我们可以从Android密钥库中提取公钥/私钥吗?

这个 example code 你指的那个 BasicAndroidKeyStore 不将公钥记录为 getPublic() 从keypair类只返回对公钥对象的引用,而不是公钥本身。

Log.d(TAG, "Public Key reference is: " + kp.getPublic().toString());

原木:

d/keystorefragment:公钥引用是:android.security.keystore.androidkeystoresapublickey@b8004e8f

同样的道理 getPrivate() .

Log.d(TAG, "Private Key reference is: " + kp.getPrivate().toString());

原木:

d/keystorefragment:私钥引用是 android.security.keystore.androidkeystorersaprivatekey@5da42c27

现在,正如你在评论中指出的, kp.getPublic().getEncoded() 将返回实际的公钥,但公钥的原始用途并不意味着是秘密的。

私钥是秘密的,当使用设备安全硬件中支持密钥的硬件支持的密钥库时,密钥安全存储在tee/se中,不能由应用程序本身或其他具有根权限的不良参与者提取。在这个例子中可以看到:

Log.d(TAG, "Private Key is " + Arrays.toString(kp.getPrivate().getEncoded()));

原木:

d/keystorefragment:私钥为空

要验证设备的安全硬件是否支持您的密钥,可以使用此代码的某些变体来满足您的需要。您可以将此代码段粘贴在同一代码段之后 Log.d 上面在示例应用的createKeys()方法中提到。

    KeyFactory factory = KeyFactory.getInstance(kp.getPrivate().getAlgorithm(), "AndroidKeyStore");
    KeyInfo keyInfo = null;
    try {
        keyInfo = factory.getKeySpec(kp.getPrivate(), KeyInfo.class);
    } catch (InvalidKeySpecException e) {
        e.printStackTrace();
    }
    if (keyInfo.isInsideSecureHardware())
        Log.d(TAG, "Key is supported in secure hardware");
    else
        Log.d(TAG, "Key is not supported in secure hardware");