java - 如何使用 OpenPGP (Yubikey) 对应用程序包 (APK) 进行签名？

Question

我想使用存储在我 Yubikey 的 OpenPGP 小程序中的 OpenPGP key 签署 APK 文件。

我知道，有一个 solution for APK signing using Yubikey's PIV applet .但是，PIV 小程序只能处理 key 长度最多为 2048 位的 RSA key 。

BSI TR-02102-1 Cryptographic Mechanisms Technical Guidelines (翻译英文版)声明从 2023 年开始(或用于 2023 年及以后的使用)，只允许 key 长度大于或等于 3000 位的 RSA key 。第一个可用的 标准 key 长度为 3072 位。我必须符合BSI TR-02102。

这总结为要求，我必须使用 3072 位的 key 长度和 RSA 作为算法，我不能使用 PIV APK 唱歌方法。

有没有办法使用 Yubikey 4 的 OpenPGP 小程序使用标准程序或使用自定义程序对 APK 文件进行签名？

注意:私钥在 Yubikey 上生成，不可导出。这是由于 Yubikey 的设计和我的最低安全要求。所以导出和对话是不可能的。

Answer 1

使用支持 RSA 3072 4096 的 USB token 或智能卡进行个人身份验证？甚至没有 Yubikey 5确实支持 PIV/FIPS 201-2 (这是一个智能卡仿真)。我已经搜索了一段时间，但似乎几乎没有任何硬件支持它(以防它甚至适用)；我能找到的替代品是RSA SecurID , Nitrokey Pro 2和 Gemalto IDBridge K50 .

带有 APK 签名 v2或 v3 ，上传 key 的强度可能甚至没有那么重要......它说 RSA 1024, RSA 2048, RSA 4096, RSA 8192, RSA 16384 is supported,但它没有说明实际的 release key 将具有何种强度，这将是其中相当有趣的部分。 V3SchemeSigner PKCS1 V1.5 编码格式的提示；但找出答案的唯一方法是通过运行 ssh-keygen -lf ./rsa_key.pub (显示公钥文件的指纹)从 Play 商店检查包的公钥，这也显示了键的强度)。

security.stackexchange.com可能会提供更多线索。