำหนดให้ใช้การรับรองจนกว่าจะถึง Android 8.0 (API ระดับ 26) คุณดาวน์โหลดชุดใบรับรองรูทที่ถูกต้องเป็นอาร์เรย์รูปแบบ JSON ได้

ใบรับรองรูท

ควรใช้ใบรับรองรูท 2 รายการต่อไปนี้เป็น Trust Anchor เมื่อยืนยันเชนใบรับรองการรับรองคีย์

ใบรับรองรูทต่อไปนี้จะเริ่มลงนามในห่วงโซ่ใบรับรองการรับรองในวันที่ 1 กุมภาพันธ์ 2025

ใบรับรองรูทที่ออกก่อนหน้านี้

หากใบรับรองรูทในห่วงโซ่การรับรองที่คุณได้รับมีคีย์สาธารณะนี้และไม่มีใบรับรองใดในห่วงโซ่ที่ถูกเพิกถอน คุณจะทราบว่า

คีย์ของคุณอยู่ในฮาร์ดแวร์ที่ Google เชื่อว่าปลอดภัย และ
โดยมีพร็อพเพอร์ตี้ตามที่อธิบายไว้ในใบรับรองการรับรอง

หากห่วงโซ่การรับรองมีคีย์สาธารณะรูทอื่นๆ Google จะไม่กล่าวอ้างใดๆ เกี่ยวกับความปลอดภัยของฮาร์ดแวร์ ซึ่งไม่ได้หมายความว่าคีย์ของคุณถูกบุกรุก แต่หมายความว่าการรับรองไม่พิสูจน์ว่าคีย์อยู่ในฮาร์ดแวร์ที่ปลอดภัย ปรับ สมมติฐานด้านความปลอดภัยตามนั้น

หากใบรับรองรูทไม่มีคีย์สาธารณะในหน้านี้ สาเหตุที่เป็นไปได้มี 2 ประการดังนี้

ส่วนใหญ่แล้ว อุปกรณ์จะเปิดตัวพร้อมกับ Android เวอร์ชันต่ำกว่า 7.0 และไม่รองรับ การรับรองฮาร์ดแวร์ ในกรณีนี้ Android มีการติดตั้งใช้งานการรับรองซอฟต์แวร์ที่ สร้างใบรับรองการรับรองประเภทเดียวกัน แต่ลงนามด้วยคีย์ที่ ฮาร์ดโค้ดในซอร์สโค้ดของ Android เนื่องจากคีย์การลงนามนี้ไม่ใช่ความลับ ผู้โจมตีจึงอาจสร้างการรับรองโดยแสร้งว่าให้บริการฮาร์ดแวร์ที่ปลอดภัย
อีกเหตุผลที่เป็นไปได้คืออุปกรณ์ไม่ใช่ Google Play ในกรณีดังกล่าว ผู้ผลิตอุปกรณ์ มีอิสระในการสร้างรูทของตนเองและกล่าวอ้างสิ่งที่ต้องการเกี่ยวกับความหมายของการ รับรอง โปรดดูเอกสารประกอบของผู้ผลิตอุปกรณ์ โปรดทราบว่า Google ไม่ทราบว่ามีผู้ผลิตอุปกรณ์รายใด ที่ทำเช่นนี้

การหมุนเวียนใบรับรองรูทของการรับรองด้วยฮาร์ดแวร์

Google กำลังเปิดตัวใบรับรองรูทใหม่สำหรับเอกสารรับรองคีย์ Android การเปลี่ยนแปลงนี้ ช่วยเพิ่มความปลอดภัยและความน่าเชื่อถือของกระบวนการรับรองสำหรับแอปพลิเคชันที่มีความละเอียดอ่อน ระบบได้สร้างคีย์รูทใหม่สำหรับการรับรองคีย์ของ Android (KeyMint) คีย์รูทใหม่นี้เป็นคีย์ ECDSA P-384 และมีแผนที่จะใช้คีย์ ML-DSA (อัลกอริทึมลายเซ็นดิจิทัลหลังควอนตัม) ในอนาคต

การดำเนินการสำหรับนักพัฒนาแอป

หากแอปของคุณใช้การรับรองคีย์ของ Android ให้เพิ่มใบรับรองรูทใหม่ลงในที่เก็บที่เชื่อถือได้ภายในเดือนมกราคม 2026 ดาวน์โหลดทั้งใบรับรองใหม่และใบรับรองเก่าจาก https://android.googleapis.com/attestation/root
อุปกรณ์ที่ใช้ Remote Key Provisioning (RKP) จะเริ่มได้รับใบรับรองที่อิงตามใบรับรองใหม่นี้ในเดือนกุมภาพันธ์ 2026 อุปกรณ์ที่เปิดใช้ RKP จะใช้รูทใหม่เท่านั้นภายในวันที่ 10 เมษายน 2026
อัปเดตกระบวนการรับรองเพื่อเชื่อถือทั้งใบรับรองรูทใหม่และที่มีอยู่ อุปกรณ์รุ่นเก่าที่มีคีย์ที่จัดสรรจากโรงงานไม่รองรับการหมุนเวียนคีย์และจะใช้รูทเก่าต่อไป
โดยสคีมาส่วนขยายใบรับรองจะยังคงเหมือนเดิม มีเพียงรูทเท่านั้นที่จะเปลี่ยนแปลง
ทั้งรูปแบบที่มนุษย์อ่านได้และรูปแบบที่เครื่องอ่านได้ของรูทใหม่จะพร้อมให้บริการแก่สาธารณะ

แนวทางปฏิบัติแนะนำ

อย่าค้นหาปลายทางสำหรับรูทที่เชื่อถือได้ในขณะรันไทม์ เนื่องจากจะทำให้เกิดความเสี่ยงด้านความปลอดภัย จัดการการเปลี่ยนแปลงรากฐานของความน่าเชื่อถือผ่านกระบวนการที่เป็นทางการ

เลิกใช้กุญแจจากโรงงาน: การจัดสรรคีย์จากระยะไกล (RKP)

สำหรับอุปกรณ์ที่เปิดตัวด้วย Android 16 ระบบจะรองรับเฉพาะ RKP นโยบายนี้จะเลิกใช้ คีย์จากโรงงาน โดยจะปรับปรุงวิธีที่คุณจัดสรรและจัดการคีย์การรับรอง รวมถึงขยายต่อนโยบาย Android 15 ที่การรองรับ RKP เป็นแบบไม่บังคับ RKP ป้องกันการรั่วไหลของคีย์เนื่องจากระบบไม่ได้ตั้งโปรแกรมคีย์ลงในอุปกรณ์โดยตรง คุณจะลบคีย์เหล่านี้ออกจากอุปกรณ์ไม่ได้ หากต้องเพิกถอนคีย์ คุณสามารถกำหนดเป้าหมายการเพิกถอนไปยังอุปกรณ์เครื่องเดียวได้

ไลบรารีการยืนยันการรับรอง

ใช้ไลบรารีการยืนยันการรับรอง Kotlin เพื่อยืนยันห่วงโซ่ใบรับรองการรับรองคีย์ นอกจากนี้ ไลบรารีนี้ยังผสานรวมใบรับรองรูทใหม่ หากคุณใช้เครื่องมือตรวจสอบอื่น เราขอแนะนำให้เปลี่ยนไปใช้ไลบรารี Kotlin แทน ได้รับการทดสอบอย่างดี และครอบคลุมกรณีขอบที่เครื่องมือตรวจสอบที่กำหนดเองมักมองข้าม

รายการสถานะการเพิกถอนใบรับรอง

คุณเพิกถอนคีย์การรับรองได้ด้วยเหตุผลหลายประการ ซึ่งรวมถึงการจัดการที่ไม่เหมาะสมหรือการที่ผู้โจมตีอาจ ดึงข้อมูล ดังนั้นจึงจำเป็นอย่างยิ่งที่จะต้องตรวจสอบสถานะของใบรับรองแต่ละใบใน ห่วงโซ่การรับรองกับรายการสถานะการเพิกถอนใบรับรอง (CRL) อย่างเป็นทางการ Google เป็นผู้ดูแลรายการนี้และเผยแพร่ที่ https://android.googleapis.com/attestation/status ส่วนหัว Cache-Control ในการตอบกลับ HTTP จะกำหนดความถี่ในการตรวจหาการอัปเดต จึงไม่จำเป็นต้องมีคำขอเครือข่าย สำหรับการยืนยันใบรับรองทุกรายการ URL นี้จะแสดงไฟล์ JSON ที่มีสถานะการเพิกถอนสำหรับใบรับรองที่ไม่มีสถานะปกติที่ถูกต้อง รูปแบบของไฟล์ JSON เป็นไปตามคำจำกัดความของ JSON Schema ต่อไปนี้ (ร่าง 07)

{
  "$schema": "http://json-schema.org/draft-07/schema#",
  "type": "object",
  "properties": {
    "entries": {
      "description" : "Each entry represents the status of an attestation key. The dictionary-key is the certificate serial number in lowercase hex.",
      "type": "object",
      "propertyNames": {
        "pattern": "^[a-f1-9][a-f0-9]*$"
      },
      "additionalProperties": {
        "type": "object",
        "properties": {
          "status": {
            "description": "[REQUIRED] Current status of the key.",
            "type": "string",
            "enum": ["REVOKED", "SUSPENDED"]
          },
          "expires": {
            "description": "[OPTIONAL] UTC date when certificate expires in ISO8601 format (YYYY-MM-DD). Can be used to clear expired certificates from the status list.",
            "type": "string",
            "format": "date"
          },
          "reason": {
            "description": "[OPTIONAL] Reason for the current status.",
            "type": "string",
            "enum": ["UNSPECIFIED", "KEY_COMPROMISE", "CA_COMPROMISE", "SUPERSEDED", "SOFTWARE_FLAW"]
          },
          "comment": {
            "description": "[OPTIONAL] Free form comment about the key status.",
            "type": "string",
            "maxLength": 140
          }
        },
        "required": ["status"],
        "additionalProperties": false
      }
    }
  },
  "required": ["entries"],
  "additionalProperties": false
}

ตัวอย่าง CRL

{
  "entries": {
    "2c8cdddfd5e03bfc": {
      "status": "REVOKED",
      "expires": "2020-11-13",
      "reason": "KEY_COMPROMISE",
      "comment": "Key stored on unsecure system"
    },
    "c8966fcb2fbb0d7a": {
      "status": "SUSPENDED",
      "reason": "SOFTWARE_FLAW",
      "comment": "Bug in keystore causes this key malfunction b/555555"
    }
  }
}

นโยบายการเพิกถอนใบรับรอง

การรับรองเป็นกระดูกสันหลังของการต่อต้านการละเมิดและความน่าเชื่อถือในระบบนิเวศของ Android โดยจะให้ ข้อความที่ตรวจสอบได้ด้วยการเข้ารหัสแก่บุคคลภายนอกอุปกรณ์เกี่ยวกับสถานะการบูตของอุปกรณ์

ระบบจะเพิกถอนใบรับรองสำหรับคีย์การรับรอง Android เมื่อคีย์ถูกบุกรุก เนื่องจากลักษณะที่สำคัญของความถูกต้องของการรับรอง ส่วนนี้ระบุนโยบายในกรณีที่เพิกถอนใบรับรอง นโยบายนี้มีแนวโน้มที่จะพัฒนาและระบุกรณีเพิ่มเติมเมื่อเวลาผ่านไป

สิ่งใดบ้างที่เข้าเกณฑ์การเพิกถอน

การรั่วไหลของคีย์การรับรองจะส่งผลต่อกลไกการจัดสรรรุ่นเก่าที่รองรับใน Android เท่านั้น และไม่มีผลกับคีย์การรับรองที่ได้รับการรับรองโดยกลไกการจัดสรรคีย์จากระยะไกล (RKP) รุ่นใหม่กว่า

คีย์การรับรองที่รั่วไหลจะมีสิทธิ์ถูกเพิกถอนใบรับรองเสมอ คุณค้นพบข้อมูลที่รั่วไหลได้หลายวิธี เช่น

การวิเคราะห์ข้อมูลการรับรองในสภาพแวดล้อมจริง
การค้นพบคีย์การรับรองในโซเชียลมีเดียหรือเว็บไซต์สาธารณะอื่นๆ
รายงานจากนักวิจัยด้านความปลอดภัยโดยตรง

เมื่อตรวจพบแล้ว ระบบจะเพิกถอนใบรับรองการรับรองโดยการเพิ่มหมายเลขซีเรียลลงในรายการเพิกถอน โดยปกติแล้ว การดำเนินการนี้จะเกิดขึ้นภายใน 2-3 วันหลังจากที่เราพบปัญหา แต่ในบางกรณีอาจใช้เวลานานกว่านั้น เช่น โดยปกติแล้วการเพิกถอนใบรับรองสำหรับคีย์การรับรองที่รั่วไหลจะล่าช้าหากอุปกรณ์ ที่ได้รับผลกระทบจากการเพิกถอนสามารถจัดสรรใหม่ได้อย่างปลอดภัย ขนาดของผลกระทบจากการเพิกถอน ยังเป็นปัจจัยสำคัญในไทม์ไลน์การเพิกถอนด้วย

ยืนยันคู่คีย์แบบใช้ฮาร์ดแวร์ด้วยเอกสารรับรองคีย์

เรียกข้อมูลและยืนยันคู่คีย์แบบใช้ฮาร์ดแวร์

ใบรับรองรูท

การหมุนเวียนใบรับรองรูทของการรับรองด้วยฮาร์ดแวร์

การดำเนินการสำหรับนักพัฒนาแอป

แนวทางปฏิบัติแนะนำ

เลิกใช้กุญแจจากโรงงาน: การจัดสรรคีย์จากระยะไกล (RKP)

ไลบรารีการยืนยันการรับรอง

รายการสถานะการเพิกถอนใบรับรอง

นโยบายการเพิกถอนใบรับรอง

สิ่งใดบ้างที่เข้าเกณฑ์การเพิกถอน

สคีมาข้อมูลส่วนขยายการรับรองคีย์

สคีมาข้อมูลส่วนขยายของข้อมูลการจัดสรร