密鑰證明介紹及算法規(guī)格

HUKS為密鑰提供合法性證明能力，主要應(yīng)用于非對(duì)稱密鑰的公鑰的證明。

基于PKI證書(shū)鏈技術(shù)，HUKS可以為存儲(chǔ)在HUKS中的非對(duì)稱密鑰對(duì)的公鑰簽發(fā)證書(shū)，證明其公鑰的合法性。業(yè)務(wù)可以通過(guò)系統(tǒng)提供的根CA證書(shū)，逐級(jí)驗(yàn)證HUKS簽發(fā)的密鑰證明證書(shū)，來(lái)確保證書(shū)中的公鑰以及對(duì)應(yīng)的私鑰，確實(shí)來(lái)自合法的硬件設(shè)備，且存儲(chǔ)管理在HUKS中。同時(shí)，輸出的密鑰證書(shū)中包含密鑰屬主信息，格式如下：

說(shuō)明： 當(dāng)調(diào)用方為系統(tǒng)服務(wù)且APL等級(jí)為normal時(shí)，暫不支持密鑰證明，此種情況下，processName與APL字段將置空。 開(kāi)發(fā)前請(qǐng)熟悉鴻蒙開(kāi)發(fā)指導(dǎo)文檔 ：[gitee.com/li-shizhen-skin/harmony-os/blob/master/README.md]

密鑰證明過(guò)程如下：

1. 業(yè)務(wù)將指定密鑰別名和需要證明的密鑰屬性的標(biāo)簽傳入HUKS。
2. 調(diào)用HUKS為應(yīng)用生成一個(gè)依次由根CA證書(shū)、設(shè)備CA證書(shū)、設(shè)備證書(shū)、密鑰證書(shū)組成的X.509證書(shū)鏈。
3. 將證書(shū)鏈傳輸至受信任的服務(wù)器，并在服務(wù)器上解析和驗(yàn)證證書(shū)鏈的有效性和單個(gè)證書(shū)是否吊銷。

當(dāng)前提供了兩種密鑰證明方式。

• 匿名密鑰證明：不會(huì)泄露設(shè)備信息，沒(méi)有權(quán)限管理。面向所有應(yīng)用開(kāi)放。為了保護(hù)用戶設(shè)備信息，三方應(yīng)用開(kāi)發(fā)者只能使用匿名密鑰證明。
• 非匿名密鑰證明：可以看到調(diào)用方設(shè)備信息，有權(quán)限管控，需申請(qǐng)"ohos.permission.ATTEST_KEY"權(quán)限。

支持的算法

以下為密鑰證明支持的規(guī)格說(shuō)明。

面向OpenHarmony的廠商適配密鑰管理服務(wù)規(guī)格分為必選規(guī)格和可選規(guī)格。必選規(guī)格為所有廠商均支持的算法規(guī)格。而對(duì)于可選規(guī)格，廠商將基于實(shí)際情況決定是否實(shí)現(xiàn)，如需使用，請(qǐng)查閱具體廠商提供的說(shuō)明，確保規(guī)格支持再使用。

建議開(kāi)發(fā)者使用必選規(guī)格開(kāi)發(fā)應(yīng)用，可保證全平臺(tái)兼容。

審核編輯 黃宇