Implementar seguridad de nivel de firma en servicios de Android con más de una firma permitida

Question

Estoy desarrollando una aplicación en este momento que contiene bastante información personal del usuario - cosas como contactos de Facebook, etc ... Ahora, uno de las cosas que quiero ser capaz de hacer (y lo he hecho de manera bastante efectiva) son abrir partes de la aplicación a aplicaciones de "terceros", utilizando el protocolo de comunicación interproceso (AIDL) incorporado de Android. Hasta aquí todo bien.

Aquí está el truco: porque estamos involucrados en el manejo de una gran cantidad de información personal, tenemos que tener mucho cuidado sobre quién puede y no puede acceder a ella; específicamente, solo las aplicaciones "de confianza" deberían poder hacerlo. Entonces, la forma más natural de hacerlo es usar un permiso personalizado dentro del archivo AndroidManifest.xml donde declaramos los servicios. Mi problema es el siguiente: Quiero ser capaz de promulgar protección a nivel de firma (similar al nivel de permiso normal "firma"), pero con un poco de la captura:

yo no solamente desee solicitud firmada con nuestra firma interna para poder acceder a los servicios. Me gustaría poder crear una lista de "firmas de confianza" & en tiempo de ejecución (o si hay una forma mejor, ¿luego tal vez en algún otro momento?) Poder verificar las solicitudes entrantes con esta lista de claves de confianza.

Esto satisfaría las restricciones de seguridad del mismo modo que el nivel de permiso de "firma" normal, creo que solo los programas en la "lista de claves de confianza" podrían acceder a los servicios, y las claves son difíciles de falsificar (si posible en absoluto?) - pero con la ventaja adicional de que no tendríamos que firmar cada aplicación haciendo uso de las API con la clave de nuestro equipo interno.

¿Es esto posible por el momento en Android? Y si es así, ¿hay algún requisito especial?

Gracias

Answer 1

Ahora he encontrado la respuesta a esta pregunta, pero lo dejo por el bien de todos aquellos que buscan en el futuro.

Abrí una discusión sobre android-security-discuss donde fue respondida. Enlace: http://groups.google.com/group/android-security-discuss/browse_thread/thread/e01f63c2c024a767

Respuesta corta:

private boolean checkAuthorised(){ 
     PackageManager pm = getPackageManager(); 
     try { 
      for (Signature sig : 
       pm.getPackageInfo(pm.getNameForUid(getCallingUid()), 
         PackageManager.GET_SIGNATURES).signatures){ 
       LogUtils.logD("Signature: " + sig.toCharsString()); 
       if (Security.trustedSignatures.get(sig.toCharsString()) != null) { 
        return true; 
       } 
      } 
     } catch (NameNotFoundException e) { 
      // TODO Auto-generated catch block 
      e.printStackTrace(); 
     } 

     LogUtils.logD("Couldn't find signature in list of trusted keys! Possibilities:"); 
     for(String sigString : Security.trustedSignatures.keySet()){ 
      LogUtils.logD(sigString); 
     } 

     /* Crash the calling application if it doesn't catch */ 
     throw new SecurityException(); 

    } 

Dónde Security.trustedSignatures es un mapa de la forma:

Map<String,String>().put("public key","some description eg. name"); 

Ponga este método dentro de cualquier código que está siendo llamado por el proceso externo (es decir, dentro de su interfaz). Tenga en cuenta que esto hará que no tenga el efecto deseado dentro del método onBind() de su RemoteService.

Answer 2

Gran información jelford, pero yo sugeriría en lugar de almacenar toda la cadena de la firma, para almacenar/comparar el SHA-1 del certificado como se muestra en este answer from matreshkin.

Esto es similar a cómo Google handles the Maps Android API, y esto coincidirá con la salida que se muestra a través de la herramienta de keytool.

private boolean checkAuthorized() throws SecurityException { 
    PackageManager pm = getPackageManager(); 
    try { 
     PackageInfo packageInfo = pm.getPackageInfo(pm.getNameForUid(getCallingUid()), 
      PackageManager.GET_SIGNATURES); 
     Signature[] signatures = packageInfo.signatures; 
     byte[] certBytes = signatures[0].toByteArray(); 
     CertificateFactory cf = CertificateFactory.getInstance("X509"); 
     X509Certificate cert = (X509Certificate)cf.generateCertificate(
      new ByteArrayInputStream(certBytes)); 
     MessageDigest md = MessageDigest.getInstance("SHA1"); 
     byte[] encodedCert = md.digest(cert.getEncoded()); 
     String hexString = byte2HexFormatted(encodedCert); 

     Log.d("public certificate SHA-1: " + hexString); 

     String trustedAppName = trustedCerts.get(hexString); 
     if (trustedAppName != null) { 
      Log.d("Found public certificate SHA-1 for " + trustedAppName); 
      return true; 
     } 
    } catch (Exception e) { 
     Log.e(e, "Unable to get certificate from client"); 
    } 

    Log.w("Couldn't find signature in list of trusted certs!"); 
    /* Crash the calling application if it doesn't catch */ 
    throw new SecurityException(); 
} 

public static String byte2HexFormatted(byte[] arr) { 
    StringBuilder str = new StringBuilder(arr.length * 2); 
    for (int i = 0; i < arr.length; i++) { 
     String h = Integer.toHexString(arr[i]); 
     int l = h.length(); 
     if (l == 1) h = "0" + h; 
     if (l > 2) h = h.substring(l - 2, l); 
     str.append(h.toUpperCase()); 
     if (i < (arr.length - 1)) str.append(':'); 
    } 
    return str.toString(); 
}