इस पेज का अनुवाद Cloud Translation API से किया गया है.

कुंजी को प्रमाणित करने की सुविधा के साथ, हार्डवेयर-बैक्ड कुंजी के जोड़े की पुष्टि करें

पासकोड की पुष्टि करने से आपको ज़्यादा भरोसा होता है कि आपके ऐप्लिकेशन में इस्तेमाल की जाने वाली पासकोड, डिवाइस के हार्डवेयर पर आधारित पासकोड स्टोर में सेव किए गए हैं. यहां दिए गए सेक्शन में, हार्डवेयर से सुरक्षित कुंजियों की प्रॉपर्टी की पुष्टि करने और पुष्टि करने वाले सर्टिफ़िकेट के एक्सटेंशन डेटा का विश्लेषण करने का तरीका बताया गया है.

ध्यान दें: किसी डिवाइस की हार्डवेयर पर आधारित कुंजियों की प्रॉपर्टी की पुष्टि, प्रोडक्शन-लेवल के एनवायरमेंट में करने से पहले, पक्का करें कि डिवाइस में हार्डवेयर-लेवल पर कुंजी की पुष्टि करने की सुविधा काम करती हो. ऐसा करने के लिए, देखें कि पुष्टि करने वाले सर्टिफ़िकेट की चेन में कोई ऐसा रूट सर्टिफ़िकेट शामिल है या नहीं जिस पर Google की पुष्टि करने वाली रूट कुंजी से हस्ताक्षर किया गया हो. साथ ही, यह भी देखें कि कुंजी की जानकारी वाले डेटा स्ट्रक्चर में attestationSecurityLevel एलिमेंट, सुरक्षा के TrustedEnvironment लेवल या StrongBox लेवल पर सेट है या नहीं.

इसके अलावा, सर्टिफ़िकेट चेन में मौजूद हस्ताक्षरों की पुष्टि करना और सर्टिफ़िकेट रद्द करने की स्थिति की सूची देखकर यह पुष्टि करना ज़रूरी है कि चेन में मौजूद किसी भी पासकोड को रद्द नहीं किया गया है. जब तक सभी एट्रिब्यूट मान्य नहीं होते और रूट, Google रूट पासकोड नहीं होता, तब तक पुष्टि पर पूरी तरह भरोसा न करें. हालांकि, ध्यान दें कि जिन डिवाइसों में रद्द किए गए सर्टिफ़िकेट मौजूद हैं वे कम से कम उतने ही भरोसेमंद हैं जितने वे डिवाइस जो सिर्फ़ सॉफ़्टवेयर की पुष्टि की सुविधा के साथ काम करते हैं. पूरी तरह मान्य पुष्टि का होना, एक अच्छा संकेत है. ऐसा नहीं होने पर भी यह पता चलता है कि यह न्यूट्रल है - नेगेटिव नहीं.

हार्डवेयर पर सेव की गई कुंजी के पेयर को वापस लाना और उसकी पुष्टि करना

कुंजी के जोड़े की पुष्टि करने के दौरान, आपको कुंजी के जोड़े के लिए उपनाम की जानकारी देनी होती है और उसकी सर्टिफ़िकेट चेन वापस हासिल करनी होती है. इसका इस्तेमाल, उस कुंजी के जोड़े की प्रॉपर्टी की पुष्टि करने के लिए किया जा सकता है.

अगर डिवाइस में हार्डवेयर-लेवल पर पुष्टि करने की सुविधा काम करती है, तो इस चेन में शामिल रूट सर्टिफ़िकेट को, पुष्टि करने वाली रूट कुंजी का इस्तेमाल करके साइन किया जाता है. यह कुंजी, डिवाइस के हार्डवेयर-बैक्ड कीस्टोर में सुरक्षित तरीके से सेट होती है.

ध्यान दें: हार्डवेयर-लेवल पासकोड की पुष्टि करने की सुविधा, Android 7.0 (एपीआई लेवल 24) या इसके बाद के वर्शन, और Google Play services के साथ शिप होने वाले डिवाइसों पर, रूट सर्टिफ़िकेट पर Google की पुष्टि करने वाली रूट पासकोड से हस्ताक्षर किया जाता है. पुष्टि करें कि यह रूट सर्टिफ़िकेट, रूट सर्टिफ़िकेट सेक्शन में मौजूद सर्टिफ़िकेट में से एक हो.

पासकोड की पुष्टि करने की सुविधा लागू करने के लिए, यह तरीका अपनाएं:

हार्डवेयर पर आधारित पासकोड सेव करने की सुविधा वाले पासकोड स्टोर से जुड़े X.509 सर्टिफ़िकेट की चेन का रेफ़रंस पाने के लिए, KeyStore ऑब्जेक्ट के getCertificateChain() तरीके का इस्तेमाल करें.
पुष्टि करने के लिए, सर्टिफ़िकेट किसी ऐसे अलग सर्वर पर भेजें जिस पर आपको भरोसा हो.

चेतावनी: पुष्टि करने की यह प्रोसेस, उसी डिवाइस पर न करें जिस पर KeyStore मौजूद है. अगर उस डिवाइस पर मौजूद Android सिस्टम को हैक कर लिया गया है, तो पुष्टि करने की प्रोसेस में, किसी ऐसे ऐप्लिकेशन पर भरोसा किया जा सकता है जिस पर भरोसा नहीं किया जा सकता.
X.509 सर्टिफ़िकेट चेन को पार्स करने और पुष्टि करने वाली ऐसी लाइब्रेरी का रेफ़रंस पाएं जो आपके टूलसेट के लिए सबसे सही हो. पुष्टि करें कि रूट पब्लिक सर्टिफ़िकेट भरोसेमंद है और हर सर्टिफ़िकेट, चेन के अगले सर्टिफ़िकेट पर हस्ताक्षर करता है.
हर सर्टिफ़िकेट के रद्द होने का स्टेटस देखें, ताकि यह पक्का किया जा सके कि किसी भी सर्टिफ़िकेट को रद्द नहीं किया गया है.
इसके अलावा, प्रॉविज़न करने की जानकारी वाले सर्टिफ़िकेट एक्सटेंशन की जांच करें. यह एक्सटेंशन, सिर्फ़ नई सर्टिफ़िकेट चेन में मौजूद होता है.

अपने टूलसेट के लिए, सबसे सही सीबीओआर पार्सर लाइब्रेरी का रेफ़रंस पाएं. रूट के सबसे नज़दीक का वह सर्टिफ़िकेट ढूंढें जिसमें प्रोसवाइज़िंग की जानकारी वाला सर्टिफ़िकेट एक्सटेंशन शामिल हो. उस सर्टिफ़िकेट से, प्रोवाइज़न करने की जानकारी वाले सर्टिफ़िकेट एक्सटेंशन का डेटा निकालने के लिए, पार्सर का इस्तेमाल करें.

ज़्यादा जानकारी के लिए, प्रोविज़निंग की जानकारी वाले एक्सटेंशन डेटा स्कीमा सेक्शन देखें.
अपने टूलसेट के लिए, सबसे सही ASN.1 पार्सर लाइब्रेरी का रेफ़रंस पाएं. रूट के सबसे नज़दीक का वह सर्टिफ़िकेट ढूंढें जिसमें पासकोड की पुष्टि करने वाला सर्टिफ़िकेट एक्सटेंशन शामिल हो. अगर प्रावधान की जानकारी देने वाले सर्टिफ़िकेट का एक्सटेंशन मौजूद था, तो कुंजी की पुष्टि करने वाले सर्टिफ़िकेट का एक्सटेंशन, उसके बाद वाले सर्टिफ़िकेट में होना चाहिए. उस सर्टिफ़िकेट से, पुष्टि करने वाले सर्टिफ़िकेट के एक्सटेंशन का मुख्य डेटा निकालने के लिए, पार्सर का इस्तेमाल करें.

चेतावनी: यह न मानें कि कुंजी की पुष्टि करने वाला सर्टिफ़िकेट एक्सटेंशन, चेन के लीफ़ सर्टिफ़िकेट में मौजूद है. चेन में, एक्सटेंशन के सिर्फ़ पहले वर्शन पर भरोसा किया जा सकता है. इसके बाद, एक्सटेंशन का कोई भी इंस्टेंस सुरक्षित हार्डवेयर ने जारी नहीं किया हो और हो सकता है कि किसी हमलावर ने चेन का विस्तार करते हुए गैर-भरोसेमंद कुंजियों के नकली पुष्टि करने की कोशिश करते हुए उसे जारी किया हो.

कुंजी को प्रमाणित करने वाले सैंपल में, बाउंसी कैसल का ASN.1 पार्सर इस्तेमाल किया जाता है. इसकी मदद से, पुष्टि करने के सर्टिफ़िकेट के एक्सटेंशन का डेटा निकाला जाता है. अपना पार्सर बनाने के लिए, इस सैंपल को पहचान फ़ाइल के तौर पर इस्तेमाल किया जा सकता है.

ज़्यादा जानकारी के लिए, पुष्टि करने की कुंजी वाले एक्सटेंशन के डेटा स्कीमा का सेक्शन देखें.
एक जैसा अनुभव पाने के लिए, पिछले चरणों में मिले एक्सटेंशन डेटा की जांच करें. साथ ही, उन वैल्यू के सेट से तुलना करें जिनमें आपको हार्डवेयर-बैक्ड की शामिल होने की उम्मीद है.

रूट सर्टिफ़िकेट

पुष्टि करना कितना भरोसेमंद है, यह चेन के रूट सर्टिफ़िकेट पर निर्भर करता है. Android डिवाइसों को Google Play के साथ-साथ, Google के अन्य ऐप्लिकेशन इस्तेमाल करने के लिए, ज़रूरी टेस्टिंग से गुज़रना होता है. ऐसे डिवाइसों को Android 7.0 (एपीआई लेवल 24) या उसके बाद के वर्शन पर लॉन्च किया जाना चाहिए. साथ ही, इन डिवाइसों को Google के हार्डवेयर की पुष्टि करने वाले रूट सर्टिफ़िकेट से साइन की गई पुष्टि करने वाली कुंजियों का इस्तेमाल करना चाहिए. ध्यान दें कि Android 8.0 (एपीआई लेवल 26) तक, पुष्टि करना ज़रूरी नहीं था. रूट सार्वजनिक कुंजी इस तरह की होती है:

पहले जारी किए गए रूट सर्टिफ़िकेट

अगर आपको मिली पुष्टि की चेन में मौजूद रूट सर्टिफ़िकेट में यह सार्वजनिक कुंजी है और चेन में मौजूद किसी भी सर्टिफ़िकेट को रद्द नहीं किया गया है, तो आपको यह पता चलता है कि:

आपकी कुंजी उस हार्डवेयर में हो जिसे Google सुरक्षित मानता हो; और
इसमें, पुष्टि करने वाले सर्टिफ़िकेट में बताई गई प्रॉपर्टी होती हैं.

अगर पुष्टि करने वाली चेन में कोई दूसरी रूट सार्वजनिक कुंजी है, तो Google, हार्डवेयर की सुरक्षा के बारे में कोई दावा नहीं करता. इसका मतलब यह नहीं है कि आपकी कुंजी का इस्तेमाल गलत तरीके से किया जा रहा है. इसका मतलब सिर्फ़ यह है कि पुष्टि करने की प्रक्रिया से यह साबित नहीं होता कि कुंजी सुरक्षित हार्डवेयर में है. सुरक्षा से जुड़े अपने अनुमानों में बदलाव करें.

अगर रूट सर्टिफ़िकेट में इस पेज पर सार्वजनिक कुंजी मौजूद नहीं है, तो इसकी दो वजहें हो सकती हैं:

ऐसा हो सकता है कि डिवाइस को Android 7.0 से पहले के वर्शन के साथ लॉन्च किया गया हो और वह हार्डवेयर की पुष्टि करने की सुविधा के साथ काम न करता हो. इस मामले में, Android में पुष्टि करने के लिए एक सॉफ़्टवेयर लागू किया गया है, जो पुष्टि करने का एक ही तरह का सर्टिफ़िकेट देता है. हालांकि, इस पर Android सोर्स कोड में हार्डकोड की कुंजी से साइन किया जाता है. साइनिंग पासकोड को सार्वजनिक तौर पर शेयर किया जाता है. इसलिए, हो सकता है कि हमलावर ने सुरक्षित हार्डवेयर उपलब्ध कराने का दावा करके, पुष्टि करने वाला सर्टिफ़िकेट बनाया हो.
इसकी एक और वजह यह हो सकती है कि डिवाइस, Google Play डिवाइस न हो. ऐसे में, डिवाइस बनाने वाली कंपनी अपने हिसाब से रूट बना सकती है और पुष्टि के बारे में अपनी पसंद के मुताबिक दावे कर सकती है. डिवाइस बनाने वाली कंपनी के दस्तावेज़ देखें. ध्यान दें कि Google को ऐसे किसी भी डिवाइस मैन्युफ़ैक्चरर के बारे में जानकारी नहीं है जिसने ऐसा किया हो.

सर्टिफ़िकेट रद्द करने की स्थिति की सूची

प्रमाणित करने वाली कुंजियों को कई वजहों से निरस्त किया जा सकता है. इनमें, किसी हमलावर की ओर से गलत तरीके से काम करना या संदिग्ध तरीके से उसे निकालना शामिल है. इसलिए, यह ज़रूरी है कि पुष्टि करने की चेन में हर सर्टिफ़िकेट के स्टेटस की जांच, आधिकारिक सर्टिफ़िकेट रद्द होने की स्थिति वाली सूची (सीआरएल) के साथ की जाए. Google इस सूची का रखरखाव करता है और इसे यहां पब्लिश करता है: https://android.googleapis.com/attestation/status. एचटीटीपी रिस्पॉन्स में Cache-Control हेडर से यह तय होता है कि अपडेट की जांच कितनी बार करनी है. इसलिए, हर सर्टिफ़िकेट की पुष्टि के लिए नेटवर्क अनुरोध की ज़रूरत नहीं होती. यह यूआरएल, एक JSON फ़ाइल दिखाता है. इसमें उन सर्टिफ़िकेट के रद्द होने की स्थिति के बारे में बताया जाता है जिनकी मान्यता सामान्य नहीं है. JSON फ़ाइल का फ़ॉर्मैट, JSON स्कीमा (ड्राफ़्ट 07) की इस परिभाषा का पालन करता है:

{
  "$schema": "http://json-schema.org/draft-07/schema#",
  "type": "object",
  "properties": {
    "entries": {
      "description" : "Each entry represents the status of an attestation key. The dictionary-key is the certificate serial number in lowercase hex.",
      "type": "object",
      "propertyNames": {
        "pattern": "^[a-f1-9][a-f0-9]*$"
      },
      "additionalProperties": {
        "type": "object",
        "properties": {
          "status": {
            "description": "[REQUIRED] Current status of the key.",
            "type": "string",
            "enum": ["REVOKED", "SUSPENDED"]
          },
          "expires": {
            "description": "[OPTIONAL] UTC date when certificate expires in ISO8601 format (YYYY-MM-DD). Can be used to clear expired certificates from the status list.",
            "type": "string",
            "format": "date"
          },
          "reason": {
            "description": "[OPTIONAL] Reason for the current status.",
            "type": "string",
            "enum": ["UNSPECIFIED", "KEY_COMPROMISE", "CA_COMPROMISE", "SUPERSEDED", "SOFTWARE_FLAW"]
          },
          "comment": {
            "description": "[OPTIONAL] Free form comment about the key status.",
            "type": "string",
            "maxLength": 140
          }
        },
        "required": ["status"],
        "additionalProperties": false
      }
    }
  },
  "required": ["entries"],
  "additionalProperties": false
}

सीआरएल का उदाहरण:

{
  "entries": {
    "2c8cdddfd5e03bfc": {
      "status": "REVOKED",
      "expires": "2020-11-13",
      "reason": "KEY_COMPROMISE",
      "comment": "Key stored on unsecure system"
    },
    "c8966fcb2fbb0d7a": {
      "status": "SUSPENDED",
      "reason": "SOFTWARE_FLAW",
      "comment": "Bug in keystore causes this key malfunction b/555555"
    }
  }
}

कुंजी की पुष्टि करने वाले एक्सटेंशन का डेटा स्कीमा

प्रॉविज़निंग इन्फ़ॉर्मेशन एक्सटेंशन का डेटा स्कीमा

प्रावधान की जानकारी वाले एक्सटेंशन का OID 1.3.6.1.4.1.11129.2.1.30 है. यह एक्सटेंशन, डिवाइस के बारे में वह जानकारी देता है जो डिवाइस को सेट अप करने वाले सर्वर के पास होती है. यह एक्सटेंशन, CDDL स्कीमा का पालन करता है.

  {
        1 : int,   ; certificates issued
  }

मैप में कोई वर्शन नहीं होता और इसमें वैकल्पिक फ़ील्ड जोड़े जा सकते हैं.

certs_issued: पिछले 30 दिनों में डिवाइस को जारी किए गए सर्टिफ़िकेट की अनुमानित संख्या. अगर वैल्यू, औसत से काफ़ी ज़्यादा है, तो इस वैल्यू का इस्तेमाल संभावित गलत इस्तेमाल के सिग्नल के तौर पर किया जा सकता है.