Bu sayfa, Cloud Translation API ile çevrilmiştir.

Anahtar onayı ile donanım destekli anahtar çiftlerini doğrulama

Anahtar doğrulaması, uygulamanızda kullandığınız anahtarların bir cihazın donanım destekli anahtar deposunda depolandığından daha emin olmanızı sağlar. Aşağıdaki bölümlerde, donanım destekli anahtarların özelliklerinin nasıl doğrulanacağı ve doğrulama sertifikalarının uzantı verilerinin nasıl yorumlanacağı açıklanmaktadır.

Not: Bir cihazın donanım destekli anahtarlarının özelliklerini üretim düzeyinde bir ortamda doğrulamadan önce, cihazın donanım düzeyinde anahtar doğrulamayı desteklediğinden emin olun. Bunu yapmak için doğrulama sertifikası zincirinin, Google doğrulama kök anahtarıyla imzalanan bir kök sertifika içerdiğinden ve anahtar açıklaması veri yapısındaki attestationSecurityLevel öğesinin TrustedEnvironment güvenlik seviyesine veya StrongBox güvenlik seviyesine ayarlandığından emin olun.

Ayrıca, sertifika iptal durumu listesini kontrol ederek sertifika zincirindeki imzaları doğrulamak ve zincirdeki anahtarların hiçbirinin iptal edilmediğini onaylamak önemlidir. Hepsi geçerli olmadığı ve kök, Google kök anahtarı olmadığı sürece sertifikaya tam olarak güvenmeyin.

Donanım destekli anahtar çiftini alma ve doğrulama

Anahtar onayı sırasında bir anahtar çiftinin takma adını belirtir ve sertifika zincirini alırsınız. Bu sertifika zincirini, anahtar çiftinin özelliklerini doğrulamak için kullanabilirsiniz.

Cihaz donanım düzeyinde anahtar onayı destekliyorsa bu zincirdeki kök sertifika, cihazın donanım destekli anahtar deposunda güvenli bir şekilde temel hazırlığı yapılan bir doğrulama kök anahtarı kullanılarak imzalanır.

Not: Donanım düzeyinde anahtar doğrulaması, Android 7.0 (API düzeyi 24) veya sonraki sürümler ve Google Play Hizmetleri yüklü cihazlarda kök sertifika, Google doğrulama kök anahtarıyla imzalanır. Bu kök sertifikanın, kök sertifikalar bölümünde listelenenler arasında olduğundan emin olun.

Anahtar tasdiki uygulamak için aşağıdaki adımları tamamlayın:

Donanım destekli anahtar deposuyla ilişkili X.509 sertifika zincirinin referansını almak için bir KeyStore nesnesinin getCertificateChain() yöntemini kullanın.
Sertifikaları doğrulama için güvendiğiniz ayrı bir sunucuya gönderin.

Dikkat: Aşağıdaki doğrulama sürecini KeyStore ile aynı cihazda tamamlamayın. Söz konusu cihazdaki Android sisteminin güvenliği ihlal edilmişse doğrulama sürecinin güvenilir olmayan bir şeye güvenmesine neden olabilir.
Araç setiniz için en uygun X.509 sertifika zinciri ayrıştırma ve doğrulama kitaplığının referansını edinin. Kök genel sertifikanın güvenilir olduğundan ve her sertifikanın zincirdeki sonraki sertifikayı imzaladığından emin olun.
Sertifikaların hiçbirinin iptal edilmediğinden emin olmak için her sertifikanın iptal durumunu kontrol edin.
İsteğe bağlı olarak, yalnızca daha yeni sertifika zincirlerinde bulunan temel hazırlama bilgileri sertifika uzantısını inceleyin.

Araç setinize en uygun CBOR ayrıştırıcı kitaplığının referansını edinin. Köke en yakın, temel hazırlama bilgileri sertifika uzantısını içeren sertifikayı bulun. Bu sertifikadaki temel hazırlama bilgileri sertifika uzantısı verilerini ayıklamak için ayrıştırıcıyı kullanın.

Daha fazla bilgi için temel hazırlama bilgileri uzantısı ile ilgili bölüme bakın.
Araç setiniz için en uygun ASN.1 ayrıştırıcı kitaplığının referansını edinin. Köke en yakın, anahtar doğrulama sertifikası uzantısını içeren sertifikayı bulun. Temel hazırlama bilgileri sertifikası uzantısı varsa anahtar doğrulama sertifikası uzantısı hemen sonraki sertifikada olmalıdır. Anahtar doğrulama sertifikası uzantısı verilerini bu sertifikadan ayıklamak için ayrıştırıcıyı kullanın.

Dikkat: Anahtar doğrulama sertifikası uzantısının zincirin son sertifikasında olduğunu varsaymayın. Yalnızca zincirdeki uzantının ilk oluşumuna güvenilebilir. Uzatmayla ilgili diğer tüm örnekler güvenli donanım tarafından yayınlanmamıştır ve güvenilmeyen anahtarlar için sahte onay oluşturmaya çalışırken zinciri uzatan bir saldırgan tarafından yayınlanmış olabilir.

Anahtar Onaylama örneği, onaylama sertifikasının uzantı verilerini ayıklamak için Bouncy Castle'daki ASN.1 ayrıştırıcısını kullanır. Kendi ayrıştırıcınızı oluşturmak için bu örneği referans olarak kullanabilirsiniz.

Daha fazla bilgi için anahtar doğrulama uzantısı veri şeması ile ilgili bölüme bakın.
Önceki adımlarda aldığınız uzantı verilerini tutarlılık açısından kontrol edin ve donanım destekli anahtarın içermesini beklediğiniz değer kümesiyle karşılaştırın.

Kök sertifikalar

Onay belgesinin güvenilirliği, zincirin kök sertifikasına bağlıdır. Google Play dahil olmak üzere Google uygulama paketine sahip olmak için gereken testi geçmiş ve Android 7.0 (API düzeyi 24) veya sonraki sürümlerle kullanıma sunulmuş Android cihazlar, Google Donanım Onaylama Kök Sertifikası tarafından imzalanmış doğrulama anahtarları kullanmalıdır. Android 8.0'a (API düzeyi 26) kadar doğrulamanın gerekli olmadığını unutmayın. Kök ortak anahtar şu şekildedir:

Daha Önce Yayınlanan Kök Sertifikalar

Aldığınız doğrulama zincirindeki kök sertifika bu ortak anahtarı içeriyorsa ve zincirdeki sertifikaların hiçbiri iptal edilmemişse şunları bilebilirsiniz:

Anahtarınız, Google'ın güvenli olduğunu düşündüğü donanımdadır ve
Onay sertifikasında açıklanan özelliklere sahiptir.

Sertifika zincirinde başka bir kök ortak anahtar varsa Google, donanımın güvenliği hakkında herhangi bir iddiada bulunmaz. Bu durum, anahtarınızın güvenliğinin ihlal edildiği anlamına gelmez. Yalnızca doğrulamanın, anahtarın güvenli donanımda olduğunu kanıtlamadığı anlamına gelir. Güvenlik varsayımlarınızı buna göre ayarlayın.

Kök sertifika bu sayfada ortak anahtarı içermiyorsa bunun iki olası nedeni vardır:

Cihaz büyük olasılıkla 7.0'dan eski bir Android sürümüyle kullanıma sunulmuş ve donanım doğrulamasını desteklemiyordur. Bu durumda Android, aynı türde onay sertifikası oluşturan ancak Android kaynak koduna kodlanmış bir anahtarla imzalanan bir onay yazılımı uygulamasına sahiptir. Bu imzalama anahtarı gizli olmadığından onay, güvenli donanım sağladığını iddia eden bir saldırgan tarafından oluşturulmuş olabilir.
Diğer olası neden, cihazın Google Play cihazı olmamasıdır. Bu durumda, cihaz üreticisi kendi kökünü oluşturabilir ve doğrulamanın ne anlama geldiğiyle ilgili istediği iddialarda bulunabilir. Cihaz üreticisinin dokümanlarına bakın. Google'ın, bu tür bir işlem yapan herhangi bir cihaz üreticisi

Sertifika iptal durumu listesi

Attestation anahtarları, kötüye kullanım veya saldırgan tarafından anahtarın çalınma şüphesi dahil olmak üzere çeşitli nedenlerle iptal edilebilir. Bu nedenle, bir doğrulama zincirindeki her bir sertifikanın durumunun resmi sertifika iptal durumu listesinde (CRL) kontrol edilmesi önemlidir. Bu liste Google tarafından yönetilir ve şu adreste yayınlanır: https://android.googleapis.com/attestation/status. HTTP yanıtındaki Cache-Control başlığı, güncellemelerin ne sıklıkta kontrol edileceğini belirler. Böylece, doğrulanan her sertifika için ağ isteği gerekmez. Bu URL, normal geçerli bir duruma sahip olmayan tüm sertifikaların iptal durumunu içeren bir JSON dosyası döndürür. JSON dosyasının biçimi aşağıdaki JSON şeması (taslak 07) tanımına uygun olmalıdır:

{
  "$schema": "http://json-schema.org/draft-07/schema#",
  "type": "object",
  "properties": {
    "entries": {
      "description" : "Each entry represents the status of an attestation key. The dictionary-key is the certificate serial number in lowercase hex.",
      "type": "object",
      "propertyNames": {
        "pattern": "^[a-f1-9][a-f0-9]*$"
      },
      "additionalProperties": {
        "type": "object",
        "properties": {
          "status": {
            "description": "[REQUIRED] Current status of the key.",
            "type": "string",
            "enum": ["REVOKED", "SUSPENDED"]
          },
          "expires": {
            "description": "[OPTIONAL] UTC date when certificate expires in ISO8601 format (YYYY-MM-DD). Can be used to clear expired certificates from the status list.",
            "type": "string",
            "format": "date"
          },
          "reason": {
            "description": "[OPTIONAL] Reason for the current status.",
            "type": "string",
            "enum": ["UNSPECIFIED", "KEY_COMPROMISE", "CA_COMPROMISE", "SUPERSEDED", "SOFTWARE_FLAW"]
          },
          "comment": {
            "description": "[OPTIONAL] Free form comment about the key status.",
            "type": "string",
            "maxLength": 140
          }
        },
        "required": ["status"],
        "additionalProperties": false
      }
    }
  },
  "required": ["entries"],
  "additionalProperties": false
}

Örnek CRL:

{
  "entries": {
    "2c8cdddfd5e03bfc": {
      "status": "REVOKED",
      "expires": "2020-11-13",
      "reason": "KEY_COMPROMISE",
      "comment": "Key stored on unsecure system"
    },
    "c8966fcb2fbb0d7a": {
      "status": "SUSPENDED",
      "reason": "SOFTWARE_FLAW",
      "comment": "Bug in keystore causes this key malfunction b/555555"
    }
  }
}

Sertifika iptal politikası

Onay, Android ekosisteminde kötüye kullanıma karşı mücadelenin ve güvenin temelini oluşturur. Cihazın dışındaki taraflara, cihazın başlatılmış durumuyla ilgili kriptografik olarak doğrulanabilir bir beyan sağlar.

Android doğrulama anahtarlarının sertifikaları, doğrulama geçerliliğinin kritik doğası nedeniyle anahtarların güvenliği ihlal edildiğinde iptal edilir. Bu bölümde, sertifikaların ne zaman iptal edileceğine dair politika ana hatlarıyla açıklanmaktadır. Bu politika zaman içinde gelişecek ve ek örnekler içerecektir.

Hangi durumlarda iptal edilebilir?

Attestation anahtarı sızıntıları yalnızca Android'de desteklenen eski tedarik mekanizmasını etkiler ve daha yeni uzak anahtar tedarik mekanizması tarafından sertifikalandırılan attestation anahtarları için geçerli değildir.

Sızdırılan sertifika anahtarlarının sertifikaları her zaman iptal edilebilir. Sızıntıları aşağıdakiler de dahil olmak üzere çeşitli şekillerde bulabilirsiniz:

Gerçek dünyadaki doğrulama verilerinin analizi.
Sosyal medyada veya herkese açık diğer sitelerde doğrulama anahtarlarının bulunması.
Doğrudan güvenlik araştırmacılarından gelen raporlar.

Tespit edilen onay sertifikaları, seri numaraları iptal listesine eklenerek iptal edilir. Bu işlem genellikle tespitten sonraki birkaç gün içinde gerçekleşir ancak nadiren bu süre uzayabilir. Örneğin, sızdırılan doğrulama anahtarlarının sertifikaları, iptalden etkilenen cihazlar güvenli bir şekilde yeniden hazırlanabiliyorsa genellikle ertelenir. İptalin etkisinin ölçeği de iptal zaman çizelgelerinde önemli bir faktördür.