Android Key Store API 23，在没有指纹扫描仪的情况下使用 setUserAuthenticationRequired

Question

我尝试使用 Google 示例 (BasicAndroidKeyStore) 生成 key 对。我所做的唯一修改是在 KeyGenParameterSpec.Builder 中设置 setUserAuthenticationRequired(true)。

我假设它在带有嵌入式指纹扫描仪的设备上运行良好，但在 OnePlus One(在 Android 6.0 下运行)上运行它，我得到以下异常:

必须至少注册一个指纹才能创建每次使用都需要用户身份验证的 key

手机确实将锁屏设置为使用该图案，但显然它需要指纹进行身份验证。知道如何在没有实际指纹读取器的情况下使用 API 23 keystore 吗？

Answer 1

在现代 Android 设备上，指纹扫描仪直接与硬件安全模块相关联。

因此，现在有一种有意义的方式来提供 protected 隔离加密 - 即使在已获得 root 权限的手机上也是如此。

查看这些指南:

https://developer.android.com/training/articles/keystore#HardwareSecurityModule

攻击者必须诱使用户刷动指纹才能解锁内容……而每次刷动只有一次解密或签名。

这是“相当不错”的安全性，但由于 API 限制和限制(特别是缺少 ECDH!)，大多数声称使用 Android 钥匙串(keychain)系统的应用程序并不使用 StrongBox。即使是那些在不可用时也不会警告用户。

因此，越狱或零日可能会危及大多数应用程序 key 。

请考虑检测注册，并警告您的用户他们的数据在没有注册的硬件生物识别设备的设备上更容易受到攻击。