android keystore源码分析

ops/2025/2/27 6:40:46/

架构

Android Keystore API 和底层 Keymaster HAL 提供了一套基本的但足以满足需求的加密基元，以便使用访问受控且由硬件支持的密钥实现相关协议。
Keymaster HAL 是由原始设备制造商 (OEM) 提供的动态加载库，密钥库服务使用它来提供由硬件支持的加密服务。为了确保安全性，HAL 实现不会在用户空间乃至内核空间中执行任何敏感操作。敏感操作会被分配给通过某个内核接口连接的安全处理器。 最终的架构如下所示：
访问 Keymaster

源码分析

源码分析基于Android 9.0

####AndroidKeyStore服务提供者

img

应用层调用时provider必须指明为"AndroidKeyStore"，否则默使用的是BC库。

Android KeyStore 是Java 安全框架的一个提供者的实现，类名为AndroidKeyStoreProvider.java。

此类中定义了一些引擎类的实现:

  • AndroidKeyStoreSpi 存储服务
  • AndroidKeyStoreKeyPairGeneratorSpi$EC ECC密钥对生成
  • AndroidKeyStoreKeyPairGeneratorSpi$RSA RSA密钥对生成

等等，这部分的代码在

/frameworks/base/keystore/java/android/security/keystore/

这些引擎类的实现内部有一个android.security.KeyStore对象。此对象是一个binder代理。通过binder通信转到系统服务的KeyStoreSerivce。

KeyStoreService服务

服务代码在/system/security/keystore/key_store_service.cpp

KeyStoreService 内部持有一个KeyStore对象，

代码在/system/security/keystore/KeyStore.cpp

KeyStore对象内部持有一个device,此device是KeymasterDevices，此对象是三个Keymaster的数组，分别对应软实现、TEE实现和SE实现。如果是TEE实现的话，keymaster hal 应该就是CA程序。

当系统启动时会加载keymaster hal的实现，并把他注册到硬件的servicemanager 中。

keymaster hal

keymaster hal的注册，这里是安卓模拟器goldfish中的服务注册示例。

Cross Reference: /device/generic/goldfish/keymaster/strongbox/service.cpp


int main() {::android::hardware::configureRpcThreadpool(1, true /* willJoinThreadpool */);using android::hardware::keymaster::V4_0::SecurityLevel;using ::keymaster::V4_0::ng::CreateKeymasterDevice;/** Create two software keymaster devices claiming different security levels for testing* purposes. They do not have the certificates of real TEE or Strongbox keymaster devices.*/auto keymaster = CreateKeymasterDevice(SecurityLevel::TRUSTED_ENVIRONMENT);auto status = keymaster->registerAsService("default");if (status != android::OK) {LOG(FATAL) << "Could not register default service for Keymaster 4.0 (" << status << ")";}auto strongbox = CreateKeymasterDevice(SecurityLevel::STRONGBOX);status = strongbox->registerAsService("strongbox");if (status != android::OK) {LOG(FATAL) << "Could not register strongbox service for Keymaster 4.0 (" << status << ")";}android::hardware::joinRpcThreadpool();return -1;  // Should never get here.
}

keymaster枚举

Cross Reference: /system/security/keystore/keystore_main.cpp

KeymasterDevices enumerateKeymasterDevices(IServiceManager* serviceManager) {KeymasterDevices result;serviceManager->listByInterface(Wrapper::WrappedIKeymasterDevice::descriptor, [&](const hidl_vec<hidl_string>& names) {})
}

通过枚举获取keymaster的实现。构造keystore对象。

keymaster hal实现最终通过调用安全环境实现密钥生成、加密解密、签名验签。

keymaster 实现的接口定义如下。厂商只要按照规范要求实现此接口即可。

Cross Reference: /hardware/interfaces/keymaster/3.0/IKeymasterDevice.hal

Cross Reference: /hardware/interfaces/keymaster/4.0/IKeymasterDevice.hal

Android Keystore 机制总结

Android Keystore 提供安全的密钥管理和加密操作，其核心机制涉及多进程协作和跨空间调用。以下是关键组件及其交互流程：

重要类与组件
类/组件所在进程运行空间描述
android.security.KeyStore应用进程（如App进程）用户空间应用层API，提供密钥生成、存储等接口。开发者通过此类访问Keystore功能。
KeyStoreServicekeystore进程用户空间系统服务，处理应用请求，管理密钥生命周期，通过Binder与客户端通信。
KeymasterHAL (HIDL接口)厂商HAL进程（如vendor.some.process）用户空间硬件抽象层接口，由厂商实现，执行加密操作（如密钥生成、签名）。
内核驱动（如/dev/keymaster）内核内核空间与硬件安全模块（HSM/TEE/StrongBox）通信，处理安全环境内的敏感操作。
调用流程与通信机制
  1. 应用层调用
    • 进程: 应用进程 → keystore
    • 机制: Binder IPC
      • 应用通过 android.security.KeyStore 发起请求（如生成密钥）。
      • 调用通过 Binder 传递至 KeyStoreService（运行在 keystore）。
  2. 系统服务处理
    • 进程: keystore → 厂商HAL进程
    • 机制: HIDL/AIDL IPC
      • KeyStoreService 将请求转换为 Keymaster 操作（如调用 generateKey）。
      • 通过 HIDL 接口（如 IKeymasterDevice）与厂商的 KeymasterHAL 实现通信。
  3. 硬件抽象层执行
    • 进程: 厂商HAL进程 → 内核
    • 机制: 系统调用（ioctl）
      • KeymasterHAL 通过 ioctl 调用内核驱动（如 /dev/keymaster）。
      • 驱动将操作转发至安全环境（如 TEE 或 StrongBox）。
  4. 安全环境操作
    • 空间: 内核 → TEE/HSM
    • 机制: SMC指令或安全监控调用
      • 内核驱动通过安全机制（如 ARM TrustZone 的 SMC）触发安全环境内的操作。
      • 密钥在安全环境内生成/使用，不会暴露到非安全内存。
关键点总结
  • 用户空间与内核空间协作：敏感操作（如密钥生成）最终由安全环境（TEE/HSM）处理，确保密钥不泄露至普通内存。
  • 跨进程通信：
    • Binder：用于应用与系统服务的高效通信。
    • HIDL/AIDL：解耦系统服务与厂商实现，支持向前兼容。
  • 安全边界：内核驱动作为用户空间与安全环境的桥梁，通过严格权限控制保障隔离性。
[应用进程] --Binder--> [keystore进程] --HIDL--> [KeymasterHAL进程] --ioctl--> [内核驱动] --> [TEE/HSM]↑                       |                         || (android.security.KeyStore) | (KeyStoreService)  | (厂商实现)用户空间                  用户空间                  用户空间              内核空间

应用代码示例

                 try {final String KEY_ALIAS = "myKeyAliasx";KeyStore keyStore;keyStore = KeyStore.getInstance("AndroidKeyStore");keyStore.load(null);// 检查密钥是否已存在，如果不存在则生成新的密钥对if (!keyStore.containsAlias(KEY_ALIAS)) {//生成密钥KeyGenParameterSpec spec = new KeyGenParameterSpec.Builder(KEY_ALIAS,KeyProperties.PURPOSE_SIGN | KeyProperties.PURPOSE_VERIFY).setDigests(KeyProperties.DIGEST_SHA256).setSignaturePaddings(KeyProperties.SIGNATURE_PADDING_RSA_PSS).setKeySize(2048).build();KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance(KeyProperties.KEY_ALGORITHM_RSA, "AndroidKeyStore");keyPairGenerator.initialize(spec);KeyPair keyPair = keyPairGenerator.generateKeyPair();}KeyStore.PrivateKeyEntry privateKeyEntry = (KeyStore.PrivateKeyEntry) keyStore.getEntry(KEY_ALIAS, null);PrivateKey privateKey = privateKeyEntry.getPrivateKey();KeyFactory factory = KeyFactory.getInstance(privateKey.getAlgorithm(), "AndroidKeyStore");KeyInfo keyInfo;//获取密钥信息keyInfo = factory.getKeySpec(privateKey, KeyInfo.class);if (Build.VERSION.SDK_INT >= Build.VERSION_CODES.S) {int securityLevel = keyInfo.getSecurityLevel();if (securityLevel == KeyProperties.SECURITY_LEVEL_TRUSTED_ENVIRONMENT) {System.out.println("key is in trusted environment");} else if (securityLevel == KeyProperties.SECURITY_LEVEL_STRONGBOX) {System.out.println("key is in strongbox");} else {System.out.println("key is in software");}} else {boolean insideSecureHardware = keyInfo.isInsideSecureHardware();System.out.println("insideSecureHardware=" + insideSecureHardware);}// 签名Signature signature = Signature.getInstance("SHA256withRSA/PSS");signature.initSign(privateKey);signature.update("adgfdfd".getBytes("UTF-8"));byte[] sign = signature.sign();} catch (Exception e) {e.printStackTrace();}

http://www.ppmy.cn/ops/161609.html

相关文章

string类详解（下）

string类详解（下）

文章目录 4. string类的模拟实现4.1 构造 析构4.2 c_str4.3 下标遍历4.4 迭代器4.5 插入4.6 删除4.7 查找4.8 赋值4.9 交换4.10 提取子串4.11 比较大小4.12 流插入 && 流提取 5. 现代版写法的String类5.1 完整代码 6. 写时拷贝&#xff08;了解&#xff09; 4. string…
阅读更多...
LeetCode详解之如何一步步优化到最佳解法：14. 最长公共前缀

LeetCode详解之如何一步步优化到最佳解法：14. 最长公共前缀

LeetCode详解系列的总目录&#xff08;持续更新中&#xff09;&#xff1a;LeetCode详解之如何一步步优化到最佳解法&#xff1a;前100题目录&#xff08;更新中...&#xff09;-CSDN博客 LeetCode详解系列的上一题链接&#xff1a;LeetCode详解之如何一步步优化到最佳解法&am…
阅读更多...
VC++ MFC中 CTreeCtrl的自绘

VC++ MFC中 CTreeCtrl的自绘

自绘控件通常需要处理WM_DRAWITEM消息或者使用自绘相关的样式&#xff0c;比如Owner Draw。对于CTreeCtrl来说&#xff0c;可能需要设置Owner Draw Fixed或者Variable&#xff0c;这样系统会通知父窗口来绘制各个项。CTreeCtrl的自绘可能涉及到重写OnPaint函数&#xff0c;或者…
阅读更多...
grafana K6压测

grafana K6压测

文章目录 install and runscript.jsoptions最佳实践 report 解析 https://grafana.com/docs/k6/latest/get-started install and run install # mac brew install k6当前目录下生成压测脚本 # create file script.js k6 new [filename] # create file ‘script.js’ in …
阅读更多...
介绍一下在自动驾驶 路径规划和 控制算法 详细一些

介绍一下在自动驾驶 路径规划和 控制算法 详细一些

已思考完成 收起 嗯&#xff0c;用户想了解自动驾驶中的路径规划和控制算法&#xff0c;需要详细一些。我得先整理一下参考内容里的信息&#xff0c;然后有条理地呈现出来。首先&#xff0c;路径规划和控制算法是自动驾驶系统的核心模块&#xff0c;需要分别介绍它们的基本概念…
阅读更多...
低代码与开发框架的一些整合[3]

低代码与开发框架的一些整合[3]

1.基本说明 审批流程是企业内部运营的运行流程&#xff0c;与业务板块进行关联&#xff0c;在企业数智化过程中启动业务串联的作用&#xff0c;与AI业务模型及业务agent整合后&#xff0c;将大大提升企业的运行效率以及降低运营风险。 近期对开源的近40个携带流程平台的项目进…
阅读更多...
算法day1 dfs搜索2题

算法day1 dfs搜索2题

一 火星人 拿到这种类似于排序的&#xff0c;这个就好比如我们之前学习dfs基础的时候里面的指数型枚举 指数型枚举数据与数据之间没有任何枚举&#xff0c;就比如选这个数字与不选组合型枚举数据与数据之间有联系&#xff0c;下一个数字不可以给上一个数字排列型枚举数据与数…
阅读更多...
基于Spring Boot的公司资产网站设计与实现（LW+源码+讲解）

基于Spring Boot的公司资产网站设计与实现（LW+源码+讲解）

专注于大学生项目实战开发,讲解,毕业答疑辅导&#xff0c;欢迎高校老师/同行前辈交流合作✌。 技术范围&#xff1a;SpringBoot、Vue、SSM、HLMT、小程序、Jsp、PHP、Nodejs、Python、爬虫、数据可视化、安卓app、大数据、物联网、机器学习等设计与开发。 主要内容&#xff1a;…
阅读更多...
最新文章

Copyright @ 2022~2023