用免费开放的华为安全检测功能，评估App运行设备安全

2021-02-08 974

前言

系统完整性检测，是App需具备的一个实用功能。我们都知道，在系统不完整的手机上，例如被root过，运行App将面临被恶意攻击、窃取隐私等威胁，尤其是商城类App，购买环节的环境安全性至关重要，因此在App中增加能快速检测手机系统风险的功能必不可少。

这一重要功能目前是免费，其基本的技术原理是，App集成华为HMS Core的SDK，调用免费提供的安全检测服务，在TEE****可信执行环境中评估，得到的检测结果经过X.509****数字证书签名，双重保障下，检测到的结果真实可信、不会被恶意更改~

功能运行起来的效果：

以下是开发过程，分享给大家。

1.开发前准备

1.1 Android Studio安装

还没装开发工具的小伙伴下载指路：Android Studio官网下载

1.2 在AppGallery Connect中配置相关信息

在开发应用前，需在AppGallery Connect中配置相关信息。具体操作步骤。

1.3 配置华为maven仓地址

打开Android Studio项目级“build.gradle”文件：

添加HUAWEI agcp插件以及Maven代码库：

在“buildscript > repositories”中配置HMS Core SDK的Maven仓地址。
在“allprojects > repositories”中配置HMS Core SDK的Maven仓地址。
如果App中添加了“agconnect-services.json”文件则需要在“buildscript > dependencies”中增加agcp配置。

buildscript {
    repositories {
        google()
        jcenter()
        // 配置HMS Core SDK的Maven仓地址。
        maven {url 'https://developer.huawei.com/repo/'}
    }
    dependencies {
        ...
        // 增加agcp配置。
        classpath 'com.huawei.agconnect:agcp:1.4.2.300'
    }
}
 
allprojects {
    repositories {
        google()
        jcenter()
        // 配置HMS Core SDK的Maven仓地址。
        maven {url 'https://developer.huawei.com/repo/'}
    }
}

这里需要说明的是，Maven仓地址只能在IDE中配置。需要添加多个Maven代码库的话，将华为公司的Maven仓地址配置在最后哦。

1.4 添加编译依赖

打开应用级的“build.gradle”文件：

在文件头apply plugin: 'com.android.application'下一行添加如下配置：

apply plugin: 'com.huawei.agconnect'

在“dependencies”中添加如下编译依赖：

dependencies {
    implementation 'com.huawei.hms:safetydetect:5.0.5.302'
}

1.5 配置混淆脚本

如果你自己开发时要用到AndResGuard，那就还需要在应用级的“build.gradle”文件中加入AndResGuard允许清单，代码可以参考官网的混淆配置。

2 代码开发

2.1 创建SafetyDetectClient 并生成nonce值

这里的nonce值会被包含在后面的检测结果里，我们要通过校验nonce值，来确定返回结果是对应我们的请求的、没有被重放攻击。要注意nonce值需满足：

一个nonce值只能被使用一次；
长度在16~66字节间；
建议从发送到您的服务器的数据中派生nonce值。

2.2 请求系统完整性检测接口

SysIntegrity API有两个参数：第1个参数是nonce值，可以从上一步骤获取；第2个参数是appid，可以从agconnect-services.json 文件中读取：

登录AppGallery Connect网站，-点击“我的项目”。
在项目列表中找到您的项目，在项目中点击需要配置签名证书指纹的应用。
在“项目设置 > 常规” > “应用”，可以查看。

2. 这里设定的是，用户在购买会员时，调用系统完整性检测接口，以检测支付环境是否存在风险。实际编码中，在MemberCenterAct.java类中的列表点击事件处理方法，调用SafetyDetectUtil 类的detectSysIntegrity的接口，具体代码：

private void onAdapterItemClick(int position) {
       // 调用系统完整性检测接口以检测支付环境风险
    SafetyDetectUtil.detectSysIntegrity(this, new ICallBack<Boolean>() {
        @Override
        public void onSuccess(Boolean baseIntegrity) {
            if (baseIntegrity) {
                // 系统完整性未遭到破坏，可以继续购买
                buy(productInfo);
            } else {
                // 系统完整性遭到破坏,弹出提示框，来提醒用户，并让用户选择是否继续
                showRootTipDialog(productInfo);
            }
        }
        …
    });
}

3. 在商场App中，把系统完整性检测接口的调用放到SafetyDetectUtil.java这个工具类中来实现，封装在detectSysIntegrity的方法中，具体示例代码如下：

public static void detectSysIntegrity(final Activity activity, final ICallBack<? super Boolean> callBack) {
    // 生成 nonce值
    byte[] nonce = ("Sample" + System.currentTimeMillis()).getBytes(StandardCharsets.UTF_8); 
    // 从app目录下的agconnect-services.json文件中读取app_id字段
    String appId = AGConnectServicesConfig.fromContext(activity).getString("client/app_id");
    // 获取 Safety Detect 服务客户端，调用sysIntegrity API，并添加成功事件监听
SysIntegrityRequest  sysintegrityrequest = new SysIntegrityRequest();
   sysintegrityrequest.setAppid(appId);
   sysintegrityrequest.setNonce(nonce);
	//PS256 or RS256
   sysintegrityrequest.setAlg("RS256"); 
	Task task = mClient.sysIntegrity(sysintegrityrequest);
        task.addOnSuccessListener(new OnSuccessListener<SysIntegrityResp>() {
            @Override
            public void onSuccess(SysIntegrityResp response) {
            //Safety Detect 服务接口成功响应。可以通过 SysIntegrityResp 类的 getResult 方法来获取检测结果
                String jwsStr = response.getResult(); 
VerifyResultHandler verifyResultHandler = new VerifyResultHandler(jwsStr, callBack);
                //将检测结果发送至开发者的服务器进行验证
                verifyJws(activity, jwsStr, verifyResultHandler);
            }
        });
}

4. 这里在verifyJws 方法中请求App Server的相关接口，来对检测结果进行验证。这个方法的第3个参数是一个 VerifyResultHandler 类对象，它实现了一个回调接口，以便在服务器验证结束后，对返回的结果进行后续的处理。接下来介绍如何在App Server中验证检测结果。

2.3 在App Server中验证检测结果

App在获得TSMS Server返回的检测结果后，将其发送到App Server，由App Server使用HUAWEI CBG根证书来对结果中的签名和证书链进行校验，从而确认本次系统完整性检测结果是否有效。
App Server侧读取证书并验证 JWS 字符串的示例代码如下：
1) 解析 JWS字符串，获取其中的 header、payload和signature

public JwsVerifyResp verifyJws(JwsVerifyReq jwsVerifyReq) {
    // 获取端侧发送到服务器侧的jws信息
    String jwsStr = jwsVerifyReq.getJws();    
    // 解析JWS, 分段, 该JWS固定为三段，使用"."号分隔
    String[] jwsSplit = jwsStr.split("\\."); 
    try {
        // 解析JWS, Base64解码, 并构造JWSObject
        JWSObject jwsObject = new JWSObject(new Base64URL(jwsSplit[0]), new Base64URL(jwsSplit[1]), new Base64URL(jwsSplit[2]));
        // 验证JWS并设置验证结果
        boolean result = VerifySignatureUtil.verifySignature(jwsObject);
// 服务器侧检测结果验证响应消息体
        JwsVerifyResp jwsVerifyResp = new JwsVerifyResp();  
        jwsVerifyResp.setResult(result);
    } catch (ParseException | NoSuchAlgorithmException e) {
        RUN_LOG.catching(e);
    }
    return jwsVerifyResp;
}

2. 这里使用VerifySignatureUtil工具类中的verifySignature方法完成相关信息的验证，包括JWS签名算法、证书链、签名证书主机名、JWS签名等，示例代码：

public static boolean verifySignature(JWSObject jws) throws NoSuchAlgorithmException {
    JWSAlgorithm jwsAlgorithm = jws.getHeader().getAlgorithm();
    // 1. 验证JWS签名算法
    if ("RS256".equals(jwsAlgorithm.getName())) {
        // 进行证书链校验，并根据签名算法获取 Signature 类实例，用来验证签名
        return verify(Signature.getInstance("SHA256withRSA"), jws);
    }
    return false;
}
private static boolean verify(Signature signature, JWSObject jws) {
    // 提取JWS头部证书链信息, 并转换为合适的类型, 以便进行后续操作
    X509Certificate[] certs = extractX509CertChain(jws);
    // 2. 校验证书链
    try {
        verifyCertChain(certs);
    } catch (Exception e) {
        return false;
    }
    // 3. 校验签名证书(叶子证书)域名信息, 该域名固定为sysintegrity.platform.hicloud.com
    try {
        new DefaultHostnameVerifier().verify("sysintegrity.platform.hicloud.com", certs[0]);
    } catch (SSLException e) {
        return false;
    }
    // 4. 验证JWS签名信息，使用签名证书里的公钥来验证
    PublicKey pubKey = certs[0].getPublicKey();
    try {
        // 使用签名证书里的公钥初始化 Signature 实例
        signature.initVerify(pubKey);
        // 从 JWS 提取签名输入，并输入到 Signature 实例
        signature.update(jws.getSigningInput());
        // 使用Signature 实例来验证签名信息
        return signature.verify(jws.getSignature().decode());
    } catch (InvalidKeyException | SignatureException e) {
        return false;
    }
}

3. 这里的extractX509CertChain方法，实现了从JWS Header中提取证书链的过程，详细代码如下：

private static X509Certificate[] extractX509CertChain(JWSObject jws) {
    List<X509Certificate> certs = new ArrayList<>();
    List<com.nimbusds.jose.util.Base64> x509CertChain = jws.getHeader().getX509CertChain();
    try {
        CertificateFactory certFactory = CertificateFactory.getInstance("X.509");
        certs.addAll(x509CertChain.stream().map(cert -> {
            try {
            return (X509Certificate) certFactory.generateCertificate( new ByteArrayInputStream(cert.decode()) );
            } catch (CertificateException e) {
                RUN_LOG.error("X5c extract failed!");
            }
            return null;
        }).filter(Objects::nonNull).collect(Collectors.toList()));
    } catch (CertificateException e) {
        RUN_LOG.error("X5c extract failed!");
    }
    return (X509Certificate[]) certs.toArray();
}

4. 这里的verifyCertChain方法，实现了证书链校验的过程，具体实现如下：

private static void verifyCertChain(X509Certificate[] certs) throws CertificateException, NoSuchAlgorithmException,
    InvalidKeyException, NoSuchProviderException, SignatureException {
    // 逐一验证证书有效期及证书的签发关系
    for (int i = 0; i < certs.length - 1; ++i) {        
        certs[i].checkValidity();
        PublicKey pubKey = certs[i + 1].getPublicKey();
        certs[i].verify(pubKey);
    }
    // 使用预置的 HUAWEI CBG 根证书, 来验证证书链中的最后一张证书
    PublicKey caPubKey = huaweiCbgRootCaCert.getPublicKey();
    certs[certs.length - 1].verify(caPubKey);
}

5. 华为根证书的加载是在VerifySignatureUtil工具类的静态代码段中实现的。示例代码如下：

static {
    // 加载预置的 HUAWEI CBG 根证书
    File filepath = "~/certs/Huawei_cbg_root.cer"; 
    try (FileInputStream in = new FileInputStream(filepath)) {
        CertificateFactory cf = CertificateFactory.getInstance("X.509");
        huaweiCbgRootCaCert = (X509Certificate) cf.generateCertificate(in);
    } catch (IOException | CertificateException e) {
        RUN_LOG.error("HUAWEI CBG root cert load failed!");
    }
}

至此，我们已经在App Server侧完成了对检测结果的验证，验证通过的结果将返回给端侧进行后续业务处理。

2.4 获取系统完整性检测结果

1. 在上一步骤完成后，App就可以从payload中获取可信的系统完整性检测结果。我们在前述的VerifyResultHandler类的回调接口中，解析系统完整性检测结果，示例代码如下：

private static final class VerifyResultHandler implements ICallBack<Boolean> {
    private final String jwsStr;
    private final ICallBack<? super Boolean> callBack;
    private VerifyResultHandler(String jwsStr, ICallBack<? super Boolean> callBack) {
        this.jwsStr = jwsStr;
        this.callBack = callBack;
    }

    @Override
    public void onSuccess(Boolean verified) {
        if (verified) {
            // 服务器侧验证通过，提取系统完整性检测结果 
            String payloadDetail = new String(Base64.decode(jwsStr.split("\\.")[1].getBytes(StandardCharsets.UTF_8), Base64.URL_SAFE), StandardCharsets.UTF_8);
            try {
                final boolean basicIntegrity = new JSONObject(payloadDetail).getBoolean("basicIntegrity");
                // 通过回调返回系统完整性检测结果
                callBack.onSuccess(basicIntegrity);
            } catch (JSONException e) {
                …
            }
        } 
        …
    }
}

2. 具体的检测报文的样例如下：

{
  "apkCertificateDigestSha256": [
    "osaUtTsdAvezjQBaW3IhN3/fsc6NQ5KwKuAQXcfrxb4="
  ],
  "apkDigestSha256": "vFcmE0uw5s+4tFjXF9rVycxk2xR1rXiZFHuuBFzTVy8=",
  "apkPackageName": "com.example.mockthirdapp",
  "basicIntegrity": false,
  "detail": [
    "root",
    "unlocked"
  ],
  "nonce": "UjJScmEyNGZWbTV4YTJNZw==",
  "timestampMs": 1604048377137,
"advice": "RESTORE_TO_FACTORY_ROM"
}

3) 当检测结果中basicIntegrity字段为false时，表示存在风险，App就可以对用户作风险提示。

结后语

官网开发指南，各位小伙伴们可以自行查阅参考。除了系统完整性检测（SysIntegrity），还有其他4个功能的代码，都是支持Java/Kotlin两种开发语言：华为官网的示例代码Java/Kotlin，下载后，根据提示说明进行操作就可运行。

微信关注我们

原文链接：https://my.oschina.net/u/4956408/blog/4950975

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

鸿蒙内核源码分析(事件控制篇) | 任务间一对多和多对多的同步方案 | 中文注解HarmonyOS源码 | v30.01

百万汉字注解 >> 精读内核源码,中文注解分析, 深挖地基工程,大脑永久记忆,四大码仓每日同步更新< Gitee | Github | CSDN | Coding > 百篇博客分析 >> 故事说内核,问答式导读,生活式比喻,表格化说明,图形化展示,多站点每日同步更新< OSCHINA | CSDN | WeHarmony > 本篇说清楚事件（Event）读本篇之前建议先读鸿蒙内核源码分析(总目录)其他篇. 官方概述先看官方对事件的描述. 事件（Event）是一种任务间通信的机制，可用于任务间的同步。多任务环境下，任务之间往往需要同步操作，一个等待即是一个同步。事件可以提供一对多、多对多的同步操作。一对多同步模型：一个任务等待多个事件的触发。可以是任意一个事件发生时唤醒任务处理事件，也可以是几个事件都发生后才唤醒任务处理事件。多对多同步模型：多个任务等待多个事件的触发。鸿蒙提供的事件具有如下特点：任务通过创建事件控制块来触发事件或等待事件。事件间相互独立，内部实现为一个32位无符号整型，每一位标识一种事件类型。第25位不可用...

2021-02-08

595

1. HDFS概述 Hadoop 分布式系统框架中，首要的基础功能就是文件系统，在 Hadoop 中使用 FileSystem 这个抽象类来表示我们的文件系统，这个抽象类下面有很多子实现类，究竟使用哪一种，需要看我们具体的实现类，在我们实际工作中，用到的最多的就是HDFS(分布式文件系统)以及LocalFileSystem(本地文件系统)了。在现代的企业环境中，单机容量往往无法存储大量数据，需要跨机器存储。统一管理分布在集群上的文件系统称为分布式文件系统。 HDFS（Hadoop Distributed File System）是 Hadoop 项目的一个子项目。是 Hadoop 的核心组件之一， Hadoop 非常适于存储大型数据 (比如 TB 和 PB)，其就是使用 HDFS 作为存储系统. HDFS 使用多台计算机存储文件，并且提供统一的访问接口，像是访问一个普通文件系统一样使用分布式文件系统。 HDFS文件系统 2. HDFS架构 HDFS架构 HDFS是一个主/从（Mater/Slave）体系结构，由三部分组成： NameNode 和 DataNode 以及 Seconda...

2021-02-08

502

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。