问如何检查Android手机是否支持TEE？

EN

来自Android密钥存储系统文档：

支持运行Android9(APILevel28)或更高版本的设备可以有一个StrongBox密钥母版，这是驻留在硬件安全模块中的Keymaster HAL的一个实现。该模块包含以下内容： ..。 *安全储存。 ..。 当检查存储在StrongBox密钥管理器中的密钥时，系统会通过可信的执行环境(TEE)来验证密钥的完整性。 ..。 在使用KeyStore类生成或导入密钥时，可以通过将true传递给setIsStrongBoxBacked()方法来指示将密钥存储在StrongBox密钥母版中的首选项。

根据我的理解，这意味着当您为密钥配置生成一个密钥并调用keyGenParameterSpecBuilder.setIsStrongBoxBacked(true)时，您可以确保它是由一个TEE支持的。如果没有可用的TEE，它将抛出一个StrongBoxUnavailableException。

因此，要检查是否有可用的TEE，只需尝试以这种方式生成一个密钥，并查看它是否有效。

@JensV是正确的:如果在setIsStrongBoxBacked上设置keyGenParameterSpecBuilder，如果不支持StrongBoxUnavailableException，则密钥生成将失败。但是，中间的情况--有一个TEE (即在安全HW中生成和使用密钥)，但不支持StrongBox --更难分辨。

通常，方法是在设备上实际生成一个密钥，然后执行在服务器上的HW密钥认证 --查阅已签名的密钥属性，以检查HW支持的确切程度：

• 在服务器上生成一个当前(随机字节字符串)，将其传递给设备。
• 在设备上生成一个密钥，通过在setAttestationChallenge构建器上调用KeyGenParameterSpec并传入从服务器获得的值来请求HW认证(不要使用在设备上产生的nonce )
• 从Android密钥商店请求密钥的认证链
• 将认证数据(cert链)传递给服务器。
• 验证服务器上的认证(签名)链
• 确认根证书与已发布的Google根证书匹配。
• 确认链中没有证书被撤销(请对照CRL @https://android.googleapis.com/attestation/status检查)
• 检查的Google认证扩展(OID 1.3.6.1.4.1.11129.2.1.17)的属性
  • 确认当前匹配(attestationChallenge)
  • 咨询attestationSecurityLevel of KeyDescription

SecurityLevel ::= ENUMERATED {
    Software  (0),
    TrustedEnvironment  (1),
    StrongBox  (2),
}

TrustedEnvironment和StrongBox都与硬件支持的密钥和密码操作相对应.