تمت ترجمة هذه الصفحة بواسطة Cloud Translation API‏.

التحقُّق من أزواج المفاتيح المستنِدة إلى الأجهزة باستخدام مصادقة المفتاح

تمنحك شهادة إثبات ملكية المفاتيح ثقة أكبر بأنّ المفاتيح التي تستخدمها في تطبيقك يتم تخزينها في متجر مفاتيح يستند إلى الأجهزة في الجهاز. توضّح الأقسام التالية طريقة إثبات صحة سمات المفاتيح المستنِدة إلى أجهزة الكمبيوتر وكيفية تفسير بيانات إضافة شهادات المصادقة.

ملاحظة: قبل التحقّق من خصائص مفاتيح الجهاز المتوافقة مع الأجهزة في بيئة على مستوى الإنتاج، تأكَّد من أنّ الجهاز متوافق مع عملية إثبات ملكية المفتاح على مستوى الأجهزة. لإجراء ذلك، تأكَّد من أنّ سلسلة شهادة الإثبات تحتوي على شهادة جذر تم توقيعها باستخدام مفتاح الجذر لإثبات الهوية من Google ومن أنّه تم ضبط عنصر attestationSecurityLevel ضمن بنية بيانات وصف المفتاح على مستوى الأمان TrustedEnvironment أو على مستوى الأمان StrongBox.

بالإضافة إلى ذلك، من المهم التحقّق من التوقيعات في سلسلة الشهادات والتأكّد من عدم إبطال أي من المفاتيح في السلسلة من خلال التحقّق من قائمة حالات إبطال الشهادة. لا تثق بشكل كامل في شهادة الاعتماد ما لم تكن جميعها صالحة وكان المفتاح الجذر هو مفتاح Google الجذر. تجدر الإشارة إلى أنّ الأجهزة التي تحتوي على شهادات مُلغاة تظل على الأقل جديرة بالثقة مثل الأجهزة التي توفّر شهادة اعتماد البرامج فقط. ويُعدّ الحصول على شهادة صالحة بالكامل مؤشرًا إيجابيًا قويًا. ويُعدّ عدم توفّر علامة مؤشرًا محايدًا، وليس سلبيًا.

استرداد زوج مفاتيح مستند إلى الجهاز والتحقّق منه

أثناء إثبات ملكية المفتاح، يمكنك تحديد الاسم المعرِّف لزوج مفاتيح التشفير واسترداد سلسلة شهادته، والتي يمكنك استخدامها للتحقّق من خصائص هذا الزوج.

إذا كان الجهاز متوافقًا مع إثبات ملكية المفتاح على مستوى الأجهزة، يتم توقيع شهادة الجذر ضمن هذه السلسلة باستخدام مفتاح جذر إثبات الملكية الذي تم تزويده بأمان في متجر المفاتيح المستند إلى الأجهزة في الجهاز.

ملاحظة: على الأجهزة التي يتم شحنها مع شهادة اعتماد مفتاح على مستوى الأجهزة ونظام التشغيل Android 7.0 (المستوى 24 من واجهة برمجة التطبيقات) أو الإصدارات الأحدث و"خدمات Google Play"، يتم توقيع الشهادة الجذر باستخدام مفتاح الجذر لشهادة اعتماد Google. تأكَّد من أنّ شهادة الجذر هذه من بين الشهادات المدرَجة في قسم شهادات الجذر.

لتنفيذ المصادقة الرئيسية، أكمِل الخطوات التالية:

استخدِم طريقة getCertificateChain() لعنصر KeyStore للحصول على إشارة إلى سلسلة شهادات X.509 المرتبطة بملف تخزين المفاتيح المستنِد إلى الأجهزة.
أرسِل الشهادات إلى خادم منفصل تثق به للتحقّق من صحتها.

تحذير: لا تُكمِل عملية التحقّق التالية على الجهاز نفسه الذي يتضمّن "متجر المفاتيح". إذا تم اختراق نظام Android على ذلك الجهاز، قد يؤدي ذلك إلى أن تثق عملية التحقّق في شيء غير موثوق به.
احصل على مرجع إلى مكتبة تحليل سلسلة شهادة X.509 والتحقّق منها التي تكون الأكثر ملاءمةً لمجموعة أدواتك. تأكَّد من أنّ الشهادة العامة الجذر جديرة بالثقة وأنّ كل شهادة توقع الشهادة التالية في السلسلة.
تحقَّق من حالة الإبطال لكل شهادة للتأكّد من عدم إبطال أي من الشهادات.
يمكنك اختياريًا فحص إضافة شهادة معلومات التوفّر التي لا تظهر إلا في سلاسل الشهادات الأحدث.

واحصل على مرجع لمكتبة المحلل اللغوي CBOR الأنسب لمجموعة أدواتك. ابحث عن أقرب شهادة إلى الجذر تحتوي على إضافة شهادة معلومات الإعداد. استخدِم المُحلِّل لاستخراج بيانات إضافة شهادة معلومات الإعداد من هذه الشهادة.

اطّلِع على القسم حول مخطّط بيانات إضافة معلومات التوفّر للحصول على مزيد من التفاصيل.
احصل على مرجع إلى مكتبة مفسِّر ASN.1 الأكثر ملاءمةً لمجموعة أدواتك. ابحث عن أقرب شهادة إلى الجذر تحتوي على إضافة شهادة إثبات ملكية المفتاح. إذا كانت إضافة شهادة معلومات توفير المتطلبات اللازمة متوفّرة، يجب أن تكون إضافة شهادة مصادقة المفتاح مضمّنة في الشهادة اللاحقة على الفور. استخدِم معالج تحليل البيانات لاستخراج بيانات إضافة شهادة إثبات الملكية للمفتاح من هذه الشهادة.

تحذير: لا تفترض أن إضافة شهادة مصادقة المفتاح موجودة في الشهادة الأساسية للسلسلة. يمكن الوثوق فقط بأول مرّة تظهر فيها الإضافة في السلسلة. ولم يتم إصدار أي مثيلات أخرى من الإضافة من خلال الجهاز الآمن، وقد يكون قد أصدرها مهاجم أثناء محاولة إنشاء عمليات مصادقة مزيفة للمفاتيح غير الموثوق بها.

يستخدم نموذج مصادقة المفتاح محلّل ASN.1 اللغوي من Bouncy Castle لاستخراج بيانات الإضافة الخاصة بشهادة مصادقة. يمكنك استخدام هذا العيّنة كمرجع لإنشاء معالج لسلاسل النصوص.

اطّلِع على القسم حول مخطّط بيانات إضافة إثبات ملكية المفتاح للحصول على مزيد من التفاصيل.
تحقَّق من بيانات الإضافة التي استرجاعتها في الخطوات السابقة للتأكّد من تناسقها وقارِنها بمجموعة القيم التي تتوقّع أن يحتوي عليها المفتاح المستند إلى الجهاز.

شهادات الجذر

تعتمد موثوقية شهادة الاعتماد على شهادة الجذر في السلسلة. أجهزة Android التي اجتازت الاختبار المطلوب لتثبيت حزمة تطبيقات Google، بما في ذلك Google Play، والتي تم تشغيلها باستخدام الإصدار 7.0 من Android (المستوى 24 لواجهة برمجة التطبيقات) أو إصدار أحدث، يجب أن تستخدم مفاتيح التصديق الموقَّعة بشهادة جذر تصديق أجهزة Google. يُرجى العلم أنّ المصادقة لم تكن مطلوبة حتى إصدار Android 8.0 (المستوى 26 من واجهة برمجة التطبيقات). المفتاح العام للجذر هو كما يلي:

شهادات الجذر التي تم إصدارها سابقًا

إذا كانت شهادة الجذر في سلسلة المصادقة التي تتلقّاها تحتوي على هذا المفتاح العام ولم يتم إبطال أي من الشهادات في السلسلة، سيكون على دراية بما يلي:

مفتاحك متوفّر في أجهزة تعتقد Google أنّها آمنة.
أن تتضمّن السمات الموضّحة في شهادة الشهادة

إذا كانت سلسلة الإثبات تتضمّن أي مفتاح عام آخر للجذر، لا تقدّم Google أي ادعاءات بشأن أمان الجهاز. لا يعني ذلك أنّ مفتاحك قد تم اختراقه، بل يعني فقط أنّ شهادة التحقّق لا تثبت أنّ المفتاح محفوظ في جهاز آمن. عدِّل افتراضات الأمان وفقًا لذلك.

إذا لم تكن شهادة الجذر تحتوي على المفتاح العام في هذه الصفحة، هناك سببان محتملان:

على الأرجح، تم إطلاق الجهاز بإصدار Android أقدم من 7.0 ولا يتيح مصادقة الأجهزة. في هذه الحالة، يتضمّن Android عملية تنفيذ للشهادة من خلال البرامج تُنشئ النوع نفسه من شهادة الشهادة، ولكن يتم توقيعها باستخدام مفتاح مُبرمَج بشكل ثابت في رمز Android المصدر. وبما أنّ مفتاح التوقيع هذا ليس سريًا، قد يكون مُنشئ شهادة المُثبِّت هو أحد المهاجمين الذين يدّعون تقديم أجهزة آمنة.
السبب المحتمل الآخر هو أنّ الجهاز ليس من أجهزة Google Play. وفي هذه الحالة، يكون صانع الجهاز حرًا في إنشاء جذر خاص به وتقديم أي ادعاءات يريدها بشأن معنى شهادة الاعتماد. راجِع مستندات الشركة المصنّعة للجهاز. يُرجى العِلم بأنّ Google ليست على عِلم بأي صنّاع محتوى نفّذوا هذا الإجراء.

قائمة حالات إبطال الشهادات

يمكن إبطال مفاتيح المصادقة لعدد من الأسباب، بما في ذلك إساءة التعامل أو الاشتباه في استخراجها من قِبل المهاجم. ولذلك، من الضروري التحقق من حالة كل شهادة في سلسلة المصادقة بالمقارنة مع قائمة حالات إبطال الشهادات الرسمية (CRL). تحتفظ Google بهذه القائمة ويتم نشرها على: https://android.googleapis.com/attestation/status. يحدِّد رأس Cache-Control في استجابة HTTP عدد المرات التي يتم فيها البحث عن التحديثات كي لا يكون طلب الشبكة مطلوبًا لكل شهادة يتم التحقّق منها. يعرض عنوان URL هذا ملف JSON يحتوي على حالة إبطال أيّ شهادات ليس لديها حالة صالحة عادية. يتوافق تنسيق ملف JSON مع تعريف مخطط JSON (المسودة 07) التالي:

{
  "$schema": "http://json-schema.org/draft-07/schema#",
  "type": "object",
  "properties": {
    "entries": {
      "description" : "Each entry represents the status of an attestation key. The dictionary-key is the certificate serial number in lowercase hex.",
      "type": "object",
      "propertyNames": {
        "pattern": "^[a-f1-9][a-f0-9]*$"
      },
      "additionalProperties": {
        "type": "object",
        "properties": {
          "status": {
            "description": "[REQUIRED] Current status of the key.",
            "type": "string",
            "enum": ["REVOKED", "SUSPENDED"]
          },
          "expires": {
            "description": "[OPTIONAL] UTC date when certificate expires in ISO8601 format (YYYY-MM-DD). Can be used to clear expired certificates from the status list.",
            "type": "string",
            "format": "date"
          },
          "reason": {
            "description": "[OPTIONAL] Reason for the current status.",
            "type": "string",
            "enum": ["UNSPECIFIED", "KEY_COMPROMISE", "CA_COMPROMISE", "SUPERSEDED", "SOFTWARE_FLAW"]
          },
          "comment": {
            "description": "[OPTIONAL] Free form comment about the key status.",
            "type": "string",
            "maxLength": 140
          }
        },
        "required": ["status"],
        "additionalProperties": false
      }
    }
  },
  "required": ["entries"],
  "additionalProperties": false
}

مثال على قائمة شهادات الاعتماد المُلغاة:

{
  "entries": {
    "2c8cdddfd5e03bfc": {
      "status": "REVOKED",
      "expires": "2020-11-13",
      "reason": "KEY_COMPROMISE",
      "comment": "Key stored on unsecure system"
    },
    "c8966fcb2fbb0d7a": {
      "status": "SUSPENDED",
      "reason": "SOFTWARE_FLAW",
      "comment": "Bug in keystore causes this key malfunction b/555555"
    }
  }
}

مخطّط بيانات إضافة مصادقة المفتاح

مخطّط بيانات إضافة معلومات توفير المتطلبات اللازمة

تحتوي إضافة معلومات التوفير على معرّف OID 1.3.6.1.4.1.11129.2.1.30. تقدّم الإضافة معلومات معروفة عن الجهاز من خلال خادم إدارة الحسابات. تتبع هذه الإضافة مخطّط CDDL.

  {
        1 : int,   ; certificates issued
  }

الخريطة غير مرتبطة بإصدار معيّن، وقد تتم إضافة حقول اختيارية جديدة.

certs_issued: عدد تقريبي للشهادات التي تم إصدارها للجهاز في آخر 30 يومًا يمكن استخدام هذه القيمة كإشارة على إساءة الاستخدام المحتمَلة إذا كانت القيمة أكبر من المتوسط بعدة مرات.