רישום המכשיר

בשלב רישום המכשיר, המכשיר מוכן לאחסון של VDC על ידי רישום מפתח זהות במערכת של המנפיק.

תהליך הבקשה

תיאור של רצף הפעולות

שלב מקור תיאור
1 מכשיר עם מערכת הפעלה Android נוצרה בקשת VDC חדשה במכשיר של המשתמש. הגורם המנפיק צריך ליצור מפתח זהות חדש. המכשיר של המשתמש מתקשר אל getDeviceRegistrationNonce כדי להתחיל את התהליך הזה.
2 השרתים של Google ‫Google מעבירה את הבקשה getDeviceRegistrationNonce אל המנפיק.
3 שרתים של מנפיקים המוסד המנפיק יוצר מספר חד-פעמי, שומר אותו עם deviceReferenceId, ומחזיר את המספר החד-פעמי ל-Google.
4 השרתים של Google ‫Google מעבירה את המספר החד-פעמי למכשיר של המשתמש.
5 מכשיר עם מערכת הפעלה Android המכשיר של המשתמש חותם על ה-nonce ומטמיע אותו באישור x509. הוא נכלל בקריאה ל-registerDevice כדי לאמת את המכשיר.
6 השרתים של Google ‫Google מעבירה את השיחה registerDevice אל המנפיק.
7 שרתים של מנפיקים הגורם המנפיק מבצע את הבדיקות של תקינות המכשיר ומאחסן את מפתח הזהות שמשויך למכשיר.

איך מאמתים את תקינות המכשיר

אימות המכשיר הוא אמצעי אבטחה שמאפשר לגורמים מנפיקים לאמת את תקינות המכשיר לפני הרישום שלו. כך אפשר למנוע רישום של מכשירים שבוצעו בהם שינויים או שפועלת בהם תוכנה לא מורשית.

כדי לאמת את תקינות המכשיר, מנפיק הכרטיס צריך:

  1. מאמתים את שרשרת האישורים שנשלחה בבקשת /registerDevice. אישור הבסיס בשרשרת חייב להתאים לאישור ש-Google סיפקה.
  2. מוודאים שאישור הבסיס לא מופיע ברשימת ביטול האישורים.
  3. מנתחים את אישור הקצה, קוראים את התוספים ומאמתים את הפרטים הבאים:
    • הערך של attestationChallenge תואם לערך של nonce שנשלח במהלך הפעולה /getDeviceRegistrationNonce.
    • ל-teeEnforced.rootOfTrust יש את המאפיינים הבאים:
      • deviceLocked=TRUE
      • verifiedBootState=VERIFIED
    • שמות החבילות ב-softwareEnforced.attestationApplicationId תואמים ל-com.google.android.gms או ל-com.google.android.gsf.

הסבר על החלקים השונים בתהליך אימות המכשיר

  • שרשרת אישורים: שרשרת האישורים היא סדרה של אישורים שמאמתים את זהות המכשיר. אישור הבסיס בשרשרת הוא האישור המהימן ביותר, וכל אישור אחריו בשרשרת נחתם על ידי האישור שמעליו.
  • רשימת אישורים שבוטלו: רשימת האישורים שבוטלו (CRL) היא רשימה של אישורים שבוטלו מסיבה כלשהי. אם אישור הבסיס בשרשרת אישורי האימות של המכשיר נמצא ב-CRL, האישור לא תקף ואי אפשר לסמוך על אימות המכשיר.
  • אישור קצה: אישור הקצה הוא האישור הספציפי למכשיר. הוא מכיל מידע על המכשיר, כמו מזהי החומרה וגרסת התוכנה שלו.
  • תוספים: התוספים הם קטעי מידע נוספים שנכללים באישור. אישור האימות של המכשיר מכיל מספר תוספים שמשמשים לאימות התקינות של המכשיר. למידע נוסף, עיינו בסכימה של נתוני תוסף האישור.