KeyGenParameterSpec クラス

定義

[Android.Runtime.Register("android/security/keystore/KeyGenParameterSpec", ApiSince=23, DoNotGenerateAcw=true)]
public sealed class KeyGenParameterSpec : Java.Lang.Object, IDisposable, Java.Interop.IJavaPeerable, Java.Security.Spec.IAlgorithmParameterSpec

[<Android.Runtime.Register("android/security/keystore/KeyGenParameterSpec", ApiSince=23, DoNotGenerateAcw=true)>]
type KeyGenParameterSpec = class
    inherit Object
    interface IAlgorithmParameterSpec
    interface IJavaObject
    interface IDisposable
    interface IJavaPeerable

継承

Object

Object

KeyGenParameterSpec

属性

RegisterAttribute

実装

IJavaObject IJavaPeerable IAlgorithmParameterSpec IDisposable

注釈

AlgorithmParameterSpec KeyPairGeneratorのKeyGeneratorまたはを初期化する場合。 この仕様では、キーの使用にユーザー認証が必要かどうか、承認される操作 (署名、暗号化解除など)、パラメーター (特定の埋め込みスキームまたはダイジェストのみなど)、キーの有効期間の開始日と終了日など、キーの承認された使用方法が決定されます。 仕様で表されるキー使用承認は、秘密鍵と秘密キーにのみ適用されます。公開キーは、サポートされている操作に使用できます。

非対称キー ペアまたは対称キーを生成するには、Builderを使用してこのクラスのインスタンスを作成し、KeyPairGenerator インスタンスでKeyGenerator プロバイダーから目的のキーの種類 (ECやAESKeyPropertiesなど) のKEY_ALGORITHMAndroidKeyStoreまたはKeyGenParameterSpecを初期化してから、KeyGenerator#generateKey()またはKeyPairGenerator#generateKeyPair()を使用してキーまたはキー ペアを生成します。

生成されたキー ペアまたはキーはジェネレーターによって返され、この仕様で指定されたエイリアスの下の Android キーストアにも格納されます。Android キーストアからシークレットまたは秘密キーを取得するには、 java.security.KeyStore#getKey(String, char[]) KeyStore.getKey(String, null) または java.security.KeyStore#getEntry(String, java.security.KeyStore.ProtectionParameter) KeyStore.getEntry(String, null)を使用します。 Android キーストアから公開キーを取得するには、 java.security.KeyStore#getCertificate(String) を使用してから Certificate#getPublicKey()します。

Android キーストアに格納されているキー ペアのアルゴリズム固有の公開パラメーターを取得するために、生成された秘密キーは java.security.interfaces.ECKey または java.security.interfaces.RSAKey インターフェイスを実装しますが、公開キーは java.security.interfaces.ECPublicKey または java.security.interfaces.RSAPublicKey インターフェイスを実装します。

非対称キー ペアの場合、X.509 証明書も生成され、Android キーストアに格納されます。 これは、 java.security.KeyStore 抽象化では、証明書のないキー ペアの格納がサポートされていないためです。 証明書のサブジェクト、シリアル番号、および有効性の日付は、この仕様でカスタマイズできます。証明書は、後で証明機関 (CA) によって署名された証明書に置き換えることができます。

注: Builder#setAttestationChallenge(byte[])を使用して構成証明が要求されない場合は、生成された証明書が自己署名されている可能性があります。 秘密キーが証明書に署名する権限がない場合、証明書は検証されない無効な署名で作成されます。 このような証明書は、公開キーへのアクセスを提供するため、引き続き役立ちます。 証明書の有効な署名を生成するには、 <ul><li>KeyProperties#PURPOSE_SIGN、</li><li>ユーザーの認証 ( Builder#setUserAuthenticationRequired(boolean)参照)、</li を参照><操作のすべてのキーを承認する必要があります。 >現時点での署名/配信 ( Builder#setKeyValidityStart(Date) と Builder#setKeyValidityForOriginationEnd(Date)を参照)、</li><li>適したダイジェスト、</li><li>(RSA キーのみ) パディング スキーム KeyProperties#SIGNATURE_PADDING_RSA_PKCS1.</li></ul>

注: 生成された対称キーと秘密キーのキー マテリアルにはアクセスできません。 公開キーのキー マテリアルにアクセスできます。

このクラスのインスタンスは不変です。

<h3>Known の問題</h3> Android 6.0 (API レベル 23) の既知のバグにより、公開キーに対してもユーザー認証関連の承認が適用されます。 この問題を回避するには、Android キーストアの外部で使用する公開キーマテリアルを抽出します。 例えば次が挙げられます。

{@code
            PublicKey unrestrictedPublicKey =
                    KeyFactory.getInstance(publicKey.getAlgorithm()).generatePublic(
                            new X509EncodedKeySpec(publicKey.getEncoded()));
            }

<h3>Example: ECDSA を使用した署名/検証のための NIST P-256 EC キー ペア</h3> この例は、NIST P-256 (別名) を生成する方法を示しています secp256r1 aka prime256v1) エイリアス下の Android KeyStore システムの EC キー ペア key1 、SHA-256、SHA-384 を使用した署名にのみ秘密キーを使用することが承認されています。 または SHA-512 ダイジェスト。ユーザーが過去 5 分以内に認証された場合に限られます。 公開キーの使用は無制限です (既知の問題を参照)。

{@code
            KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance(
                    KeyProperties.KEY_ALGORITHM_EC, "AndroidKeyStore");
            keyPairGenerator.initialize(
                    new KeyGenParameterSpec.Builder(
                            "key1",
                            KeyProperties.PURPOSE_SIGN)
                            .setAlgorithmParameterSpec(new ECGenParameterSpec("secp256r1"))
                            .setDigests(KeyProperties.DIGEST_SHA256,
                                    KeyProperties.DIGEST_SHA384,
                                    KeyProperties.DIGEST_SHA512)
                            // Only permit the private key to be used if the user authenticated
                            // within the last five minutes.
                            .setUserAuthenticationRequired(true)
                            .setUserAuthenticationValidityDurationSeconds(5 * 60)
                            .build());
            KeyPair keyPair = keyPairGenerator.generateKeyPair();
            Signature signature = Signature.getInstance("SHA256withECDSA");
            signature.initSign(keyPair.getPrivate());
            ...

            // The key pair can also be obtained from the Android Keystore any time as follows:
            KeyStore keyStore = KeyStore.getInstance("AndroidKeyStore");
            keyStore.load(null);
            PrivateKey privateKey = (PrivateKey) keyStore.getKey("key1", null);
            PublicKey publicKey = keyStore.getCertificate("key1").getPublicKey();
            }

<h3>Example: RSA-PSS を使用した署名/検証のための RSA キー ペア</h3> この例では、SHA-256 または SHA-512 ダイジェストで RSA-PSS 署名埋め込みスキームを使用した署名にのみ使用 key1 エイリアスの下で、Android KeyStore システムで RSA キー ペアを生成する方法を示します。 公開キーの使用は無制限です。

{@code
            KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance(
                    KeyProperties.KEY_ALGORITHM_RSA, "AndroidKeyStore");
            keyPairGenerator.initialize(
                    new KeyGenParameterSpec.Builder(
                            "key1",
                            KeyProperties.PURPOSE_SIGN)
                            .setDigests(KeyProperties.DIGEST_SHA256, KeyProperties.DIGEST_SHA512)
                            .setSignaturePaddings(KeyProperties.SIGNATURE_PADDING_RSA_PSS)
                            .build());
            KeyPair keyPair = keyPairGenerator.generateKeyPair();
            Signature signature = Signature.getInstance("SHA256withRSA/PSS");
            signature.initSign(keyPair.getPrivate());
            ...

            // The key pair can also be obtained from the Android Keystore any time as follows:
            KeyStore keyStore = KeyStore.getInstance("AndroidKeyStore");
            keyStore.load(null);
            PrivateKey privateKey = (PrivateKey) keyStore.getKey("key1", null);
            PublicKey publicKey = keyStore.getCertificate("key1").getPublicKey();
            }

<h3>Example: RSA OAEP を使用した暗号化/暗号化解除のための RSA キー ペア</h3> この例では、エイリアス key1 で Android KeyStore システムで RSA キー ペアを生成する方法を示します。この例では、SHA-256 または SHA-512 ダイジェストを使用した RSA OAEP 暗号化パディング スキームを使用した暗号化解除にのみ秘密キーを使用することが承認されています。 公開キーの使用は無制限です。

{@code
            KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance(
                    KeyProperties.KEY_ALGORITHM_RSA, "AndroidKeyStore");
            keyPairGenerator.initialize(
                    new KeyGenParameterSpec.Builder(
                            "key1",
                            KeyProperties.PURPOSE_DECRYPT)
                            .setDigests(KeyProperties.DIGEST_SHA256, KeyProperties.DIGEST_SHA512)
                            .setEncryptionPaddings(KeyProperties.ENCRYPTION_PADDING_RSA_OAEP)
                            .build());
            KeyPair keyPair = keyPairGenerator.generateKeyPair();
            Cipher cipher = Cipher.getInstance("RSA/ECB/OAEPWithSHA-256AndMGF1Padding");
            cipher.init(Cipher.DECRYPT_MODE, keyPair.getPrivate());
            ...

            // The key pair can also be obtained from the Android Keystore any time as follows:
            KeyStore keyStore = KeyStore.getInstance("AndroidKeyStore");
            keyStore.load(null);
            PrivateKey privateKey = (PrivateKey) keyStore.getKey("key1", null);
            PublicKey publicKey = keyStore.getCertificate("key1").getPublicKey();
            }

<h3>Example: GCM モードでの暗号化/暗号化解除のための AES キー</h3> 次の例では、エイリアスの下で Android KeyStore システムで AES キーを生成 key2 、パディングなしで GCM モードでの暗号化/復号化にのみ使用する権限を持つ方法を示します。

{@code
            KeyGenerator keyGenerator = KeyGenerator.getInstance(
                    KeyProperties.KEY_ALGORITHM_AES, "AndroidKeyStore");
            keyGenerator.init(
                    new KeyGenParameterSpec.Builder("key2",
                            KeyProperties.PURPOSE_ENCRYPT | KeyProperties.PURPOSE_DECRYPT)
                            .setBlockModes(KeyProperties.BLOCK_MODE_GCM)
                            .setEncryptionPaddings(KeyProperties.ENCRYPTION_PADDING_NONE)
                            .build());
            SecretKey key = keyGenerator.generateKey();

            Cipher cipher = Cipher.getInstance("AES/GCM/NoPadding");
            cipher.init(Cipher.ENCRYPT_MODE, key);
            ...

            // The key can also be obtained from the Android Keystore any time as follows:
            KeyStore keyStore = KeyStore.getInstance("AndroidKeyStore");
            keyStore.load(null);
            key = (SecretKey) keyStore.getKey("key2", null);
            }

<h3>Example: SHA-256 を使用して MAC を生成するための HMAC キー</h3> この例では、SHA-256 を使用して HMAC を生成するためにのみ使用 key2 エイリアスで Android KeyStore システムで HMAC キーを生成する方法を示します。

{@code
            KeyGenerator keyGenerator = KeyGenerator.getInstance(
                    KeyProperties.KEY_ALGORITHM_HMAC_SHA256, "AndroidKeyStore");
            keyGenerator.init(
                    new KeyGenParameterSpec.Builder("key2", KeyProperties.PURPOSE_SIGN).build());
            SecretKey key = keyGenerator.generateKey();
            Mac mac = Mac.getInstance("HmacSHA256");
            mac.init(key);
            ...

            // The key can also be obtained from the Android Keystore any time as follows:
            KeyStore keyStore = KeyStore.getInstance("AndroidKeyStore");
            keyStore.load(null);
            key = (SecretKey) keyStore.getKey("key2", null);
            }

<h3 id="example:ecdh">Example: ECDH キー アグリーメントの EC キー</h3> この例では、ECDH キー アグリーメントを使用して他のパーティとの共有シークレットを確立するために使用される楕円曲線キー ペアを生成する方法を示します。

{@code
            KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance(
                    KeyProperties.KEY_ALGORITHM_EC, "AndroidKeyStore");
            keyPairGenerator.initialize(
                    new KeyGenParameterSpec.Builder(
                        "eckeypair",
                        KeyProperties.PURPOSE_AGREE_KEY)
                        .setAlgorithmParameterSpec(new ECGenParameterSpec("secp256r1"))
                        .build());
            KeyPair myKeyPair = keyPairGenerator.generateKeyPair();

            // Exchange public keys with server. A new ephemeral key MUST be used for every message.
            PublicKey serverEphemeralPublicKey; // Ephemeral key received from server.

            // Create a shared secret based on our private key and the other party's public key.
            KeyAgreement keyAgreement = KeyAgreement.getInstance("ECDH", "AndroidKeyStore");
            keyAgreement.init(myKeyPair.getPrivate());
            keyAgreement.doPhase(serverEphemeralPublicKey, true);
            byte[] sharedSecret = keyAgreement.generateSecret();

            // sharedSecret cannot safely be used as a key yet. We must run it through a key derivation
            // function with some other data: "salt" and "info". Salt is an optional random value,
            // omitted in this example. It's good practice to include both public keys and any other
            // key negotiation data in info. Here we use the public keys and a label that indicates
            // messages encrypted with this key are coming from the server.
            byte[] salt = {};
            ByteArrayOutputStream info = new ByteArrayOutputStream();
            info.write("ECDH secp256r1 AES-256-GCM-SIV\0".getBytes(StandardCharsets.UTF_8));
            info.write(myKeyPair.getPublic().getEncoded());
            info.write(serverEphemeralPublicKey.getEncoded());

            // This example uses the Tink library and the HKDF key derivation function.
            AesGcmSiv key = new AesGcmSiv(Hkdf.computeHkdf(
                    "HMACSHA256", sharedSecret, salt, info.toByteArray(), 32));
            byte[] associatedData = {};
            return key.decrypt(ciphertext, associatedData);
            }

Javaドキュメント。

このページの一部は、によって作成および共有され、に記載されている条件に従って使用される作業に基づく変更です。