Đăng ký thiết bị

Giai đoạn đăng ký thiết bị chuẩn bị một thiết bị để lưu trữ VDC bằng cách đăng ký khoá nhận dạng trong hệ thống của Tổ chức phát hành.

Quy trình yêu cầu

Mô tả quy trình

Bước	Nguồn	Mô tả
1	Thiết bị chạy Android	Một yêu cầu VDC mới đã được tạo trên thiết bị của người dùng. Tổ chức phát hành phải tạo một khoá nhận dạng mới. Thiết bị của người dùng gọi getDeviceRegistrationNonce để bắt đầu quy trình này.
2	Các máy chủ của Google	Google chuyển tiếp yêu cầu getDeviceRegistrationNonce đến Tổ chức phát hành.
3	Máy chủ của Tổ chức phát hành	Tổ chức phát hành tạo một giá trị nonce, lưu trữ giá trị đó bằng the deviceReferenceId, và trả giá trị nonce về cho Google.
4	Các máy chủ của Google	Google chuyển tiếp giá trị nonce đến thiết bị của người dùng.
5	Thiết bị chạy Android	Thiết bị của người dùng ký giá trị nonce và nhúng giá trị đó vào chứng chỉ x509. Giá trị này được đưa vào lệnh gọi registerDevice để xác minh thiết bị.
6	Các máy chủ của Google	Google chuyển tiếp lệnh gọi registerDevice đến Tổ chức phát hành.
7	Máy chủ của Tổ chức phát hành	Tổ chức phát hành thực hiện quy trình kiểm tra tính toàn vẹn của thiết bị và lưu trữ khoá nhận dạng được liên kết với thiết bị.

Cách xác minh tính toàn vẹn của thiết bị

Quy trình chứng thực thiết bị là một tính năng bảo mật cho phép tổ chức phát hành xác minh tính toàn vẹn của thiết bị trước khi đăng ký thiết bị đó. Điều này giúp ngăn việc đăng ký các thiết bị đã bị can thiệp hoặc đang chạy phần mềm trái phép.

Để xác minh tính toàn vẹn của thiết bị, tổ chức phát hành cần:

1. Xác thực chuỗi chứng chỉ được gửi trong yêu cầu /registerDevice. Chứng chỉ gốc trong chuỗi phải khớp với chứng chỉ do Google cung cấp.
2. Đảm bảo rằng chứng chỉ gốc không nằm trong Danh sách thu hồi chứng chỉ.
3. Phân tích cú pháp chứng chỉ leaf, đọc các phần mở rộng và xác minh những nội dung sau:
   • Giá trị attestationChallenge khớp với nonce được gửi trong quá trình hoạt động /getDeviceRegistrationNonce.
   • teeEnforced.rootOfTrust có các thuộc tính sau:
     • deviceLocked=TRUE
     • verifiedBootState=VERIFIED
   • Tên gói trong softwareEnforced.attestationApplicationId khớp với com.google.android.gms hoặc com.google.android.gsf.

Lưu ý: Các khoá gốc đã hết hạn vẫn đáng tin cậy. Các thiết bị ra mắt trước năm 2021 có các khoá chứng thực với chứng chỉ đã hết hạn. Các khoá này vẫn đáng tin cậy, trừ phi chúng xuất hiện trong danh sách thu hồi chứng chỉ. Bạn nên sử dụng thư viện Kotlin để xác minh quy trình chứng thực khoá nhằm xử lý trường hợp này và tất cả các chứng chỉ xác minh danh tính thiết bị khác.

Giải thích các phần khác nhau của quy trình chứng thực thiết bị

• Chuỗi chứng chỉ: Chuỗi chứng chỉ là một loạt chứng chỉ xác thực danh tính của thiết bị. Chứng chỉ gốc trong chuỗi là chứng chỉ đáng tin cậy nhất và mỗi chứng chỉ tiếp theo trong chuỗi được ký bằng chứng chỉ ở trên.
• Danh sách thu hồi chứng chỉ: Danh sách thu hồi chứng chỉ (CRL) là danh sách các chứng chỉ đã bị thu hồi vì một số lý do. Nếu chứng chỉ gốc trong chuỗi chứng chỉ chứng thực thiết bị nằm trong CRL, thì chứng chỉ đó không hợp lệ và không nên tin tưởng quy trình chứng thực thiết bị.
• Chứng chỉ leaf: Chứng chỉ leaf là chứng chỉ dành riêng cho thiết bị. Chứng chỉ này chứa thông tin về thiết bị, chẳng hạn như mã nhận dạng phần cứng và phiên bản phần mềm.
• Phần mở rộng: Phần mở rộng là những phần thông tin bổ sung được đưa vào chứng chỉ. Chứng chỉ chứng thực thiết bị chứa một số phần mở rộng được dùng để xác minh tính toàn vẹn của thiết bị. Để biết thêm thông tin, hãy tham khảo giản đồ dữ liệu phần mở rộng chứng chỉ schema.