СП
Если я правильно понял вопрос - хранитель-кейстор. У него наружу не торчит апи "отдай ключ", только "за/расшифруй сидящим внутри ключом вот эти данные".
Size: a a a
2021 April 04
MA
Если я правильно понял вопрос - хранитель-кейстор. У него наружу не торчит апи "отдай ключ", только "за/расшифруй сидящим внутри ключом вот эти данные".
Кейстор хранит ключи приложений, Вы не можете запросить ключ чтобы пошифровать что-то без предварительной аутентификации. Именно для этого вы вводите пин/пароль/прикладываете палец
СП
Ну если без пальцев - то аппаратный кейстор зашифрует что попросят при поступлении запроса строго от того приложения что генерировало ключ и при указании алиаса. Вероятно это обойти сложно. А пальцы/лицо это доп.уровень к тому.
MA
Даже без запроса на указание пина/пароля?
СП
Кейстор же может работать независимо от пина/биометрии. Это доп.фичи. Биометрии много где и нет
MA
Нет. Можно и без биометрии. Но он для доступа к ключу не попросит аутентификации?
СП
Но получается так - берем низкоэнтропийный пин и смешиваем с высокоэнтропийным ключем в недоступным никому кейсторе.
СП
Max Alexeev
Нет. Можно и без биометрии. Но он для доступа к ключу не попросит аутентификации?
Кажется это опция - нужен ли пин.
MA
А если по дефолту он стоит в системе, но не на конкретном приложении?
PV
Max Alexeev
Кейстор хранит ключи приложений, Вы не можете запросить ключ чтобы пошифровать что-то без предварительной аутентификации. Именно для этого вы вводите пин/пароль/прикладываете палец
Это поидее зависит от того с какими параметрами был отправлен запрос на создание секретного ключа или выпуска ключевой пары. Можно выпустить ключи для пользования которыми не нужна аутентификация, достаточно только знать алиас. Можно выпустить ключи для пользования которыми аутентификация нужна обязательно, без неё будет вылетать исключение. Зависит от задачи
PV
.setUserAuthenticationRequired(true)PV
Или как то так должно быть
СП
Да, как то так
СП
Max Alexeev
А если по дефолту он стоит в системе, но не на конкретном приложении?
Насколько я помню он всегда привязан к сгенерившему его приложению и только на его запрс отреагирует. Иначе кейстор (де)шифровал бы данные для любого процесса самозванца
MA
Понял)
Да я с точки зрения безопасности смотрю, как это все происходит
А ещё, подскажите, Keystore находится у нас в TEE ведь?
И имплементация со StrongBox, как-то влияет на конечную архитектуру?
Они же ведь по разному сделаны, как я понимаю. В одном случае - все на одном чипе, другой - это отдельный сопроцессор
Да я с точки зрения безопасности смотрю, как это все происходит
А ещё, подскажите, Keystore находится у нас в TEE ведь?
И имплементация со StrongBox, как-то влияет на конечную архитектуру?
Они же ведь по разному сделаны, как я понимаю. В одном случае - все на одном чипе, другой - это отдельный сопроцессор
PV
Max Alexeev
Понял)
Да я с точки зрения безопасности смотрю, как это все происходит
А ещё, подскажите, Keystore находится у нас в TEE ведь?
И имплементация со StrongBox, как-то влияет на конечную архитектуру?
Они же ведь по разному сделаны, как я понимаю. В одном случае - все на одном чипе, другой - это отдельный сопроцессор
Да я с точки зрения безопасности смотрю, как это все происходит
А ещё, подскажите, Keystore находится у нас в TEE ведь?
И имплементация со StrongBox, как-то влияет на конечную архитектуру?
Они же ведь по разному сделаны, как я понимаю. В одном случае - все на одном чипе, другой - это отдельный сопроцессор
Ит дэпэндс)
Интерфейс у кейстора один, но реализован он может быть либо:
- программно. Т.е. весь материал ключей хранится в userdata но недоступен без рут-доступа
- аппаратно. Т.е. в трастзоне или другой реализации изолированного пространства чипа со своей ОСью
- аппаратно в отдельном чипе. Это как раз strongbox
Интерфейс у кейстора один, но реализован он может быть либо:
- программно. Т.е. весь материал ключей хранится в userdata но недоступен без рут-доступа
- аппаратно. Т.е. в трастзоне или другой реализации изолированного пространства чипа со своей ОСью
- аппаратно в отдельном чипе. Это как раз strongbox
PV
Первая уже почти не встречается в природе. Последняя по-моему только в пикселях бывает
PV
В 95% случаев это аппаратная реализация в arm trustzone / trusty
MA
Угу, спасибо огромное
PV
Есть метод дя проверки того аппаратная ли реализация, но он самими разрабами отмечен как не гарантирующий достоверный результат в 100% случаев