Android 受保护的确认

为了帮助您在用户启动敏感交易（例如付款）时确认用户的意图，运行 Android 9（API 级别 28）或更高版本的受支持设备允许您使用 Android 受保护的确认。使用此工作流程时，您的应用会向用户显示提示，要求他们批准简短声明以重申他们完成敏感交易的意图。

如果用户接受该声明，您的应用可以使用 Android 密钥库中的密钥来签署对话框中显示的消息。该签名以非常高的置信度表明用户已查看该声明并同意该声明。

注意：Android 受保护的确认不提供用户的安全信息通道。您的应用无法保证任何机密性，超出 Android 平台提供的机密性。特别是，不要使用此工作流程来显示您通常不会在用户设备上显示的敏感信息。

用户确认消息后，消息的完整性得到保证，但您的应用仍必须使用数据传输加密来保护已签名消息的机密性。

要在您的应用中提供对高保证用户确认的支持，请完成以下步骤

使用 KeyGenParameterSpec.Builder 类生成非对称签名密钥。创建密钥时，将true 传递到 setUserConfirmationRequired()。此外，调用 setAttestationChallenge()，并传递依赖方提供的合适的质询值。
使用相应的依赖方注册新生成的密钥和密钥的证明证书。
将交易详细信息发送到您的服务器，并让服务器生成并返回额外数据的二进制大对象 (BLOB)。额外数据可能包括待确认的数据或解析提示，例如提示字符串的语言环境。

为了更安全地实现，BLOB 必须包含用于防止重放攻击并区分交易的加密随机数。

注意：如果额外数据字段包含待确认的数据，依赖方必须验证与提示字符串一起发送的等效数据。Android 受保护的确认不会呈现额外数据，因此您的应用无法假设用户已确认此数据。

设置 ConfirmationCallback 对象，该对象在用户接受确认对话框中显示的提示时通知您的应用。

Kotlin

class MyConfirmationCallback : ConfirmationCallback() {

      override fun onConfirmed(dataThatWasConfirmed: ByteArray?) {
          super.onConfirmed(dataThatWasConfirmed)
          // Sign dataThatWasConfirmed using your generated signing key.
          // By completing this process, you generate a signed statement.
      }

      override fun onDismissed() {
          super.onDismissed()
          // Handle case where user declined the prompt in the
          // confirmation dialog.
      }

      override fun onCanceled() {
          super.onCanceled()
          // Handle case where your app closed the dialog before the user
          // responded to the prompt.
      }

      override fun onError(e: Exception?) {
          super.onError(e)
          // Handle the exception that the callback captured.
      }
  }

Java

public class MyConfirmationCallback extends ConfirmationCallback {

  @Override
  public void onConfirmed(@NonNull byte[] dataThatWasConfirmed) {
      super.onConfirmed(dataThatWasConfirmed);
      // Sign dataThatWasConfirmed using your generated signing key.
      // By completing this process, you generate a signed statement.
  }

  @Override
  public void onDismissed() {
      super.onDismissed();
      // Handle case where user declined the prompt in the
      // confirmation dialog.
  }

  @Override
  public void onCanceled() {
      super.onCanceled();
      // Handle case where your app closed the dialog before the user
      // responded to the prompt.
  }

  @Override
  public void onError(Throwable e) {
      super.onError(e);
      // Handle the exception that the callback captured.
  }
}

如果用户批准对话框，则调用onConfirmed()回调函数。dataThatWasConfirmed BLOB是一个CBOR 数据结构，其中包含用户看到的提示文本以及您传递到ConfirmationPrompt构建器的额外数据。使用之前创建的密钥对dataThatWasConfirmed BLOB进行签名，然后将此BLOB与签名和事务详细信息一起传递回依赖方。

为了充分利用Android 受保护的确认提供的安全保障，依赖方必须在收到签名消息后执行以下步骤

检查消息的签名以及签名密钥的证明证书链。
检查证明证书是否设置了TRUSTED_CONFIRMATION_REQUIRED标志，这表示签名密钥需要受信任的用户确认。如果签名密钥是RSA密钥，请检查它是否不具有PURPOSE_ENCRYPT或PURPOSE_DECRYPT属性。
检查extraData以确保此确认消息属于新的请求并且尚未处理。此步骤可防止重放攻击。
解析promptText以获取有关已确认操作或请求的信息。请记住，promptText是用户实际确认的消息的唯一部分。依赖方绝不能假设包含在extraData中的待确认数据与promptText相对应。

添加类似于以下代码片段中所示的逻辑来显示对话框本身

Kotlin

// This data structure varies by app type. This is an example.
  data class ConfirmationPromptData(val sender: String,
          val receiver: String, val amount: String)

  val myExtraData: ByteArray = byteArrayOf()
  val myDialogData = ConfirmationPromptData("Ashlyn", "Jordan", "$500")
  val threadReceivingCallback = Executor { runnable -> runnable.run() }
  val callback = MyConfirmationCallback()

  val dialog = ConfirmationPrompt.Builder(context)
          .setPromptText("${myDialogData.sender}, send
                          ${myDialogData.amount} to
                          ${myDialogData.receiver}?")
          .setExtraData(myExtraData)
          .build()
  dialog.presentPrompt(threadReceivingCallback, callback)

Java

  // This data structure varies by app type. This is an example.
  class ConfirmationPromptData {
      String sender, receiver, amount;
      ConfirmationPromptData(String sender, String receiver, String amount) {
          this.sender = sender;
          this.receiver = receiver;
          this.amount = amount;
      }
  };
  final int MY_EXTRA_DATA_LENGTH = 100;
  byte[] myExtraData = new byte[MY_EXTRA_DATA_LENGTH];
  ConfirmationPromptData myDialogData = new ConfirmationPromptData("Ashlyn", "Jordan", "$500");
  Executor threadReceivingCallback = Runnable::run;
  MyConfirmationCallback callback = new MyConfirmationCallback();
  ConfirmationPrompt dialog = (new ConfirmationPrompt.Builder(getApplicationContext()))
          .setPromptText("${myDialogData.sender}, send ${myDialogData.amount} to ${myDialogData.receiver}?")
          .setExtraData(myExtraData)
          .build();
  dialog.presentPrompt(threadReceivingCallback, callback);

其他资源

有关Android 受保护确认的更多信息，请参阅以下资源。

博客

Android 受保护确认：将交易安全性提升到一个新的水平