Android-Setup & Backend-Verifizierung

Genutztes Android-Native-System

Auf Android verwendet dieses Plugin Google Play Integrity Standard API:

• prepareIntegrityToken während prepare()
• requestStandardIntegrityToken für createAttestation() und createAssertion()

Anforderungen

• Android-App, die über das Google-Play-Ökosystem verteilt wird
• Google Play-Dienste auf dem Gerät verfügbar
• Play Integrity API für Ihre App aktiviert
• Google-Cloud-Projektnummer konfiguriert

Google-Setup

1. Aktivieren Play Integrity API in Ihrem Google-Cloud-Projekt.
2. Öffnen Sie die Play Console und konfigurieren Sie den Play-Integrity-Zugriff für Ihre App.
3. Bieten Sie cloudProjectNumber an das Plugin.

Capacitor Konfiguration

capacitor.config.ts

plugins: {
  AppAttest: {
    cloudProjectNumber: '123456789012',
  },
}

Du kannst auch cloudProjectNumber pro Aufruf in den Method-Optionen übergeben.

Client-Flow

import { AppAttest } from '@capgo/capacitor-app-attest';

const { keyId } = await AppAttest.prepare({
  cloudProjectNumber: '123456789012',
});

const attestation = await AppAttest.createAttestation({
  keyId,
  challenge: 'backend-registration-challenge',
});

const assertion = await AppAttest.createAssertion({
  keyId,
  payload: 'backend-request-payload',
});

token ist ein Play-Integrity-Token und muss serverseitig dekodiert werden.

Backend-Workflow (Android)

Registrierung (createAttestation)

1. Backend erstellt einmalig challenge.
2. App ruft auf createAttestation({ keyId, challenge }).
3. Backend ruft Google auf decodeIntegrityToken API.
4. Das Backend prüft mindestens:
   • requestDetails.requestHash === base64url(SHA256(challenge))
   • appIntegrity.packageName entspricht deiner Android-Anwendungs-ID
   • appIntegrity.certificateSha256Digest enthält den Digest deines Release-Signierungszertifikats
   • Integritätsurteile entsprechen deiner Sicherheitsrichtlinie

Schutz anfordern (createAssertion)

1. Backend erstellt einmalig payload.
2. App ruft auf createAssertion({ keyId, payload }).
3. Backend dekodiert Token und prüft requestHash === base64url(SHA256(payload)).
4. Replay-Schutz (Single-Use + TTL) und Integrity-Verdict-Policy erzwingen.

Android-Schema

sequenceDiagram
  participant App as Android App
  participant Plugin as AppAttest plugin
  participant PlaySDK as Play Integrity SDK
  participant BE as Backend
  participant Google as decodeIntegrityToken API

  App->>Plugin: prepare(cloudProjectNumber)
  Plugin->>PlaySDK: prepareIntegrityToken()
  PlaySDK-->>Plugin: provider handle (keyId)

  BE->>App: one-time challenge
  App->>Plugin: createAttestation(keyId, challenge)
  Plugin->>PlaySDK: requestStandardIntegrityToken(requestHash)
  PlaySDK-->>Plugin: integrity token
  Plugin-->>App: token + platform + format + keyId
  App->>BE: token + challenge + keyId
  BE->>Google: decodeIntegrityToken(token)
  Google-->>BE: decoded payload
  BE->>BE: verify requestHash + app identity + verdicts

  BE->>App: one-time payload
  App->>Plugin: createAssertion(keyId, payload)
  Plugin->>PlaySDK: requestStandardIntegrityToken(requestHash)
  PlaySDK-->>Plugin: integrity token
  App->>BE: token + payload + keyId
  BE->>Google: decodeIntegrityToken(token)
  Google-->>BE: decoded payload
  BE->>BE: verify requestHash + replay policy

Minimaler Backend-Payload-Contract

Registrierung:

{
  "platform": "android",
  "format": "google-play-integrity-standard",
  "keyId": "string",
  "challenge": "string",
  "token": "string"
}

Assertion:

{
  "platform": "android",
  "format": "google-play-integrity-standard",
  "keyId": "string",
  "payload": "string",
  "token": "string"
}

Weiter geht's mit Android Setup & Backend Verification

Wenn du es nutzt Android Setup & Backend Verification um Sicherheit und Compliance zu planen, verbinden Sie es mit @capgo/capacitor-app-attest verwenden für die native Funktion in „@capgo/capacitor-app-attest verwenden“, Verschlüsselung für die Implementierungsdetails in Encryption, Compliance für das Implementierungsdetail in Compliance, Capgo Security-Scanner für den Produkt-Workflow im Capgo Security Scanner, und Capgo Sicherheit für den Produkt-Workflow in Capgo Security.