برای دستگاه‌هایی که از Android 13 یا بالاتر استفاده می‌کنند، Android از رویکرد اصالت‌سنجی «اعتماد در اولین استفاده» (TOFU) (RFC7435) پشتیبانی می‌کند که به کاربران امکان می‌دهد با نصب «مرجع صدور گواهینامه» ریشه استفاده‌شده توسط سرور و تنظیم نام دامنه آن در شبکه ذخیره‌شده، به شبکه سازمانی (EAP) اعتماد کنند. TOFU به دستگاه اجازه می‌دهد وقتی کاربر برای اولین‌بار به شبکه سازمانی متصل می‌شود، کلید عمومی تأییدنشده‌ای را دریافت کند و آن کلید را برای اتصال‌های بعدی نگه دارد.
پس‌زمینه
در مقایسه با شبکه‌های شخصی که فقط به گذرواژه نیاز دارند، شبکه‌های سازمانی از احراز هویت زیرساخت کلید عمومی (PKI) استفاده می‌کنند که در آن مشتری باید گواهینامه‌ها را ازقبل نصب کند. در Android 11 یا نسخه‌های پایین‌تر، کاربران می‌توانند گزینه اعتبارسنجی نشود را برای گواهینامه مرکز صدور گواهی سرور در تنظیمات شبکه انتخاب کنند و اعتبارسنجی گواهینامه سمت سرور را دور بزنند. بااین‌حال، برای تقویت امنیت و پیروی از مشخصات WPA R2، Android 12 الزام اعتبارسنجی گواهینامه سرور را برای شبکه‌های سازمانی معرفی کرد. این الزام اضافی برای کاربران مانع ایجاد می‌کند زیرا برای این شبکه‌ها باید گواهینامه مرجع گواهینامه نصب کنند. «اولین استفاده» روشی برای اتصال کاربران به شبکه سازمانی مبتنی بر PKI با پذیرفتن CA ریشه آن ارائه می‌دهد.
رفتار ویژگی
دستگاه‌هایی که از TOFU پشتیبانی می‌کنند، وقتی کاربر به شبکه سازمانی‌ای متصل می‌شود که کلید عمومی اصالت‌سنجی‌شده ازقبل نصب‌شده ندارد، رفتار زیر را نشان می‌دهند.
اتصال به شبکه جدید ازطریق انتخابگر Wi-Fi
شبکه سازمانی جدیدی را در انتخابگر Wi-Fi انتخاب کنید.
دستگاه چارگوش گفتگویی (شکل ۱) نمایش می‌دهد تا تأیید کند که آیا شبکه مورد اعتماد است یا نه.
برای پذیرفتن اتصال شبکه، روی بله، متصل شود تک‌ضرب بزنید، یا برای رد کردن، روی نه، متصل نشود تک‌ضرب بزنید.
اگر روی بله، متصل شود تک‌ضرب بزنید، دستگاه به‌طور خودکار پارامترهای امنیتی را پیکربندی می‌کند، به شبکه متصل می‌شود، و اتصال خودکار برای شبکه را فعال می‌کند.
اگر روی نه، متصل نشود ضربه بزنید، اتصال دستگاه از شبکه قطع می‌شود و اتصال خودکار برای شبکه غیرفعال می‌شود.
شکل ۱. کادر گفتگوی مربوط به ویژگی TOFU
اتصال به شبکه موجود با فعال بودن اتصال خودکار
هنگام اتصال به شبکه سازمانی که اتصال خودکار در آن فعال است اما گواهی CA معتبر ندارد، دستگاه به‌طور خودکار متصل می‌شود و سپس اعلان چسبانی (غیرقابل رد کردن) نمایش می‌دهد.
روی اعلان بزنید.
دستگاه کادر گفتگویی (شکل ۱) برای تأیید اینکه آیا شبکه قابل‌اعتماد است یا نه نشان می‌دهد.
برای پذیرفتن اتصال شبکه، روی بله، متصل شود تک‌ضرب بزنید، یا برای رد کردن، روی نه، متصل نشود تک‌ضرب بزنید.
اگر روی بله، متصل شود تک‌ضرب بزنید، دستگاه به‌طور خودکار پارامترهای امنیتی را پیکربندی می‌کند، به شبکه متصل می‌شود، و اتصال خودکار برای شبکه را فعال می‌کند.
اگر روی نه، متصل نشود ضربه بزنید، اتصال دستگاه از شبکه قطع می‌شود و اتصال خودکار برای شبکه غیرفعال می‌شود.
پیاده‌سازی
برای پشتیبانی از ویژگی TOFU، «لایه‌های انتزاع سخت‌افزاری» درخواست‌کننده ارائه‌شده در
«پروژه منبع باز Android» (AOSP) را در
/hardware/interfaces/wifi/supplicant/aidl/android/hardware/wifi/supplicant پیاده‌سازی کنید.
میاناهای برنامه‌سازی کاربردی عمومی زیر در Android 13 دردسترس است تا برنامه‌ها از آن‌ها استفاده کنند:
WifiManager#isTrustOnFirstUseSupported(): نشان می‌دهد که آیا دستگاه از TOFU پشتیبانی می‌کند یا نه.WifiEnterpriseConfig#enableTrustOnFirstUse(boolean): TOFU را فعال می‌کند.WifiEnterpriseConfig#isTrustOnFirstUseEnabled(): نشان می‌دهد که آیا TOFU فعال است یا نه.
اعتبارسنجی
برای اعتبارسنجی پیاده‌سازی TOFU در دستگاهتان، از آزمون‌های زیر استفاده کنید:
- CTS:
CtsWifiTestCases - VTS:
VtsHalWifiSupplicantStaNetworkTargetTest