CleveresTricky

Аттестация

Слой attestation обеспечивает управляемую совместимость цепочек сертификатов для выбранных приложений, сохраняя настоящую генерацию ключей Android и последующие криптографические операции.

Где найти: Панель / Keybox. Где находится каждая функция?

Что делать

  1. Проверьте основную защиту на Панели.
  2. Переключатели идентичности не отключают основные пути Keystore, загрузки и RKP.
  3. Ошибки исследуйте в Логах.

Подробности и ограничения

Вызовы инфраструктуры RKP всегда остаются на штатном пути provisioning Android. Для целевых UID приложений успешные ответы generateKey и последующее чтение сертификатов через getKeyEntry используют единый путь совместимости, чтобы один alias не показывал разные attestation leaf-сертификаты.

Операции с закрытым ключом по-прежнему выполняются Android KeyMint или StrongBox. Перед активацией проверяются соответствие ключа и сертификата, алгоритм, цепочка, срок действия, неоднозначность и revocation. Подмена сертификата не создаёт аппаратный root of trust, не блокирует bootloader физически и не гарантирует удалённый verdict.

Аппаратный TEE Provisioning и примечание по восстановлению на разблокированных устройствах

CleveresTricky требует функционального аппаратного KeyMint/TEE и намеренно не симулирует и не эмулирует программный TEE или фиктивную аттестацию. При сбое связи с аппаратным TEE (SECURE_HW_COMMUNICATION_FAILED / код ошибки -49) модуль прекращает перехват во избежание взаимных блокировок (deadlock) во фреймворке.

На разблокированных устройствах Android разблокировка загрузчика (bootloader) может нарушить аппаратную аттестацию или Remote Key Provisioning (RKP): - TEE RKP Provisioning на стороне устройства: Как показано в исследовании wuxianlin (протестировано на современных устройствах, включая OnePlus 13/15), инициализация идентификатора устройства через KmInstallKeybox может восстановить подлинный TEE RKP (и Widevine L1 RKP) без внедрения скомпрометированных ключей.

Это легитимный механизм восстановления TEE на стороне устройства на разблокированных Android-устройствах, а не спуфинг или программная эмуляция Keystore. - Область применения и рекомендации: - Подготовка KmInstallKeybox на стороне устройства восстанавливает выдачу подлинных сертификатов TEE RKP от удалённой инфраструктуры.

  • Метод не восстанавливает заводской автономный ключ аттестации TEE (offline TEE Attestation Key) универсально.
  • Предупреждение о рисках: Изменения раздела persist или конфигурации TEE несут риск необратимого повреждения хранилища ключей или окирпичивания. Всегда делайте резервную копию persist и разделов прошивки перед попыткой восстановления TEE.

Ко всем руководствам