Security Blog
The latest news and insights from Google on security and safety on the Internet
Trust but verify attestation with revocation
6 ستمبر، 2019
Posted by Rob Barnes & Shawn Willden, Android Security & Privacy Team
[Cross-posted from the
Android Developers Blog
]
Billions of people rely on their Android-powered devices to securely store their sensitive information. A vital component of the Android security stack is the
key attestation system
. Android devices since Android 7.0 are able to generate an attestation certificate that attests to the security properties of the device’s hardware and software. OEMs producing devices with Android 8.0 or higher must install a batch attestation key provided by Google on each device at the time of manufacturing.
These keys might need to be revoked for a number of reasons including accidental disclosure, mishandling, or suspected extraction by an attacker. When this occurs, the affected keys must be immediately revoked to protect users. The security of any Public-Key Infrastructure system depends on the robustness of the key revocation process.
All of the attestation keys issued so far include an extension that embeds a certificate revocation list (CRL) URL in the certificate. We found that the CRL (and online certificate status protocol) system was not flexible enough for our needs. So we set out to replace the revocation system for Android attestation keys with something that is flexible and simple to maintain and use.
Our solution is a single TLS-secured URL (
https://android.googleapis.com/attestation/status
) that returns a list containing all revoked Android attestation keys. This list is encoded in JSON and follows a strict
format
defined by JSON schema. Only keys that have non-valid status appear in the list, so it is not an exhaustive list of all issued keys.
This system allows us to express more nuance about the status of a key and the reason for the status. A key can have a status of
REVOKED
or
SUSPENDED
, where revoked is permanent and suspended is temporary. The reason for the status is described as either
KEY_COMPROMISE
,
CA_COMPROMISE
,
SUPERSEDED
, or
SOFTWARE_FLAW.
A complete, up-to-date list of statuses and reasons can be found in the
developer documentation
.
The CRL URLs embedded in existing batch certificates will continue to operate. Going forward, attestation batch certificates will no longer contain a CRL extension. The status of these legacy certificates will also be included in the attestation status list, so developers can safely switch to using the attestation status list for both current and legacy certificates. An example of how to correctly verify Android attestation keys is included in the
Key Attestation sample
.
کوئی تبصرے نہیں :
ایک تبصرہ شائع کریں
لیبلز
#sharethemicincyber
#supplychain #security #opensource
AI Security
android
android security
android tr
app security
big data
biometrics
blackhat
C++
chrome
chrome enterprise
chrome security
connected devices
CTF
diversity
encryption
federated learning
fuzzing
Gboard
google play
google play protect
hacking
interoperability
iot security
kubernetes
linux kernel
memory safety
Open Source
pha family highlights
pixel
privacy
private compute core
Rowhammer
rust
Security
security rewards program
sigstore
spyware
supply chain
targeted spyware
tensor
Titan M2
VDP
vulnerabilities
workshop
Archive
2026
اپریل
مارچ
فروری
جنوری
2025
دسمبر
نومبر
اکتوبر
ستمبر
اگست
جولائی
جون
مئی
اپریل
مارچ
فروری
جنوری
2024
دسمبر
نومبر
اکتوبر
ستمبر
اگست
جولائی
جون
مئی
اپریل
مارچ
فروری
جنوری
2023
دسمبر
نومبر
اکتوبر
ستمبر
اگست
جولائی
جون
مئی
اپریل
مارچ
فروری
جنوری
2022
دسمبر
نومبر
اکتوبر
ستمبر
اگست
جولائی
جون
مئی
اپریل
مارچ
فروری
جنوری
2021
دسمبر
نومبر
اکتوبر
ستمبر
اگست
جولائی
جون
مئی
اپریل
مارچ
فروری
جنوری
2020
دسمبر
نومبر
اکتوبر
ستمبر
اگست
جولائی
جون
مئی
اپریل
مارچ
فروری
جنوری
2019
دسمبر
نومبر
اکتوبر
ستمبر
اگست
جولائی
جون
مئی
اپریل
مارچ
فروری
جنوری
2018
دسمبر
نومبر
اکتوبر
ستمبر
اگست
جولائی
جون
مئی
اپریل
مارچ
فروری
جنوری
2017
دسمبر
نومبر
اکتوبر
ستمبر
جولائی
جون
مئی
اپریل
مارچ
فروری
جنوری
2016
دسمبر
نومبر
اکتوبر
ستمبر
اگست
جولائی
جون
مئی
اپریل
مارچ
فروری
جنوری
2015
دسمبر
نومبر
اکتوبر
ستمبر
اگست
جولائی
جون
مئی
اپریل
مارچ
فروری
جنوری
2014
دسمبر
نومبر
اکتوبر
ستمبر
اگست
جولائی
جون
اپریل
مارچ
فروری
جنوری
2013
دسمبر
نومبر
اکتوبر
اگست
جون
مئی
اپریل
مارچ
فروری
جنوری
2012
دسمبر
ستمبر
اگست
جون
مئی
اپریل
مارچ
فروری
جنوری
2011
دسمبر
نومبر
اکتوبر
ستمبر
اگست
جولائی
جون
مئی
اپریل
مارچ
فروری
2010
نومبر
اکتوبر
ستمبر
اگست
جولائی
مئی
اپریل
مارچ
2009
نومبر
اکتوبر
اگست
جولائی
جون
مارچ
2008
دسمبر
نومبر
اکتوبر
اگست
جولائی
مئی
فروری
2007
نومبر
اکتوبر
ستمبر
جولائی
جون
مئی
Feed
Follow @google
Follow
Give us feedback in our
Product Forums
.
Follow
کوئی تبصرے نہیں :
ایک تبصرہ شائع کریں