android - 我们可以从 Android Keystore 中提取公钥/私钥吗？

Question

关于 Android Keystore system文章，

Key material never enters the application process. When an application performs cryptographic operations using an Android Keystore key, behind the scenes plaintext, ciphertext, and messages to be signed or verified are fed to a system process which carries out the cryptographic operations. If the app's process is compromised, the attacker may be able to use the app's keys but cannot extract their key material (for example, to be used outside of the Android device)

所以，我的问题是为什么在 BasicAndroidKeyStore 中，开发人员能够 get the KeyPair object然后 print its public/private keys ？

如果开发人员可以访问 key ，如何认为该系统是安全的？不是。如果攻击者破坏了应用程序进程，他可以轻松地检索 key 并在设备外部使用。

Answer 1

example code你从BasicAndroidKeyStore指向的不将公钥记录为 getPublic()来自 KeyPair 类的仅返回公钥对象的引用，而不是公钥本身。

Log.d(TAG, "Public Key reference is: " + kp.getPublic().toString());

日志:

D/KeyStoreFragment: Public Key reference is: android.security.keystore.AndroidKeyStoreRSAPublicKey@b8004e8f

getPrivate() 也是如此.

Log.d(TAG, "Private Key reference is: " + kp.getPrivate().toString());

日志:

D/KeyStoreFragment: Private Key reference is android.security.keystore.AndroidKeyStoreRSAPrivateKey@5da42c27

---

现在，正如您在评论中指出的那样，kp.getPublic().getEncoded() 将返回实际的公钥，但公钥的最初用途并不意味着保密。

私钥是 secret 的，当使用硬件支持的 keystore 和设备安全硬件支持的 key 时，私钥安全地存储在 TEE/SE 中，并且不能被应用程序本身或其他恶意软件提取具有根权限的 Actor 。你可以在这个例子中看到它:

Log.d(TAG, "Private Key is " + Arrays.toString(kp.getPrivate().getEncoded()));

日志:

D/KeyStoreFragment: Private Key is null

---

要验证您设备的安全硬件是否支持您的 key ，您可以使用此代码的一些变体来满足您的需要。您可以在相同的 Log.d 之后粘贴此代码段上面示例应用程序的 createKeys() 方法中提到。

    KeyFactory factory = KeyFactory.getInstance(kp.getPrivate().getAlgorithm(), "AndroidKeyStore");
    KeyInfo keyInfo = null;
    try {
        keyInfo = factory.getKeySpec(kp.getPrivate(), KeyInfo.class);
    } catch (InvalidKeySpecException e) {
        e.printStackTrace();
    }
    if (keyInfo.isInsideSecureHardware())
        Log.d(TAG, "Key is supported in secure hardware");
    else
        Log.d(TAG, "Key is not supported in secure hardware");