การลงทะเบียนอุปกรณ์

ระยะการลงทะเบียนอุปกรณ์จะเตรียมอุปกรณ์ให้พร้อมสำหรับการจัดเก็บ VDC โดยการลงทะเบียนคีย์ข้อมูลประจำตัวในระบบของผู้ให้บริการ

โฟลว์คำขอ

คำอธิบายโฟลว์

ขั้นตอน แหล่งที่มา คำอธิบาย
1 อุปกรณ์ที่ใช้ระบบปฏิบัติการ Android ระบบได้สร้างคำขอ VDC ใหม่ในอุปกรณ์ของผู้ใช้ ผู้ให้บริการต้องสร้างคีย์ข้อมูลประจำตัวใหม่ อุปกรณ์ของผู้ใช้ จะเรียก getDeviceRegistrationNonce เพื่อเริ่มกระบวนการนี้
2 เซิร์ฟเวอร์ของ Google Google จะส่งต่อคำขอ getDeviceRegistrationNonce ไปยัง ผู้ให้บริการ
3 เซิร์ฟเวอร์ของผู้ให้บริการ ผู้ให้บริการจะสร้าง Nonce จัดเก็บ Nonce พร้อมกับ deviceReferenceId และส่ง Nonce กลับไปยัง Google
4 เซิร์ฟเวอร์ของ Google Google จะส่งต่อ Nonce ไปยังอุปกรณ์ของผู้ใช้
5 อุปกรณ์ที่ใช้ระบบปฏิบัติการ Android อุปกรณ์ของผู้ใช้จะลงชื่อ Nonce และฝัง Nonce ไว้ในใบรับรอง x509 โดยจะรวมอยู่ในการเรียก registerDevice เพื่อยืนยันอุปกรณ์
6 เซิร์ฟเวอร์ของ Google Google จะส่งต่อการเรียก registerDevice ไปยังผู้ให้บริการ
7 เซิร์ฟเวอร์ของผู้ให้บริการ ผู้ให้บริการจะทำการตรวจสอบความสมบูรณ์ของอุปกรณ์และจัดเก็บคีย์ข้อมูลประจำตัว ที่เชื่อมโยงกับอุปกรณ์

วิธีตรวจสอบความสมบูรณ์ของอุปกรณ์

การรับรองความถูกต้องของอุปกรณ์เป็นฟีเจอร์ความปลอดภัยที่ช่วยให้ผู้ออกบัตรยืนยันความสมบูรณ์ของอุปกรณ์ก่อนที่จะลงทะเบียน ซึ่งจะช่วยป้องกันการลงทะเบียนอุปกรณ์ที่ ถูกดัดแปลงหรือใช้อุปกรณ์ที่ใช้ซอฟต์แวร์ที่ไม่ได้รับอนุญาต

ผู้ให้บริการควรดำเนินการดังนี้เพื่อยืนยันความสมบูรณ์ของอุปกรณ์

  1. ตรวจสอบความถูกต้องของสายใบรับรองที่ส่งในคำขอ /registerDevice ใบรับรองรูทในสายใบรับรองต้องตรงกับ ใบรับรอง ที่ Google ให้ไว้
  2. ตรวจสอบว่าใบรับรองรูทไม่ได้อยู่ในรายการยกเลิกใบรับรอง
  3. แยกวิเคราะห์ใบรับรอง Leaf อ่านส่วนขยาย และตรวจสอบสิ่งต่อไปนี้
    • ค่า attestationChallenge ตรงกับ nonce ที่ส่งระหว่างการดำเนินการ /getDeviceRegistrationNonce
    • teeEnforced.rootOfTrust มีพร็อพเพอร์ตี้ต่อไปนี้
      • deviceLocked=TRUE
      • verifiedBootState=VERIFIED
    • ชื่อแพ็กเกจใน softwareEnforced.attestationApplicationId ตรงกับ com.google.android.gms หรือ com.google.android.gsf

คำอธิบายส่วนต่างๆ ของกระบวนการรับรองความถูกต้องของอุปกรณ์

  • สายใบรับรอง: สายใบรับรองคือชุดใบรับรองที่ตรวจสอบสิทธิ์ตัวตนของอุปกรณ์ ใบรับรองรูทในสายใบรับรองเป็นใบรับรองที่เชื่อถือได้มากที่สุด และใบรับรองที่ตามมาแต่ละใบในสายใบรับรองจะได้รับการลงชื่อโดยใบรับรองที่อยู่เหนือใบรับรองนั้น
  • รายการยกเลิกใบรับรอง: รายการยกเลิกใบรับรอง (CRL) คือรายการใบรับรองที่ถูกยกเลิกด้วยเหตุผลบางประการ หากใบรับรองรูทในสายใบรับรองการรับรองความถูกต้องของอุปกรณ์อยู่ใน CRL แสดงว่าใบรับรองไม่ถูกต้องและไม่ควรเชื่อถือการรับรองความถูกต้องของอุปกรณ์
  • ใบรับรอง Leaf: ใบรับรอง Leaf คือใบรับรองที่เฉพาะเจาะจงกับอุปกรณ์ โดยจะมีข้อมูลเกี่ยวกับอุปกรณ์ เช่น ตัวระบุฮาร์ดแวร์และเวอร์ชันของซอฟต์แวร์
  • ส่วนขยาย: ส่วนขยายคือข้อมูลเพิ่มเติมที่รวมอยู่ในใบรับรอง ใบรับรองการรับรองความถูกต้องของอุปกรณ์มีส่วนขยายจำนวนหนึ่งที่ใช้เพื่อยืนยันความสมบูรณ์ของอุปกรณ์ ดูข้อมูลเพิ่มเติมได้ที่สคีมาข้อมูลส่วนขยายใบรับรอง