Cihaz Tanımlayıcı Bileşim Motoru (DICE), her cihaz için benzersiz bir kriptografik kimlik oluşturarak güçlü onay sağlayan ve cihaz bütünlüğünü iyileştiren bir Android güvenlik özelliğidir. DICE, özellikle güçlü kimlik kanıtı ve güvenli iletişim gerektiren senaryolarda kullanılabilecek cihaz kimlikleri oluşturmak için yararlıdır.
Uzaktan anahtar temel hazırlığı (RKP)
DICE'i uzaktan anahtar sağlama için kullanmanın birkaç önemli avantajı vardır.
Saldırı yüzeyini en aza indirme
DICE, güven kökünü Güvenilir Yürütme Ortamı (TEE) yerine cihazda bulunan mümkün olan en küçük güvenilir bilgi işlem tabanına (TCB), genellikle çipin kendisine bağlayarak RKP'yi güçlendirir. Bu, saldırı yüzeyini büyük ölçüde azaltır ve kalıcı RKP güvenliği ihlali riskini en aza indirir.
TEE güvenliğinin ihlali durumunda kurtarma
DICE, TEE veya önyükleyicide KeyMint tarafından oluşturulan anahtar doğrulamalarının geçerliliğini etkileyebilecek güvenlik açıkları olsa bile cihazlara güveni geri kazanmak için bir mekanizma sağlar.
Geçmişte, güvenilir yürütme ortamında (TEE) veya açılış yükleyicide bulunan güvenlik açıkları, etkilenen tüm cihazların doğrulama anahtarlarının tamamen iptal edilmesine yol açıyordu. Bu durumda, güvenlik açıkları düzeltilmiş olsa bile güveni yeniden kazanmak mümkün olmuyordu. Bunun nedeni, TEE'nin Android Doğrulanmış Önyükleme aracılığıyla yüklenen Android resmi üzerinde uzaktan doğrulama yapmasıydı. Bu da uzak bir tarafa, yamaların uygulandığını kanıtlamayı imkansız kılıyordu. DICE, Android dışında bile mevcut donanım yazılımı durumunun uzaktan doğrulanmasını sağlayarak bu sorunu giderir ve etkilenen cihazların güvenini yeniden kazanmasını sağlar.
İzole ortamların karşılıklı kimlik doğrulaması
DICE sürecinin sona erdiği her uygulama alanı, ROM tarafından türetilen paylaşılan güven köküne kadar uzanan bir sertifika zinciri içeren anahtar biçiminde bir kimlik alır. Farklı yükleme yolları farklılaştıkça DICE türetme işlemi farklı dallara ayrılır. Bu dallar, kökünü paylaşan bir sertifika ağacı ve cihaz üzerinde ortak anahtar altyapısı (PKI) oluşturur.
Bu PKI, ayrı güvenli alanlardaki bileşenlerin birbirlerinin kimliğini karşılıklı olarak doğrulamasını sağlar. Secretkeeper, ayrıcalıklı sanal makinelerin (pVM'ler) kalıcı verileri güvenli bir şekilde depolamak için kullanılabilecek kararlı bir gizli anahtar almak üzere TEE ile iletişim kurmasına olanak tanıyan bir donanım soyutlama katmanı (HAL) olarak bu tür bir örnektir.