تمت ترجمة هذه الصفحة بواسطة Cloud Translation API‏.

مصادقة المفتاح والمعرّف

يوفّر "متجر المفاتيح" مكانًا أكثر أمانًا لإنشاء مفاتيح التشفير وتخزينها واستخدامها بطريقة خاضعة للرقابة. عندما يكون تخزين المفاتيح المستند إلى الأجهزة متاحًا ويُستخدم، تكون مادة المفتاح أكثر أمانًا ضد الاستخراج من الجهاز، ويفرض Keymaster قيودًا يصعب التحايل عليها.

لا ينطبق ذلك إلا إذا كان معروفًا أنّ مفاتيح ملف تخزين المفاتيح موجودة في مساحة تخزين مستندة إلى الأجهزة. في الإصدار 1 من Keymaster، لم تكن هناك طريقة للتطبيقات أو الخوادم البعيدة للتحقّق بشكل موثوق من حدوث ذلك. حمّل الخادم الدائم لمستودع المفاتيح واجهة HAL المتاحة الخاصة بـ Keymaster وصدّق كل ما قالته واجهة HAL بشأن الاحتفاظ بنسخة احتياطية من المفاتيح في الأجهزة.

لحلّ هذه المشكلة، طرح Keymaster إثبات ملكية المفتاح في Android 7.0 (Keymaster 2) وإثبات هوية في Android 8.0 (Keymaster 3).

تهدف عملية إثبات ملكية المفتاح إلى توفير طريقة قوية لتحديد ما إذا كان زوج المفاتيح غير المتماثل مدعومًا بالأجهزة، ومعرفة خصائص المفتاح والقيود المفروضة على استخدامه.

تسمح شهادة إثبات الهوية للجهاز بتقديم دليل على معرّفات الأجهزة، مثل الرقم التسلسلي أو IMEI.

ملاحظة: لتسهيل عملية انتقال Keymaster 3 من واجهة HAL لبنية C القديمة إلى واجهة HAL لـ C++ التي تم إنشاؤها من تعريف في لغة HIDL الجديدة لتعريف واجهة الأجهزة، تم تغيير أسماء العلامات والطرق في Android 8.0. إنّ العلامات، مثل جميع قوائم القيم المحدَّدة لمفتاح التحكم الأخرى، يتم تحديدها الآن كقوائم قيم محدَّدة النطاق بلغة C++. على سبيل المثال، العلامات التي كانت تسبقها البادئة KM_TAG_ أصبحت الآن تسبقها البادئة Tag::، ويتم كتابة الطرق باستخدام طريقة الكتابة بالتنسيق اللاتيني. تستخدِم الأمثلة أدناه مصطلحات Keymaster 3، ما لم يتم تحديد غير ذلك.

مصادقة المفتاح

لتقديم شهادة اعتماد المفتاح، أضاف نظام التشغيل Android 7.0 مجموعة من العلامات والأنواع والطُرق إلى HAL.

العلامات

Tag::ATTESTATION_CHALLENGE
Tag::INCLUDE_UNIQUE_ID
Tag::RESET_SINCE_ID_ROTATION

النوع

Keymaster 2 والإصدارات الأقدم

typedef struct {
    keymaster_blob_t* entries;
    size_t entry_count;
} keymaster_cert_chain_t;

طريقة AttestKey

Keymaster 3

    attestKey(vec<uint8_t> keyToAttest, vec<KeyParameter> attestParams)
        generates(ErrorCode error, vec<vec<uint8_t>> certChain);

Keymaster 2 والإصدارات الأقدم

keymaster_error_t (*attest_key)(const struct keymaster2_device* dev,
        const keymaster_key_blob_t* key_to_attest,
        const keymaster_key_param_set_t* attest_params,
        keymaster_cert_chain_t* cert_chain);

dev هي بنية جهاز Keymaster.
keyToAttest هو ملف نصي للمفتاح تم إرجاعه من generateKey الذي تم إنشاء شهادة الاعتماد له.
attestParams هي قائمة بأي مَعلمات ضرورية للإقرار. ويشمل ذلك Tag::ATTESTATION_CHALLENGE و وربما Tag::RESET_SINCE_ID_ROTATION، بالإضافة إلى Tag::APPLICATION_ID وTag::APPLICATION_DATA. إنّ المفتاحين الأخيرين ضروريان لفك تشفير ملف نصي للمفتاح إذا تم تحديدهما أثناء إنشاء المفتاح.
certChain هي مَعلمة الإخراج التي تعرض صفيفًا من الشهادات. الإدخال 0 هو شهادة الشهادة، ما يعني أنّه يشهد على المفتاح من keyToAttest ويحتوي على إضافة الشهادة.

تُعدّ طريقة attestKey عملية للمفتاح العام على المفتاح المُعتمَد، لأنّه يمكن استدعاؤها في أي وقت ولا تحتاج إلى استيفاء قيود التفويض. على سبيل المثال، إذا كان المفتاح الذي تم إثبات ملكيته يحتاج إلى مصادقة المستخدِم لاستخدامه، يمكن إنشاء شهادة إثبات ملكية بدون مصادقة المستخدِم.

شهادة الاعتماد

شهادة الإثبات هي شهادة X.509 عادية، مع إضافة opcional إثبات الهوية التي تحتوي على وصف للمفتاح الذي تم إثبات صحته. يتم توقيع الشهادة باستخدام مفتاح مصادقة معتمَد. قد يستخدم مفتاح الإثبات خوارزمية مختلفة عن المفتاح الذي يتم إثبات صحته.

تحتوي شهادة الشهادة على الحقول الواردة في الجدول أدناه ولا يمكن أن تحتوي على أي حقول إضافية. تحدِّد بعض الحقول قيمة حقل ثابتة. تُجري اختبارات CTS التحقّق من أنّ محتوى الشهادة مطابق تمامًا لما هو محدّد.

تسلسل الشهادة

اسم الحقل (راجِع RFC 5280)	القيمة
tbsCertificate	TBSCertificate SEQUENCE
signatureAlgorithm	AlgorithmIdentifier: معرّف الخوارزمية المستخدَمة لتوقيع المفتاح: ECDSA لمفاتيح التشفير المعتمد على الإقليد المتماثل (EC)، وRSA لمفاتيح التشفير RSA
signatureValue	سلسلة بت، توقيع تم احتسابه على tbsCertificate بترميز ASN.1 DER

TBSCertificate SEQUENCE

اسم الحقل (راجِع RFC 5280)	القيمة
`version`	عدد صحيح 2 (يعني شهادة الإصدار 3)
`serialNumber`	عدد صحيح 1 (قيمة ثابتة: متطابقة في جميع الشهادات)
`signature`	AlgorithmIdentifier: معرّف الخوارزمية المستخدَمة لتوقيع المفتاح: ECDSA لمفاتيح التشفير المعتمد على منحنيات إقليدية، وRSA لمفاتيح التشفير RSA.
`issuer`	هو نفسه حقل "الموضوع" لمفتاح مصادقة الحِزم.
`validity`	تسلسل تاريخَين يحتويان على قيم Tag::ACTIVE_DATETIME وTag::USAGE_EXPIRE_DATETIME يتم التعبير عن هذه القيم بالمللي ثانية منذ 1 كانون الثاني (يناير) 1970. اطّلِع على RFC 5280 للاطّلاع على تمثيلات التاريخ الصحيحة في الشهادات. إذا لم تكن السمة `Tag::ACTIVE_DATETIME` متوفّرة، استخدِم قيمة `Tag::CREATION_DATETIME`. إذا لم يكن`Tag::USAGE_EXPIRE_DATETIME` متوفّرًا، استخدِم تاريخ انتهاء صلاحية شهادة مفتاح إثبات الهوية المجمّعة.
`subject`	CN = "مفتاح Android Keystore" (قيمة ثابتة: متطابقة في جميع الشهادات)
`subjectPublicKeyInfo`	SubjectPublicKeyInfo يحتوي على مفتاح عام معتمَد
`extensions/Key Usage`	‫digitalSignature: يتم ضبطها إذا كان المفتاح له الغرض `KeyPurpose::SIGN` أو `KeyPurpose::VERIFY`. لا يتم ضبط أي من البايتات الأخرى.
`extensions/CRL Distribution Points`	القيمة لم يتم تحديدها بعد
`extensions/"attestation"`	رقم تعريف OID هو ‎1.3.6.1.4.1.11129.2.1.17، ويتم تحديد المحتوى في القسم إضافة شهادة الاعتماد أدناه. كما هو الحال مع جميع إضافات شهادة X.509، يتم تمثيل المحتوى على هيئة OCTET_STRING يحتوي على ترميز DER لسلسلة الإثبات.

إضافة شهادة الاعتماد

تحتوي إضافة attestation على معرّف OID 1.3.6.1.4.1.11129.2.1.17. يحتوي على معلومات عن مفتاحَي التشفير الجاري إثبات ملكيتهما وحالة الجهاز في وقت إنشاء المفتاحَين.

يتم تحويل أنواع علامة Keymaster/KeyMint المحدّدة في مواصفات واجهة AIDL إلى أنواع ASN.1 على النحو التالي:

نوع Keymaster/KeyMint	نوع ASN.1	ملاحظات
`ENUM`	`INTEGER`
`ENUM_REP`	`SET of INTEGER`
`UINT`	`INTEGER`
`UINT_REP`	`SET of INTEGER`
`ULONG`	`INTEGER`
`ULONG_REP`	`SET of INTEGER`
`DATE`	`INTEGER`	المللي ثانية منذ 1 كانون الثاني (يناير) 1970 00:00:00 بتوقيت غرينيتش
`BOOL`	`NULL`	تشير حالة توفّر العلامة إلى "صحيح"، وتشير حالة عدم توفّرها إلى "خطأ".
`BIGNUM`		لا تتضمّن أي علامات هذا النوع، لذا لم يتم تحديد أيّ تعيين.
`BYTES`	`OCTET_STRING`

المخطّط

يتم وصف محتوى إضافة شهادة الاعتماد من خلال مخطّط ASN.1 التالي:

الإصدار 300

KeyDescription ::= SEQUENCE {
    attestationVersion  300,
    attestationSecurityLevel  SecurityLevel,
    keyMintVersion  INTEGER,
    keyMintSecurityLevel  SecurityLevel,
    attestationChallenge  OCTET_STRING,
    uniqueId  OCTET_STRING,
    softwareEnforced  AuthorizationList,
    hardwareEnforced  AuthorizationList,
}

SecurityLevel ::= ENUMERATED {
    Software  (0),
    TrustedEnvironment  (1),
    StrongBox  (2),
}

AuthorizationList ::= SEQUENCE {
    purpose  [1] EXPLICIT SET OF INTEGER OPTIONAL,
    algorithm  [2] EXPLICIT INTEGER OPTIONAL,
    keySize  [3] EXPLICIT INTEGER OPTIONAL,
    digest  [5] EXPLICIT SET OF INTEGER OPTIONAL,
    padding  [6] EXPLICIT SET OF INTEGER OPTIONAL,
    ecCurve  [10] EXPLICIT INTEGER OPTIONAL,
    rsaPublicExponent  [200] EXPLICIT INTEGER OPTIONAL,
    mgfDigest  [203] EXPLICIT SET OF INTEGER OPTIONAL,
    rollbackResistance  [303] EXPLICIT NULL OPTIONAL,
    earlyBootOnly  [305] EXPLICIT NULL OPTIONAL,
    activeDateTime  [400] EXPLICIT INTEGER OPTIONAL,
    originationExpireDateTime  [401] EXPLICIT INTEGER OPTIONAL,
    usageExpireDateTime  [402] EXPLICIT INTEGER OPTIONAL,
    usageCountLimit  [405] EXPLICIT INTEGER OPTIONAL,
    noAuthRequired  [503] EXPLICIT NULL OPTIONAL,
    userAuthType  [504] EXPLICIT INTEGER OPTIONAL,
    authTimeout  [505] EXPLICIT INTEGER OPTIONAL,
    allowWhileOnBody  [506] EXPLICIT NULL OPTIONAL,
    trustedUserPresenceRequired  [507] EXPLICIT NULL OPTIONAL,
    trustedConfirmationRequired  [508] EXPLICIT NULL OPTIONAL,
    unlockedDeviceRequired  [509] EXPLICIT NULL OPTIONAL,
    creationDateTime  [701] EXPLICIT INTEGER OPTIONAL,
    origin  [702] EXPLICIT INTEGER OPTIONAL,
    rootOfTrust  [704] EXPLICIT RootOfTrust OPTIONAL,
    osVersion  [705] EXPLICIT INTEGER OPTIONAL,
    osPatchLevel  [706] EXPLICIT INTEGER OPTIONAL,
    attestationApplicationId  [709] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdBrand  [710] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdDevice  [711] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdProduct  [712] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdSerial  [713] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdImei  [714] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdMeid  [715] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdManufacturer  [716] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdModel  [717] EXPLICIT OCTET_STRING OPTIONAL,
    vendorPatchLevel  [718] EXPLICIT INTEGER OPTIONAL,
    bootPatchLevel  [719] EXPLICIT INTEGER OPTIONAL,
    deviceUniqueAttestation  [720] EXPLICIT NULL OPTIONAL,
    attestationIdSecondImei  [723] EXPLICIT OCTET_STRING OPTIONAL,
}

RootOfTrust ::= SEQUENCE {
    verifiedBootKey  OCTET_STRING,
    deviceLocked  BOOLEAN,
    verifiedBootState  VerifiedBootState,
    verifiedBootHash OCTET_STRING,
}

VerifiedBootState ::= ENUMERATED {
    Verified  (0),
    SelfSigned  (1),
    Unverified  (2),
    Failed  (3),
}

الإصدار 200

KeyDescription ::= SEQUENCE {
    attestationVersion  200,
    attestationSecurityLevel  SecurityLevel,
    keyMintVersion  INTEGER,
    keyMintSecurityLevel  SecurityLevel,
    attestationChallenge  OCTET_STRING,
    uniqueId  OCTET_STRING,
    softwareEnforced  AuthorizationList,
    hardwareEnforced  AuthorizationList,
}

SecurityLevel ::= ENUMERATED {
    Software  (0),
    TrustedEnvironment  (1),
    StrongBox  (2),
}

AuthorizationList ::= SEQUENCE {
    purpose  [1] EXPLICIT SET OF INTEGER OPTIONAL,
    algorithm  [2] EXPLICIT INTEGER OPTIONAL,
    keySize  [3] EXPLICIT INTEGER OPTIONAL,
    digest  [5] EXPLICIT SET OF INTEGER OPTIONAL,
    padding  [6] EXPLICIT SET OF INTEGER OPTIONAL,
    ecCurve  [10] EXPLICIT INTEGER OPTIONAL,
    rsaPublicExponent  [200] EXPLICIT INTEGER OPTIONAL,
    mgfDigest  [203] EXPLICIT SET OF INTEGER OPTIONAL,
    rollbackResistance  [303] EXPLICIT NULL OPTIONAL,
    earlyBootOnly  [305] EXPLICIT NULL OPTIONAL,
    activeDateTime  [400] EXPLICIT INTEGER OPTIONAL,
    originationExpireDateTime  [401] EXPLICIT INTEGER OPTIONAL,
    usageExpireDateTime  [402] EXPLICIT INTEGER OPTIONAL,
    usageCountLimit  [405] EXPLICIT INTEGER OPTIONAL,
    noAuthRequired  [503] EXPLICIT NULL OPTIONAL,
    userAuthType  [504] EXPLICIT INTEGER OPTIONAL,
    authTimeout  [505] EXPLICIT INTEGER OPTIONAL,
    allowWhileOnBody  [506] EXPLICIT NULL OPTIONAL,
    trustedUserPresenceRequired  [507] EXPLICIT NULL OPTIONAL,
    trustedConfirmationRequired  [508] EXPLICIT NULL OPTIONAL,
    unlockedDeviceRequired  [509] EXPLICIT NULL OPTIONAL,
    creationDateTime  [701] EXPLICIT INTEGER OPTIONAL,
    origin  [702] EXPLICIT INTEGER OPTIONAL,
    rootOfTrust  [704] EXPLICIT RootOfTrust OPTIONAL,
    osVersion  [705] EXPLICIT INTEGER OPTIONAL,
    osPatchLevel  [706] EXPLICIT INTEGER OPTIONAL,
    attestationApplicationId  [709] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdBrand  [710] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdDevice  [711] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdProduct  [712] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdSerial  [713] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdImei  [714] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdMeid  [715] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdManufacturer  [716] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdModel  [717] EXPLICIT OCTET_STRING OPTIONAL,
    vendorPatchLevel  [718] EXPLICIT INTEGER OPTIONAL,
    bootPatchLevel  [719] EXPLICIT INTEGER OPTIONAL,
    deviceUniqueAttestation  [720] EXPLICIT NULL OPTIONAL,
}

RootOfTrust ::= SEQUENCE {
    verifiedBootKey  OCTET_STRING,
    deviceLocked  BOOLEAN,
    verifiedBootState  VerifiedBootState,
    verifiedBootHash OCTET_STRING,
}

VerifiedBootState ::= ENUMERATED {
    Verified  (0),
    SelfSigned  (1),
    Unverified  (2),
    Failed  (3),
}

الإصدار 100

KeyDescription ::= SEQUENCE {
    attestationVersion  100,
    attestationSecurityLevel  SecurityLevel,
    keyMintVersion  INTEGER,
    keyMintSecurityLevel  SecurityLevel,
    attestationChallenge  OCTET_STRING,
    uniqueId  OCTET_STRING,
    softwareEnforced  AuthorizationList,
    hardwareEnforced  AuthorizationList,
}

SecurityLevel ::= ENUMERATED {
    Software  (0),
    TrustedEnvironment  (1),
    StrongBox  (2),
}

AuthorizationList ::= SEQUENCE {
    purpose  [1] EXPLICIT SET OF INTEGER OPTIONAL,
    algorithm  [2] EXPLICIT INTEGER OPTIONAL,
    keySize  [3] EXPLICIT INTEGER OPTIONAL,
    digest  [5] EXPLICIT SET OF INTEGER OPTIONAL,
    padding  [6] EXPLICIT SET OF INTEGER OPTIONAL,
    ecCurve  [10] EXPLICIT INTEGER OPTIONAL,
    rsaPublicExponent  [200] EXPLICIT INTEGER OPTIONAL,
    mgfDigest  [203] EXPLICIT SET OF INTEGER OPTIONAL,
    rollbackResistance  [303] EXPLICIT NULL OPTIONAL,
    earlyBootOnly  [305] EXPLICIT NULL OPTIONAL,
    activeDateTime  [400] EXPLICIT INTEGER OPTIONAL,
    originationExpireDateTime  [401] EXPLICIT INTEGER OPTIONAL,
    usageExpireDateTime  [402] EXPLICIT INTEGER OPTIONAL,
    usageCountLimit  [405] EXPLICIT INTEGER OPTIONAL,
    noAuthRequired  [503] EXPLICIT NULL OPTIONAL,
    userAuthType  [504] EXPLICIT INTEGER OPTIONAL,
    authTimeout  [505] EXPLICIT INTEGER OPTIONAL,
    allowWhileOnBody  [506] EXPLICIT NULL OPTIONAL,
    trustedUserPresenceRequired  [507] EXPLICIT NULL OPTIONAL,
    trustedConfirmationRequired  [508] EXPLICIT NULL OPTIONAL,
    unlockedDeviceRequired  [509] EXPLICIT NULL OPTIONAL,
    creationDateTime  [701] EXPLICIT INTEGER OPTIONAL,
    origin  [702] EXPLICIT INTEGER OPTIONAL,
    rootOfTrust  [704] EXPLICIT RootOfTrust OPTIONAL,
    osVersion  [705] EXPLICIT INTEGER OPTIONAL,
    osPatchLevel  [706] EXPLICIT INTEGER OPTIONAL,
    attestationApplicationId  [709] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdBrand  [710] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdDevice  [711] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdProduct  [712] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdSerial  [713] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdImei  [714] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdMeid  [715] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdManufacturer  [716] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdModel  [717] EXPLICIT OCTET_STRING OPTIONAL,
    vendorPatchLevel  [718] EXPLICIT INTEGER OPTIONAL,
    bootPatchLevel  [719] EXPLICIT INTEGER OPTIONAL,
    deviceUniqueAttestation  [720] EXPLICIT NULL OPTIONAL,
}

RootOfTrust ::= SEQUENCE {
    verifiedBootKey  OCTET_STRING,
    deviceLocked  BOOLEAN,
    verifiedBootState  VerifiedBootState,
    verifiedBootHash OCTET_STRING,
}

VerifiedBootState ::= ENUMERATED {
    Verified  (0),
    SelfSigned  (1),
    Unverified  (2),
    Failed  (3),
}

الإصدار 4

KeyDescription ::= SEQUENCE {
    attestationVersion  4,
    attestationSecurityLevel  SecurityLevel,
    keymasterVersion  INTEGER,
    keymasterSecurityLevel  SecurityLevel,
    attestationChallenge  OCTET_STRING,
    uniqueId  OCTET_STRING,
    softwareEnforced  AuthorizationList,
    hardwareEnforced  AuthorizationList,
}

SecurityLevel ::= ENUMERATED {
    Software  (0),
    TrustedEnvironment  (1),
    StrongBox  (2),
}

AuthorizationList ::= SEQUENCE {
    purpose  [1] EXPLICIT SET OF INTEGER OPTIONAL,
    algorithm  [2] EXPLICIT INTEGER OPTIONAL,
    keySize  [3] EXPLICIT INTEGER OPTIONAL,
    digest  [5] EXPLICIT SET OF INTEGER OPTIONAL,
    padding  [6] EXPLICIT SET OF INTEGER OPTIONAL,
    ecCurve  [10] EXPLICIT INTEGER OPTIONAL,
    rsaPublicExponent  [200] EXPLICIT INTEGER OPTIONAL,
    rollbackResistance  [303] EXPLICIT NULL OPTIONAL,
    earlyBootOnly  [305] EXPLICIT NULL OPTIONAL,
    activeDateTime  [400] EXPLICIT INTEGER OPTIONAL,
    originationExpireDateTime  [401] EXPLICIT INTEGER OPTIONAL,
    usageExpireDateTime  [402] EXPLICIT INTEGER OPTIONAL,
    noAuthRequired  [503] EXPLICIT NULL OPTIONAL,
    userAuthType  [504] EXPLICIT INTEGER OPTIONAL,
    authTimeout  [505] EXPLICIT INTEGER OPTIONAL,
    allowWhileOnBody  [506] EXPLICIT NULL OPTIONAL,
    trustedUserPresenceRequired  [507] EXPLICIT NULL OPTIONAL,
    trustedConfirmationRequired  [508] EXPLICIT NULL OPTIONAL,
    unlockedDeviceRequired  [509] EXPLICIT NULL OPTIONAL,
    allApplications  [600] EXPLICIT NULL OPTIONAL,
    creationDateTime  [701] EXPLICIT INTEGER OPTIONAL,
    origin  [702] EXPLICIT INTEGER OPTIONAL,
    rootOfTrust  [704] EXPLICIT RootOfTrust OPTIONAL,
    osVersion  [705] EXPLICIT INTEGER OPTIONAL,
    osPatchLevel  [706] EXPLICIT INTEGER OPTIONAL,
    attestationApplicationId  [709] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdBrand  [710] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdDevice  [711] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdProduct  [712] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdSerial  [713] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdImei  [714] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdMeid  [715] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdManufacturer  [716] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdModel  [717] EXPLICIT OCTET_STRING OPTIONAL,
    vendorPatchLevel  [718] EXPLICIT INTEGER OPTIONAL,
    bootPatchLevel  [719] EXPLICIT INTEGER OPTIONAL,
    deviceUniqueAttestation  [720] EXPLICIT NULL OPTIONAL,
}

RootOfTrust ::= SEQUENCE {
    verifiedBootKey  OCTET_STRING,
    deviceLocked  BOOLEAN,
    verifiedBootState  VerifiedBootState,
    verifiedBootHash OCTET_STRING,
}

VerifiedBootState ::= ENUMERATED {
    Verified  (0),
    SelfSigned  (1),
    Unverified  (2),
    Failed  (3),
}

الإصدار 3

KeyDescription ::= SEQUENCE {
    attestationVersion  3,
    attestationSecurityLevel  SecurityLevel,
    keymasterVersion  INTEGER,
    keymasterSecurityLevel  SecurityLevel,
    attestationChallenge  OCTET_STRING,
    uniqueId  OCTET_STRING,
    softwareEnforced  AuthorizationList,
    hardwareEnforced  AuthorizationList,
}

SecurityLevel ::= ENUMERATED {
    Software  (0),
    TrustedEnvironment  (1),
    StrongBox  (2),
}

AuthorizationList ::= SEQUENCE {
    purpose  [1] EXPLICIT SET OF INTEGER OPTIONAL,
    algorithm  [2] EXPLICIT INTEGER OPTIONAL,
    keySize  [3] EXPLICIT INTEGER OPTIONAL,
    digest  [5] EXPLICIT SET OF INTEGER OPTIONAL,
    padding  [6] EXPLICIT SET OF INTEGER OPTIONAL,
    ecCurve  [10] EXPLICIT INTEGER OPTIONAL,
    rsaPublicExponent  [200] EXPLICIT INTEGER OPTIONAL,
    rollbackResistance  [303] EXPLICIT NULL OPTIONAL,
    activeDateTime  [400] EXPLICIT INTEGER OPTIONAL,
    originationExpireDateTime  [401] EXPLICIT INTEGER OPTIONAL,
    usageExpireDateTime  [402] EXPLICIT INTEGER OPTIONAL,
    noAuthRequired  [503] EXPLICIT NULL OPTIONAL,
    userAuthType  [504] EXPLICIT INTEGER OPTIONAL,
    authTimeout  [505] EXPLICIT INTEGER OPTIONAL,
    allowWhileOnBody  [506] EXPLICIT NULL OPTIONAL,
    trustedUserPresenceRequired  [507] EXPLICIT NULL OPTIONAL,
    trustedConfirmationRequired  [508] EXPLICIT NULL OPTIONAL,
    unlockedDeviceRequired  [509] EXPLICIT NULL OPTIONAL,
    allApplications  [600] EXPLICIT NULL OPTIONAL,
    creationDateTime  [701] EXPLICIT INTEGER OPTIONAL,
    origin  [702] EXPLICIT INTEGER OPTIONAL,
    rootOfTrust  [704] EXPLICIT RootOfTrust OPTIONAL,
    osVersion  [705] EXPLICIT INTEGER OPTIONAL,
    osPatchLevel  [706] EXPLICIT INTEGER OPTIONAL,
    attestationApplicationId  [709] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdBrand  [710] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdDevice  [711] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdProduct  [712] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdSerial  [713] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdImei  [714] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdMeid  [715] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdManufacturer  [716] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdModel  [717] EXPLICIT OCTET_STRING OPTIONAL,
    vendorPatchLevel  [718] EXPLICIT INTEGER OPTIONAL,
    bootPatchLevel  [719] EXPLICIT INTEGER OPTIONAL,
}

RootOfTrust ::= SEQUENCE {
    verifiedBootKey  OCTET_STRING,
    deviceLocked  BOOLEAN,
    verifiedBootState  VerifiedBootState,
    verifiedBootHash OCTET_STRING,
}

VerifiedBootState ::= ENUMERATED {
    Verified  (0),
    SelfSigned  (1),
    Unverified  (2),
    Failed  (3),
}

الإصدار 2

KeyDescription ::= SEQUENCE {
    attestationVersion  2,
    attestationSecurityLevel  SecurityLevel,
    keymasterVersion  INTEGER,
    keymasterSecurityLevel  SecurityLevel,
    attestationChallenge  OCTET_STRING,
    uniqueId  OCTET_STRING,
    softwareEnforced  AuthorizationList,
    hardwareEnforced  AuthorizationList,
}

SecurityLevel ::= ENUMERATED {
    Software  (0),
    TrustedEnvironment  (1),
}

AuthorizationList ::= SEQUENCE {
    purpose  [1] EXPLICIT SET OF INTEGER OPTIONAL,
    algorithm  [2] EXPLICIT INTEGER OPTIONAL,
    keySize  [3] EXPLICIT INTEGER OPTIONAL,
    digest  [5] EXPLICIT SET OF INTEGER OPTIONAL,
    padding  [6] EXPLICIT SET OF INTEGER OPTIONAL,
    ecCurve  [10] EXPLICIT INTEGER OPTIONAL,
    rsaPublicExponent  [200] EXPLICIT INTEGER OPTIONAL,
    activeDateTime  [400] EXPLICIT INTEGER OPTIONAL,
    originationExpireDateTime  [401] EXPLICIT INTEGER OPTIONAL,
    usageExpireDateTime  [402] EXPLICIT INTEGER OPTIONAL,
    noAuthRequired  [503] EXPLICIT NULL OPTIONAL,
    userAuthType  [504] EXPLICIT INTEGER OPTIONAL,
    authTimeout  [505] EXPLICIT INTEGER OPTIONAL,
    allowWhileOnBody  [506] EXPLICIT NULL OPTIONAL,
    allApplications  [600] EXPLICIT NULL OPTIONAL,
    creationDateTime  [701] EXPLICIT INTEGER OPTIONAL,
    origin  [702] EXPLICIT INTEGER OPTIONAL,
    rollbackResistant  [703] EXPLICIT NULL OPTIONAL,
    rootOfTrust  [704] EXPLICIT RootOfTrust OPTIONAL,
    osVersion  [705] EXPLICIT INTEGER OPTIONAL,
    osPatchLevel  [706] EXPLICIT INTEGER OPTIONAL,
    attestationApplicationId  [709] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdBrand  [710] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdDevice  [711] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdProduct  [712] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdSerial  [713] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdImei  [714] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdMeid  [715] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdManufacturer  [716] EXPLICIT OCTET_STRING OPTIONAL,
    attestationIdModel  [717] EXPLICIT OCTET_STRING OPTIONAL,
}

RootOfTrust ::= SEQUENCE {
    verifiedBootKey  OCTET_STRING,
    deviceLocked  BOOLEAN,
    verifiedBootState  VerifiedBootState,
}

VerifiedBootState ::= ENUMERATED {
    Verified  (0),
    SelfSigned  (1),
    Unverified  (2),
    Failed  (3),
}

الإصدار 1

KeyDescription ::= SEQUENCE {
    attestationVersion  1,
    attestationSecurityLevel  SecurityLevel,
    keymasterVersion  INTEGER,
    keymasterSecurityLevel  SecurityLevel,
    attestationChallenge  OCTET_STRING,
    uniqueId  OCTET_STRING,
    softwareEnforced  AuthorizationList,
    hardwareEnforced  AuthorizationList,
}

SecurityLevel ::= ENUMERATED {
    Software  (0),
    TrustedEnvironment  (1),
}

AuthorizationList ::= SEQUENCE {
    purpose  [1] EXPLICIT SET OF INTEGER OPTIONAL,
    algorithm  [2] EXPLICIT INTEGER OPTIONAL,
    keySize  [3] EXPLICIT INTEGER OPTIONAL,
    digest  [5] EXPLICIT SET OF INTEGER OPTIONAL,
    padding  [6] EXPLICIT SET OF INTEGER OPTIONAL,
    ecCurve  [10] EXPLICIT INTEGER OPTIONAL,
    rsaPublicExponent  [200] EXPLICIT INTEGER OPTIONAL,
    activeDateTime  [400] EXPLICIT INTEGER OPTIONAL,
    originationExpireDateTime  [401] EXPLICIT INTEGER OPTIONAL,
    usageExpireDateTime  [402] EXPLICIT INTEGER OPTIONAL,
    noAuthRequired  [503] EXPLICIT NULL OPTIONAL,
    userAuthType  [504] EXPLICIT INTEGER OPTIONAL,
    authTimeout  [505] EXPLICIT INTEGER OPTIONAL,
    allowWhileOnBody  [506] EXPLICIT NULL OPTIONAL,
    allApplications  [600] EXPLICIT NULL OPTIONAL,
    creationDateTime  [701] EXPLICIT INTEGER OPTIONAL,
    origin  [702] EXPLICIT INTEGER OPTIONAL,
    rollbackResistant  [703] EXPLICIT NULL OPTIONAL,
    rootOfTrust  [704] EXPLICIT RootOfTrust OPTIONAL,
    osVersion  [705] EXPLICIT INTEGER OPTIONAL,
    osPatchLevel  [706] EXPLICIT INTEGER OPTIONAL,
}

RootOfTrust ::= SEQUENCE {
    verifiedBootKey  OCTET_STRING,
    deviceLocked  BOOLEAN,
    verifiedBootState  VerifiedBootState,
}

VerifiedBootState ::= ENUMERATED {
    Verified  (0),
    SelfSigned  (1),
    Unverified  (2),
    Failed  (3),
}

حقول KeyDescription

attestationVersion

إصدار مخطّط ASN.1

القيمة	إصدار Keymaster/KeyMint
1	الإصدار 2.0 من Keymaster
2	الإصدار 3.0 من Keymaster
3	الإصدار 4.0 من Keymaster
4	الإصدار 4.1 من Keymaster
100	الإصدار 1.0 من KeyMint
200	الإصدار 2.0 من KeyMint
300	الإصدار 3.0 من KeyMint

attestationSecurityLevel

مستوى الأمان للموقع الجغرافي الذي يتم تخزين المفتاح المُعتمَد فيه

keymasterVersion / keyMintVersion

إصدار تنفيذ طبقة تجريد الأجهزة (HAL) لـ Keymaster/KeyMint

القيمة	إصدار Keymaster/KeyMint
2	الإصدار 2.0 من Keymaster
3	الإصدار 3.0 من Keymaster
4	الإصدار 4.0 من Keymaster
41	الإصدار 4.1 من Keymaster
100	الإصدار 1.0 من KeyMint
200	الإصدار 2.0 من KeyMint
300	الإصدار 3.0 من KeyMint

keymasterSecurityLevel / keyMintSecurityLevel

مستوى الأمان لتطبيق Keymaster/KeyMint

attestationChallenge

التحدي المقدَّم في وقت إنشاء المفتاح

uniqueId

معرّف جهاز حسّاس للخصوصية يمكن لتطبيقات النظام طلبه عند إنشاء المفتاح إذا لم يتم طلب المعرّف الفريد، يكون هذا الحقل فارغًا. لمعرفة التفاصيل، يُرجى الاطّلاع على قسم رقم التعريف الفريد.

softwareEnforced

قائمة الأذونات التي يفرضها نظام Android في Keymaster/KeyMint يتم جمع هذه المعلومات أو إنشاؤها بواسطة رمز في منصّة التطبيق ويتم تخزينها في قسم النظام على الجهاز. يمكن اعتباره موثوقًا طالما أنّ الجهاز يعمل بنظام تشغيل يمتثل لنموذج أمان نظام Android الأساسي (أي أنّ برنامج إقلاع الجهاز مقفل وverifiedBootState Verified).

hardwareEnforced

قائمة الأذونات التي يفرضها Keymaster/KeyMint من خلال بيئة التنفيذ الموثوقة (TEE) في الجهاز أو StrongBox يتم جمع هذه المعلومات أو إنشاؤها من خلال رمز برمجي في الجهاز الآمن ولا تتحكّم المنصة فيها. على سبيل المثال، يمكن أن تأتي المعلومات من برنامج الإقلاع أو من خلال قناة تواصل آمنة لا تتطلب الثقة في النظام الأساسي.

قيم SecurityLevel

تشير قيمة SecurityLevel إلى مدى مقاومة العنصر المرتبط بـ "متجر المفاتيح" (مثل مفتاحَي التشفير والإثبات) للهجوم.

القيمة	المعنى
`Software`	آمن طالما أنّ نظام Android على الجهاز يمتثل لنموذج أمان نظام Android (أي أنّ برنامج إقلاع الجهاز مقفل و`verifiedBootState` `Verified`)
`TrustedEnvironment`	آمنة ما دامت بيئة التنفيذ الموثوقة (TEE) لم تتعرض للاختراق يتم تحديد متطلبات العزل لوحدات TEE في الفقرات 9.11 [C-1-1] إلى [C-1-4] من مستند تعريف التوافق مع Android. تتميز وحدات TEE بدرجة عالية من المقاومة للاختراق عن بُعد، ودرجة معتدلة من المقاومة للاختراق من خلال هجوم مباشر على الأجهزة.
`StrongBox`	آمن ما دام تطبيق StrongBox لم يتعرض للاختراق يتم تنفيذ StrongBox في عنصر آمن يشبه وحدة أمان الأجهزة. يتم تحديد متطلبات تنفيذ StrongBox في القسم 9.11.2 من مستند تعريف معايير التوافق مع Android. يتميز StrongBox بدرجة عالية من المقاومة للاختراق عن بُعد والاختراق من خلال هجوم مباشر على الأجهزة (على سبيل المثال، التلاعب المادي والهجمات على القنوات الجانبية).

حقول AuthorizationList

يتوافق كل حقل مع علامة تفويض Keymaster/KeyMint من مواصفات واجهة AIDL. تقدّم المواصفة معلومات دقيقة عن علامات التفويض: معناها وتنسيق محتواها وما إذا كان من المتوقّع أن تظهر في حقلَي softwareEnforced أو hardwareEnforced في عنصرKeyDescription، وما إذا كانت تتعارض مع علامات أخرى وما إلى ذلك. جميع حقول AuthorizationList اختيارية.

ملاحظة: لا تظهر بعض العلامات المدرَجة في المواصفة في مخطّط ASN.1 لإضافة شهادات الاعتماد، لأنّها لا تنطبق مثلاً على مفاتيح التشفير غير المتماثلة (مثل Tag::MIN_MAC_LENGTH، Tag::CALLER_NONCE) أو لا يكون لها معنى خارج الجهاز (مثل Tag::USER_SECURE_ID).

يحتوي كل حقل على علامة EXPLICIT خاصة بالسياق تساوي رقم علامة Keymaster/KeyMint، ما يتيح تمثيلًا أكثر كثافة للبيانات في AuthorizationList. لذلك، يجب أن يعرف منظِّم ASN.1 نوع البيانات المتوقّع لكل علامة خاصة بالسياق. على سبيل المثال، Tag::USER_AUTH_TYPE يتم تعريفه على أنّه ENUM | 504. في مخطّط إضافة شهادة الاعتماد، يتم تحديد الحقل purpose في AuthorizationList على أنّه userAuthType [504] EXPLICIT INTEGER OPTIONAL. بالتالي، سيحتوي ترميز ASN.1 على العلامة الخاصة بالسياق 504 بدلاً من علامة فئة UNIVERSAL لنوع ASN.1 INTEGER، وهو 10.

purpose

يتوافق مع علامة التفويض Tag::PURPOSE التي تستخدِم قيمة علامة ID‏ 1.

algorithm

تتوافق مع علامة التفويض Tag::ALGORITHM التي تستخدِم قيمة معرّف العلامة 2.

في كائن شهادة الاعتماد AuthorizationList، تكون قيمة الخوارزمية دائمًا RSA أو EC.

keySize

يتطابق مع علامة التفويض Tag::KEY_SIZE التي تستخدِم قيمة علامة ID‏ 3.

digest

يتوافق مع علامة التفويض Tag::DIGEST التي تستخدِم قيمة علامة ID‏ 5.

padding

يتوافق مع علامة التفويض Tag::PADDING التي تستخدِم قيمة علامة ID‏ 6.

ecCurve

تتوافق مع علامة التفويض Tag::EC_CURVE التي تستخدِم قيمة رقم تعريف العلامة 10.

مجموعة المَعلمات المستخدَمة لإنشاء مفتاحَي تشفير منحني إقليدي (EC)، يستخدمان ECDSA للتوقيع والتحقّق، ضمن ملف تخزين مفاتيح التشفير في نظام Android

rsaPublicExponent

يتوافق مع علامة التفويض Tag::RSA_PUBLIC_EXPONENT التي تستخدِم قيمة معرّف العلامة 200.

mgfDigest

لا يظهر هذا الحقل إلا في إصدار شهادة إثبات ملكية المفتاح الذي يكون أكبر من أو يساوي 100.

تتوافق مع علامة التفويض Tag::RSA_OAEP_MGF_DIGEST KeyMint ، التي تستخدِم قيمة معرّف العلامة 203.

rollbackResistance

لا يظهر هذا الحقل إلا في إصدار شهادة إثبات ملكية المفتاح الذي يكون أكبر من أو يساوي 3.

تتوافق مع علامة التفويض Tag::ROLLBACK_RESISTANCE التي تستخدِم قيمة رقم تعريف العلامة 303.

earlyBootOnly

لا يظهر إلا في إصدار شهادة إثبات ملكية المفتاح ‎4 أو الإصدارات الأحدث.

تتوافق مع علامة التفويض Tag::EARLY_BOOT_ONLY التي تستخدم قيمة معرّف العلامة 305.

activeDateTime

يتوافق مع علامة التفويض Tag::ACTIVE_DATETIME التي تستخدم قيمة معرّف العلامة 400.

originationExpireDateTime

يتوافق مع Tag::ORIGINATION_EXPIRE_DATETIME علامة تفويض Keymaster ، التي تستخدم قيمة معرّف العلامة 401.

usageExpireDateTime

تتوافق مع علامة التفويض Tag::USAGE_EXPIRE_DATETIME، التي تستخدِم قيمة معرّف العلامة 402.

usageCountLimit

يتوافق مع علامة التفويض Tag::USAGE_COUNT_LIMIT، التي تستخدِم قيمة معرّف العلامة 405.

noAuthRequired

تتوافق مع علامة التفويض Tag::NO_AUTH_REQUIRED التي تستخدِم قيمة رقم تعريف العلامة 503.

userAuthType

تتوافق مع علامة التفويض Tag::USER_AUTH_TYPE التي تستخدِم قيمة رقم تعريف العلامة 504.

authTimeout

تتطابق مع علامة التفويض Tag::AUTH_TIMEOUT التي تستخدِم قيمة رقم تعريف العلامة 505.

allowWhileOnBody

تتوافق مع علامة التفويض Tag::ALLOW_WHILE_ON_BODY، التي تستخدِم قيمة معرّف العلامة 506.

السماح باستخدام المفتاح بعد انتهاء مهلة المصادقة إذا كان المستخدم لا يزال يرتدي الجهاز يُرجى العِلم أنّه يتم استخدام كاميرا آمنة على الجسم لتحديد ما إذا كان الجهاز مثبّتًا على جسم المستخدم.

trustedUserPresenceRequired

لا يظهر هذا الحقل إلا في إصدار شهادة إثبات ملكية المفتاح الذي يكون أكبر من أو يساوي 3.

تتوافق مع علامة التفويض Tag::TRUSTED_USER_PRESENCE_REQUIRED ، التي تستخدِم قيمة معرّف العلامة 507.

يحدّد هذا الخيار أنّ هذا المفتاح لا يمكن استخدامه إلا إذا قدّم المستخدم دليلاً على وجوده الفعلي. تشمل العديد من الأمثلة ما يلي:

بالنسبة إلى مفتاح StrongBox، يكون الزرّ عبارة عن زرّ جهاز متصل بجهاز StrongBox.
بالنسبة إلى مفتاح TEE، توفّر مصادقة بصمة الإصبع دليلاً على الحضور ما دامت بيئة TEE تتحكّم بشكل حصري في الماسح الضوئي وتُجري عملية مطابقة بصمة الإصبع.

trustedConfirmationRequired

لا يظهر هذا الحقل إلا في إصدار شهادة إثبات ملكية المفتاح الذي يكون أكبر من أو يساوي 3.

تتوافق مع علامة التفويض Tag::TRUSTED_CONFIRMATION_REQUIRED ، التي تستخدِم قيمة معرّف العلامة 508.

يحدِّد هذا الخيار أنّ المفتاح لا يمكن استخدامه إلا إذا قدّم المستخدم تأكيدًا على البيانات التي سيتم توقيعها باستخدام رمز موافقة. لمزيد من المعلومات حول كيفية الحصول على تأكيد المستخدم، يُرجى الاطّلاع على Android Protected Confirmation (تأكيد محمي).

ملاحظة: لا تنطبق هذه العلامة إلا على المفاتيح التي تستخدم الغرض SIGN.

unlockedDeviceRequired

لا يظهر هذا الحقل إلا في إصدار شهادة إثبات ملكية المفتاح الذي يكون أكبر من أو يساوي 3.

تتوافق مع علامة التفويض Tag::UNLOCKED_DEVICE_REQUIRED ، التي تستخدِم قيمة معرّف العلامة 509.

allApplications

تتوافق مع علامة التفويض Tag::ALL_APPLICATIONS التي تستخدِم قيمة معرّف العلامة 600.

يشير إلى ما إذا كان بإمكان جميع التطبيقات على الجهاز الوصول إلى مفتاحَي التشفير.

applicationId

يتوافق مع علامة التفويض Tag::APPLICATION_ID التي تستخدِم قيمة معرّف العلامة 601.

creationDateTime

تتوافق مع علامة التفويض Tag::CREATION_DATETIME التي تستخدم قيمة معرّف العلامة 701.

origin

تتوافق مع علامة التفويض Tag::ORIGIN التي تستخدِم قيمة ID‏ 702.

rollbackResistant

لا تظهر إلا في الإصدارَين 1 و2 من مصادقة المفاتيح.

تتوافق مع علامة التفويض Tag::ROLLBACK_RESISTANT التي تستخدِم قيمة رقم تعريف العلامة 703.

rootOfTrust

تتوافق مع علامة التفويض Tag::ROOT_OF_TRUST التي تستخدِم قيمة معرّف العلامة 704.

لمزيد من التفاصيل، اطّلِع على القسم الذي يصف بنية بيانات RootOfTrust.

osVersion

يطابِق علامة التفويض Tag::OS_VERSION التي تستخدم قيمة رقم تعريف العلامة 705.

إصدار نظام التشغيل Android المرتبط بتطبيق Keymaster، ويتم تحديده كعدد صحيح مكوّن من ستة أرقام. على سبيل المثال، يتم تمثيل الإصدار 8.1.0 على النحو التالي: 080100.

لا يتضمّن سوى الإصدار 1.0 من Keymaster أو الإصدارات الأحدث هذه القيمة في قائمة الأذونات.

osPatchLevel

تتوافق مع علامة التفويض Tag::PATCHLEVEL التي تستخدِم قيمة معرّف العلامة 706.

الشهر والسنة المرتبطَين برقعة الأمان المستخدَمة ضمن Keymaster، ويتم تحديدهما كعدد صحيح مكوّن من ستة أرقام. على سبيل المثال، يتم تمثيل التصحيح لشهر آب (أغسطس) 2018 على النحو التالي: 201808.

لا يتضمّن سوى الإصدار 1.0 من Keymaster أو الإصدارات الأحدث هذه القيمة في قائمة الأذونات.

attestationApplicationId