تمت ترجمة هذه الصفحة بواسطة Cloud Translation API‏.

التحقُّق من أزواج المفاتيح المستنِدة إلى الأجهزة باستخدام مصادقة المفتاح

تمنحك شهادة صحة المفتاح المزيد من الثقة بأنّ المفاتيح التي تستخدمها في تطبيقك مخزَّنة في مخزن مفاتيح مدعوم بالأجهزة على الجهاز. توضّح الأقسام التالية كيفية التحقّق من خصائص المفاتيح المحمية بواسطة الأجهزة وكيفية تفسير بيانات الإضافات في شهادات المصادقة.

ملاحظة: قبل التحقّق من خصائص المفاتيح المحمية بمكوّنات الجهاز في بيئة إنتاج، تأكَّد من أنّ الجهاز يتيح إثبات صحة المفاتيح على مستوى مكوّنات الجهاز. لإجراء ذلك، تأكَّد من أنّ سلسلة شهادات التصديق تحتوي على شهادة جذر تم توقيعها باستخدام مفتاح جذر التصديق من Google، وأنّه تم ضبط العنصر attestationSecurityLevel ضمن بنية بيانات وصف المفتاح على مستوى الأمان TrustedEnvironment أو مستوى الأمان StrongBox.

بالإضافة إلى ذلك، من المهم التحقّق من التواقيع في سلسلة الشهادات والتأكّد من أنّه لم يتم إبطال أي من المفاتيح في السلسلة من خلال مراجعة قائمة حالات إبطال الشهادات. لا تثق في شهادة التصديق بشكل كامل إلا إذا كانت جميع الشهادات صالحة وكان الجذر هو مفتاح الجذر من Google.

استرداد زوج من المفاتيح المُدمَجة بشكل آمن في الأجهزة والتحقّق منه

أثناء عملية إثبات صحة المفتاح، عليك تحديد الاسم المستعار لمفتاحي التشفير واسترداد سلسلة الشهادات الخاصة بهما، والتي يمكنك استخدامها للتحقّق من خصائص مفتاحي التشفير.

إذا كان الجهاز يتيح إثبات صحة المفتاح على مستوى الجهاز، يتم توقيع شهادة الجذر ضمن هذه السلسلة باستخدام مفتاح جذر لإثبات الصحة يتم توفيره بشكل آمن في مخزن المفاتيح المحمي بالأجهزة على الجهاز.

ملاحظة: على الأجهزة التي تتضمّن ميزة إثبات صحة المفتاح على مستوى الجهاز، والإصدار 7.0 من نظام التشغيل Android (المستوى 24 من واجهة برمجة التطبيقات) أو الإصدارات الأحدث، و"خدمات Google Play"، يتم توقيع شهادة الجذر باستخدام مفتاح الجذر لإثبات الصحة من Google. تأكَّد من أنّ شهادة الجذر هذه مدرَجة ضمن الشهادات الواردة في قسم شهادات الجذر.

لتنفيذ ميزة "إثبات صحة المفتاح"، أكمِل الخطوات التالية:

استخدِم طريقة KeyStore الخاصة بكائن getCertificateChain() للحصول على مرجع لسلسلة شهادات X.509 المرتبطة بمخزن المفاتيح المستنِد إلى الأجهزة.
إرسال الشهادات إلى خادم منفصل تثق به لإجراء عملية التحقّق

تنبيه: لا تُكمل عملية التحقّق التالية على الجهاز نفسه. إذا تم اختراق نظام Android على هذا الجهاز، قد يؤدي ذلك إلى أن تثق عملية التحقّق في شيء غير موثوق به.
احصل على مرجع لمكتبة تحليل سلسلة شهادات X.509 والتحقّق منها، وهي المكتبة الأنسب لمجموعة أدواتك. تأكَّد من أنّ الشهادة العامة الجذرية جديرة بالثقة وأنّ كل شهادة توقّع الشهادة التالية في السلسلة.
تحقَّق من حالة الإبطال لكل شهادة للتأكّد من عدم إبطال أي منها.
يمكنك اختياريًا فحص إضافة شهادة معلومات التوفير التي لا تظهر إلا في سلاسل الشهادات الأحدث.

احصل على مرجع لمكتبة محلّل CBOR الأكثر ملاءمةً لمجموعة أدواتك. ابحث عن أقرب شهادة إلى شهادة الجذر تحتوي على إضافة شهادة معلومات التوفير. استخدِم المحلّل اللغوي لاستخراج بيانات إضافة شهادة معلومات الإعداد من تلك الشهادة.

راجِع القسم حول إضافة معلومات التوفير للحصول على مزيد من التفاصيل.
احصل على مرجع لمكتبة محلّل ASN.1 الأكثر ملاءمةً لمجموعة أدواتك. ابحث عن أقرب شهادة إلى شهادة الجذر تحتوي على إضافة شهادة إثبات صحة المفتاح. إذا كان امتداد شهادة معلومات التوفير متوفّرًا، يجب أن يكون امتداد شهادة إثبات صحة المفتاح في الشهادة التالية مباشرةً. استخدِم أداة التحليل لاستخراج بيانات إضافة شهادة صحة المفتاح من تلك الشهادة.

تنبيه: لا تفترض أنّ إضافة شهادة صحة المفتاح موجودة في شهادة الورقة الطرفية للسلسلة. يمكن الوثوق فقط بأول ظهور للإضافة في السلسلة. لم يتم إصدار أي حالات أخرى من الامتداد بواسطة الجهاز الآمن، وقد يكون أحد المهاجمين قد أصدرها لتوسيع السلسلة أثناء محاولة إنشاء شهادات مصادقة مزيفة للمفاتيح غير الموثوق بها.

يستخدم نموذج إثبات صحة المفتاح محلّل ASN.1 من Bouncy Castle لاستخراج بيانات الإضافة من شهادة إثبات الصحة. يمكنك استخدام هذا النموذج كمرجع لإنشاء المحلّل الخاص بك.

يمكنك الاطّلاع على القسم حول مخطط بيانات إضافة إثبات صحة المفتاح لمزيد من التفاصيل.
تحقَّق من بيانات الإضافة التي استرجعتها في الخطوات السابقة للتأكّد من اتساقها، وقارِنها بمجموعة القيم التي تتوقّع أن يحتويها المفتاح المحمي بواسطة الأجهزة.

شهادات الجذر

تعتمد مصداقية بيان صحة الجهاز على شهادة الجذر للسلسلة. يجب أن تستخدم أجهزة Android التي اجتازت الاختبارات المطلوبة لتثبيت حزمة تطبيقات Google، بما في ذلك Google Play، والتي تم إطلاقها بالإصدار 7.0 من نظام التشغيل Android (المستوى 24 لواجهة برمجة التطبيقات) أو الإصدارات الأحدث، مفاتيح التصديق الموقَّعة بشهادة الجذر الخاصة بخدمة "تصديق الأجهزة" من Google. يُرجى العِلم أنّه لم يكن مطلوبًا إجراء التصديق قبل الإصدار 8.0 من نظام التشغيل Android (المستوى 26 من واجهة برمجة التطبيقات). يمكن تنزيل مجموعة شهادات الجذر الصالحة على شكل مصفوفة بتنسيق JSON.

شهادات الجذر

يجب استخدام شهادتَي الجذر التاليتَين كعناصر أساسية موثوق بها عند التحقّق من سلسلة شهادات إثبات صحة المفتاح.

ستبدأ شهادة الجذر التالية بتوقيع سلاسل شهادات التصديق في 1 فبراير 2025.

شهادات الجذر الصادرة سابقًا

إذا كانت شهادة الجذر في سلسلة التصديق التي تتلقّاها تحتوي على هذا المفتاح العام ولم يتم إبطال أي من الشهادات في السلسلة، ستعرف ما يلي:

أن يكون مفتاحك في جهاز تثق Google في أمانه
وتتضمّن الخصائص الموضّحة في شهادة التصديق.

إذا كانت سلسلة التصديق تتضمّن أي مفتاح عام آخر للجذر، لن تقدّم Google أي ادعاءات بشأن أمان الجهاز. لا يعني ذلك أنّ مفتاحك قد تم اختراقه، بل يشير فقط إلى أنّ شهادة التصديق لا تثبت أنّ المفتاح مخزَّن في مكوّنات آمنة. عدِّل افتراضات الأمان وفقًا لذلك.

إذا لم تكن شهادة الجذر تحتوي على المفتاح العام في هذه الصفحة، من المحتمل أن يكون السبب أحد الأمرين التاليين:

من المرجّح أنّ الجهاز تم إطلاقه بإصدار Android أقل من 7.0 ولا يتيح استخدام ميزة "إثبات صحة الجهاز". في هذه الحالة، يتضمّن نظام التشغيل Android عملية تنفيذ برمجية لشهادة المصادقة تنتج نوعًا مشابهًا من شهادات المصادقة، ولكن يتم توقيعها باستخدام مفتاح مضمّن في رمز المصدر لنظام التشغيل Android. بما أنّ مفتاح التوقيع هذا ليس سريًا، من المحتمل أن يكون أحد المهاجمين قد أنشأ شهادة المصادقة هذه مدعيًا أنّه يوفّر أجهزة آمنة.
السبب المحتمل الآخر هو أنّ الجهاز ليس جهاز Google Play. في هذه الحالة، يحق لمصنّع الجهاز إنشاء شهادة جذر خاصة به وتقديم أي ادعاءات يريدها بشأن معنى شهادة التصديق. راجِع مستندات الشركة المصنّعة للجهاز. يُرجى العِلم أنّ Google لا تعرف أي مصنّعين للأجهزة قاموا بذلك.

تدوير شهادة الجذر الخاصة بالتحقّق من سلامة الأجهزة

تقدّم Google شهادة جذر جديدة لميزة "مصادقة مفتاح Android". ويساهم هذا التغيير في تعزيز أمان عملية إثبات صحة التطبيقات الحساسة وموثوقيتها. تم إنشاء مفتاح جذر جديد لخدمة "التصديق على المفتاح" في Android (KeyMint). المفتاح الجذر الجديد هو مفتاح ECDSA P-384، ومن المخطط توفير مفتاح ML-DSA (خوارزمية التوقيع الرقمي لما بعد التشفير الكمي) في المستقبل.

إجراء للمطوّرين

إذا كان تطبيقك يعتمد على خدمة "إثبات صحة مفتاح Android"، عليك إضافة شهادة الجذر الجديدة إلى ملفات تخزين المفاتيح الموثوق بها قبل كانون الثاني (يناير) 2026. نزِّل الشهادتَين الجديدة والقديمة من https://android.googleapis.com/attestation/root
ستبدأ الأجهزة التي تستخدم توفير المفاتيح عن بُعد (RKP) في تلقّي الشهادات المستندة إلى هذه الشهادة الجديدة في فبراير 2026. ستستخدم الأجهزة المتوافقة مع RKP الجذر الجديد حصريًا بحلول 10 نيسان (أبريل) 2026.
عدِّل عمليات التصديق لتثق بكلتا شهادات الجذر الجديدة والحالية. لا تتوافق الأجهزة القديمة التي تم توفير المفاتيح فيها من المصنع مع ميزة "تغيير المفاتيح"، وستواصل استخدام الجذر القديم.
لن يتغيّر مخطط إضافة الشهادة نفسه، بل سيتم تغيير الجذر فقط.
ستكون كل من النسخة المقروءة من قِبل الإنسان والنسخة المقروءة من قِبل الآلة من الجذر الجديد متاحة للجميع.

أفضل الممارسات

لا تستعلم عن نقطة نهاية للحصول على الشهادات الجذرية الموثوق بها في وقت التشغيل، لأنّ هذا الإجراء يؤدي إلى حدوث مخاطر أمنية. التعامل مع التغييرات في جذور الثقة من خلال عملية رسمية

إيقاف المفاتيح الأصلية نهائيًا: توفير المفاتيح عن بُعد (RKP)

بالنسبة إلى الأجهزة التي تعمل بالإصدار 16 من نظام التشغيل Android، لا يتيح النظام سوى استخدام RKP. تؤدي هذه السياسة إلى إيقاف استخدام المفاتيح الأصلية تدريجيًا. ويحسِّن طريقة توفير مفاتيح المصادقة وإدارتها، مع التوسّع في سياسة Android 15 التي كان فيها دعم RKP اختياريًا. تمنع RKP تسرُّب المفاتيح لأنّ النظام لا يبرمج المفاتيح مباشرةً على الجهاز. لا يمكنك حذف هذه المفاتيح من الجهاز. إذا كان عليك إبطال مفتاح، يمكنك استهداف الإبطال لجهاز واحد.

مكتبات التحقّق من صحة الشهادات

استخدِم مكتبة Kotlin للتحقّق من صحة الشهادة للتحقّق من سلاسل شهادات "إثبات صحة المفتاح". بالإضافة إلى ذلك، تتضمّن هذه المكتبة شهادات الجذر الجديدة. وإذا كنت تستخدم أداة تحقّق مختلفة، ننصحك بالانتقال إلى مكتبة Kotlin بدلاً من ذلك. تم اختباره جيدًا، ويغطي الحالات الحدّية التي غالبًا ما يتم إغفالها من خلال أدوات التحقّق المخصّصة.

قائمة بحالات إبطال الشهادات

يمكن إبطال مفاتيح التصديق لعدة أسباب، بما في ذلك إساءة الاستخدام أو الاشتباه في استخراجها من قِبل مهاجم. لذلك، من الضروري التحقّق من حالة كل شهادة في سلسلة التصديق من خلال قائمة حالة إبطال الشهادات الرسمية (CRL). تحتفظ Google بهذه القائمة وتنشرها على الرابط: https://android.googleapis.com/attestation/status. يحدّد العنوان Cache-Control في استجابة HTTP عدد المرات التي يتم فيها التحقّق من التحديثات، وبالتالي لا يلزم إجراء طلب شبكة لكل شهادة يتم التحقّق منها. يعرض عنوان URL هذا ملف JSON يحتوي على حالة الإبطال لأي شهادات لا تتضمّن حالة صالحة عادية. يتوافق تنسيق ملف JSON مع تعريف JSON Schema التالي (المسودة 07):

{
  "$schema": "http://json-schema.org/draft-07/schema#",
  "type": "object",
  "properties": {
    "entries": {
      "description" : "Each entry represents the status of an attestation key. The dictionary-key is the certificate serial number in lowercase hex.",
      "type": "object",
      "propertyNames": {
        "pattern": "^[a-f1-9][a-f0-9]*$"
      },
      "additionalProperties": {
        "type": "object",
        "properties": {
          "status": {
            "description": "[REQUIRED] Current status of the key.",
            "type": "string",
            "enum": ["REVOKED", "SUSPENDED"]
          },
          "expires": {
            "description": "[OPTIONAL] UTC date when certificate expires in ISO8601 format (YYYY-MM-DD). Can be used to clear expired certificates from the status list.",
            "type": "string",
            "format": "date"
          },
          "reason": {
            "description": "[OPTIONAL] Reason for the current status.",
            "type": "string",
            "enum": ["UNSPECIFIED", "KEY_COMPROMISE", "CA_COMPROMISE", "SUPERSEDED", "SOFTWARE_FLAW"]
          },
          "comment": {
            "description": "[OPTIONAL] Free form comment about the key status.",
            "type": "string",
            "maxLength": 140
          }
        },
        "required": ["status"],
        "additionalProperties": false
      }
    }
  },
  "required": ["entries"],
  "additionalProperties": false
}

مثال على قائمة إبطال الشهادات:

{
  "entries": {
    "2c8cdddfd5e03bfc": {
      "status": "REVOKED",
      "expires": "2020-11-13",
      "reason": "KEY_COMPROMISE",
      "comment": "Key stored on unsecure system"
    },
    "c8966fcb2fbb0d7a": {
      "status": "SUSPENDED",
      "reason": "SOFTWARE_FLAW",
      "comment": "Bug in keystore causes this key malfunction b/555555"
    }
  }
}

سياسة إلغاء الشهادة

تشكّل خدمة "إثبات صحة الجهاز" أساس مكافحة إساءة الاستخدام وتعزيز الثقة في منظومة Android المتكاملة. ويوفّر بيانًا يمكن التحقّق منه تشفيريًا للأطراف الخارجية بشأن حالة تشغيل الجهاز.

سيتم إبطال شهادات مفاتيح التصديق على Android عند اختراق المفاتيح، وذلك بسبب الأهمية البالغة لصلاحية التصديق. يوضّح هذا القسم سياسة بشأن الحالات التي يتم فيها إبطال الشهادات. من المحتمل أن تتطوّر هذه السياسة وتتضمّن حالات إضافية بمرور الوقت.

ما هي الحالات التي تؤدي إلى الإلغاء؟

لا تؤثّر تسريبات مفاتيح المصادقة إلا في آلية التوفير القديمة المتوافقة مع Android، ولا تنطبق على مفاتيح المصادقة المصدَّقة من خلال آلية توفير المفاتيح عن بُعد (RKP) الأحدث.

تكون مفاتيح المصادقة التي تم تسريبها مؤهَّلة دائمًا لإبطال شهاداتها. يمكن العثور على التسريبات بعدة طرق، منها:

تحليل بيانات الشهادات في بيئة غير خاضعة للرقابة
اكتشاف مفاتيح الإثبات على وسائل التواصل الاجتماعي أو المواقع الإلكترونية العامة الأخرى
تقارير مباشرة من باحثي الأمان

عند اكتشاف شهادات مصادقة غير صالحة، سيتم إبطالها من خلال إضافة أرقامها التسلسلية إلى قائمة الإبطال. وعادةً ما يحدث ذلك في غضون عدة أيام من اكتشاف المشكلة، ولكن قد يستغرق وقتًا أطول في حالات نادرة. على سبيل المثال، عادةً ما يتم تأخير إبطال الشهادات لمفاتيح التصديق التي تم تسريبها إذا كان من الممكن إعادة توفير الأجهزة المتأثرة بالإبطال بشكل آمن. ويُعدّ نطاق تأثير الإبطال عاملاً مهمًا أيضًا في تحديد الجداول الزمنية للإبطال.

التحقُّق من أزواج المفاتيح المستنِدة إلى الأجهزة باستخدام مصادقة المفتاح

استرداد زوج من المفاتيح المُدمَجة بشكل آمن في الأجهزة والتحقّق منه

شهادات الجذر

تدوير شهادة الجذر الخاصة بالتحقّق من سلامة الأجهزة

إجراء للمطوّرين

أفضل الممارسات

إيقاف المفاتيح الأصلية نهائيًا: توفير المفاتيح عن بُعد (RKP)

مكتبات التحقّق من صحة الشهادات

قائمة بحالات إبطال الشهادات

سياسة إلغاء الشهادة

ما هي الحالات التي تؤدي إلى الإلغاء؟

مخطط بيانات إضافة مصادقة المفتاح

مخطط بيانات إضافة معلومات توفير المتطلبات اللازمة