HIDL vân tay

Trên các thiết bị có cảm biến vân tay, người dùng có thể đăng ký một hoặc nhiều dấu vân tay và sử dụng những dấu vân tay đó để mở khóa thiết bị cũng như thực hiện các tác vụ khác. Android sử dụng Ngôn ngữ định nghĩa giao diện phần cứng vân tay (HIDL) để kết nối với thư viện và phần cứng vân tay dành riêng cho nhà cung cấp (ví dụ: cảm biến vân tay).

Để triển khai HIDL vân tay, bạn phải triển khai IBiometricsFingerprint.hal trong thư viện dành riêng cho nhà cung cấp.

So khớp dấu vân tay

Cảm biến vân tay của thiết bị thường không hoạt động. Tuy nhiên, để đáp lại cuộc gọi authenticate hoặc enroll , cảm biến vân tay sẽ lắng nghe một cú chạm (màn hình cũng có thể thức dậy khi người dùng chạm vào cảm biến vân tay). Luồng đối sánh dấu vân tay cấp cao bao gồm các bước sau:

  1. Người dùng đặt ngón tay lên cảm biến vân tay.
  2. Thư viện dành riêng cho nhà cung cấp xác định xem có khớp dấu vân tay trong bộ mẫu dấu vân tay đã đăng ký hiện tại hay không.
  3. Kết quả phù hợp được chuyển đến FingerprintService .

Quy trình này giả định rằng một dấu vân tay đã được đăng ký trên thiết bị, nghĩa là thư viện dành riêng cho nhà cung cấp đã đăng ký một mẫu cho dấu vân tay. Để biết thêm chi tiết, xem Xác thực .

Ngành kiến ​​​​trúc

HAL vân tay tương tác với các thành phần sau.

  • BiometricManager tương tác trực tiếp với ứng dụng trong quy trình ứng dụng. Mỗi ứng dụng có một phiên bản IBiometricsFingerprint.hal
  • FingerprintService hoạt động trong quy trình hệ thống, xử lý giao tiếp bằng dấu vân tay HAL.
  • HAL vân tay là một triển khai C/C++ của giao diện IBiometricsFingerprint HIDL. Thư viện này chứa thư viện dành riêng cho nhà cung cấp để giao tiếp với phần cứng dành riêng cho thiết bị.
  • Các thành phần Keystore API và Keymaster cung cấp mật mã được hỗ trợ bằng phần cứng để lưu trữ khóa an toàn trong một môi trường bảo mật, chẳng hạn như Môi trường thực thi đáng tin cậy (TEE).
Luồng dữ liệu để xác thực dấu vân tay
Hình 1. Luồng dữ liệu cấp cao để xác thực dấu vân tay

Việc triển khai HAL dành riêng cho nhà cung cấp phải sử dụng giao thức liên lạc do TEE yêu cầu. Hình ảnh thô và các tính năng dấu vân tay đã được xử lý không được chuyển vào bộ nhớ không đáng tin cậy. Tất cả dữ liệu sinh trắc học như vậy cần được lưu trữ trong phần cứng bảo mật như TEE. Việc root không được phép xâm phạm dữ liệu sinh trắc học.

FingerprintService và fingerprintd thực hiện các cuộc gọi thông qua HAL vân tay tới thư viện dành riêng cho nhà cung cấp để đăng ký dấu vân tay và thực hiện các hoạt động khác.

Tương tác với dấu vân tay
Hình 2. Tương tác của daemon vân tay với thư viện dành riêng cho nhà cung cấp vân tay

Hướng dẫn thực hiện

Các nguyên tắc HAL vân tay sau đây được thiết kế để đảm bảo rằng dữ liệu vân tay không bị rò rỉ và bị xóa khi người dùng bị xóa khỏi thiết bị:

  • Dữ liệu vân tay thô hoặc các dẫn xuất (ví dụ: mẫu) không bao giờ được truy cập từ bên ngoài trình điều khiển cảm biến hoặc TEE. Nếu phần cứng hỗ trợ TEE thì quyền truy cập phần cứng phải được giới hạn ở TEE và được bảo vệ bởi chính sách SELinux. Kênh Giao diện ngoại vi nối tiếp (SPI) chỉ có thể được truy cập bởi TEE và phải có chính sách SELinux rõ ràng trên tất cả các tệp thiết bị.
  • Việc thu thập, đăng ký và nhận dạng dấu vân tay phải diễn ra bên trong TEE.
  • Chỉ có thể lưu trữ dạng mã hóa của dữ liệu dấu vân tay trên hệ thống tệp, ngay cả khi bản thân hệ thống tệp được mã hóa.
  • Mẫu vân tay phải được ký bằng khóa riêng, dành riêng cho thiết bị. Đối với Tiêu chuẩn mã hóa nâng cao (AES), tối thiểu một mẫu phải được ký bằng đường dẫn tuyệt đối của hệ thống tệp, nhóm và ID ngón tay sao cho các tệp mẫu không thể hoạt động được trên một thiết bị khác hoặc đối với bất kỳ ai khác ngoài người dùng đã đăng ký chúng trên cùng một thiết bị. Ví dụ: sao chép dữ liệu vân tay từ một người dùng khác trên cùng một thiết bị hoặc từ một thiết bị khác sẽ không hoạt động.
  • Việc triển khai phải sử dụng đường dẫn hệ thống tệp do hàm setActiveGroup() cung cấp hoặc cung cấp cách xóa tất cả dữ liệu mẫu người dùng khi người dùng bị xóa. Chúng tôi thực sự khuyên bạn nên lưu trữ các tệp mẫu dấu vân tay dưới dạng mã hóa và lưu trữ trong đường dẫn được cung cấp. Nếu điều này không khả thi do yêu cầu lưu trữ TEE, người triển khai phải thêm các móc nối để đảm bảo loại bỏ dữ liệu khi người dùng bị xóa.

Phương pháp vân tay

Giao diện HIDL vân tay chứa các phương thức chính sau trong IBiometricsFingerprint.hal .

Phương pháp Sự miêu tả
enroll() Chuyển đổi máy trạng thái HAL để bắt đầu thu thập và lưu trữ mẫu vân tay. Khi quá trình đăng ký hoàn tất hoặc sau khi hết thời gian chờ, máy trạng thái HAL sẽ trở về trạng thái không hoạt động.
preEnroll() Tạo mã thông báo duy nhất để cho biết bắt đầu đăng ký dấu vân tay. Cung cấp mã thông báo cho chức năng enroll để đảm bảo đã có xác thực trước đó, chẳng hạn như sử dụng mật khẩu. Để tránh giả mạo, mã thông báo sẽ được gói sau khi thông tin xác thực của thiết bị được xác nhận. Mã thông báo phải được kiểm tra trong quá trình đăng ký để xác minh rằng nó vẫn hợp lệ.
getAuthenticatorId() Trả về mã thông báo được liên kết với bộ dấu vân tay hiện tại.
cancel() Hủy bỏ các hoạt động đăng ký hoặc xác thực đang chờ xử lý. Máy trạng thái HAL được đưa về trạng thái không hoạt động.
enumerate() Lệnh gọi đồng bộ để liệt kê tất cả các mẫu vân tay đã biết.
remove() Xóa mẫu dấu vân tay.
setActiveGroup() Hạn chế hoạt động HAL đối với một tập hợp dấu vân tay thuộc một nhóm được chỉ định, được xác định bằng mã định danh nhóm (GID).
authenticate() Xác thực một hoạt động liên quan đến dấu vân tay (được xác định bằng ID hoạt động).
setNotify() Đăng ký chức năng người dùng nhận thông báo từ HAL. Nếu máy trạng thái HAL ở trạng thái bận, chức năng này sẽ bị chặn cho đến khi HAL rời khỏi trạng thái bận.
postEnroll() Kết thúc thao tác đăng ký và vô hiệu hóa thử thách được tạo preEnroll() . Điều này phải được gọi vào cuối phiên đăng ký nhiều ngón tay để cho biết rằng không thể thêm ngón tay nào nữa.

Để biết thêm chi tiết về những điều này, hãy tham khảo các nhận xét trong IBiometricsFingerprint.hal .