Androidセットアップとバックエンド検証

Androidネイティブシステムの使用

Androidでは、このプラグインは次を使用します Google Play Integrity Standard API:

• prepareIntegrityToken 中に prepare()
• requestStandardIntegrityToken を createAttestation() と createAssertion()

要件

• Google Play エコシステムを通じて配信される Android アプリ
• デバイス上で利用可能な Google Play 開発者サービス
• アプリで Play Integrity API が有効
• Google Cloud プロジェクト番号が設定済み

Googleの設定

1. 有効にする Play Integrity API を Google Cloud プロジェクト内で設定します。
2. Play Console を開き、アプリの Play Integrity アクセス権を設定してください。
3. を cloudProjectNumber プラグインに渡します。

Capacitor の設定

capacitor.config.ts

plugins: {
  AppAttest: {
    cloudProjectNumber: '123456789012',
  },
}

また、以下を渡すことも可能です： cloudProjectNumber メソッドのオプションで、呼び出しごとに指定できます。

クライアントフロー

import { AppAttest } from '@capgo/capacitor-app-attest';

const { keyId } = await AppAttest.prepare({
  cloudProjectNumber: '123456789012',
});

const attestation = await AppAttest.createAttestation({
  keyId,
  challenge: 'backend-registration-challenge',
});

const assertion = await AppAttest.createAssertion({
  keyId,
  payload: 'backend-request-payload',
});

token は Play Integrity トークンであり、サーバー側でデコードする必要があります。

バックエンドのワークフロー (Android)

登録 (createAttestation)

1. バックエンドで使い捨ての challenge.
2. アプリが呼び出す createAttestation({ keyId, challenge }).
3. バックエンドがGoogleを呼び出す decodeIntegrityToken API.
4. バックエンドは少なくとも次を検証します：
   • requestDetails.requestHash === base64url(SHA256(challenge))
   • appIntegrity.packageName AndroidアプリケーションIDと一致すること
   • appIntegrity.certificateSha256Digest リリース署名証明書のダイジェストを含むこと
   • integrity verdictsがセキュリティポリシーに一致すること

リクエスト保護（createAssertion)

1. バックエンドで使い捨ての payload.
2. アプリが呼び出す createAssertion({ keyId, payload }).
3. バックエンドでトークンをデコードし、検証を行います requestHash === base64url(SHA256(payload)).
4. リプレイ攻撃防止（単回利用 + TTL）および整合性判定ポリシーを適用します。

Androidのスキーマ

sequenceDiagram
  participant App as Android App
  participant Plugin as AppAttest plugin
  participant PlaySDK as Play Integrity SDK
  participant BE as Backend
  participant Google as decodeIntegrityToken API

  App->>Plugin: prepare(cloudProjectNumber)
  Plugin->>PlaySDK: prepareIntegrityToken()
  PlaySDK-->>Plugin: provider handle (keyId)

  BE->>App: one-time challenge
  App->>Plugin: createAttestation(keyId, challenge)
  Plugin->>PlaySDK: requestStandardIntegrityToken(requestHash)
  PlaySDK-->>Plugin: integrity token
  Plugin-->>App: token + platform + format + keyId
  App->>BE: token + challenge + keyId
  BE->>Google: decodeIntegrityToken(token)
  Google-->>BE: decoded payload
  BE->>BE: verify requestHash + app identity + verdicts

  BE->>App: one-time payload
  App->>Plugin: createAssertion(keyId, payload)
  Plugin->>PlaySDK: requestStandardIntegrityToken(requestHash)
  PlaySDK-->>Plugin: integrity token
  App->>BE: token + payload + keyId
  BE->>Google: decodeIntegrityToken(token)
  Google-->>BE: decoded payload
  BE->>BE: verify requestHash + replay policy

最小限のバックエンドペイロード契約

Registration:

{
  "platform": "android",
  "format": "google-play-integrity-standard",
  "keyId": "string",
  "challenge": "string",
  "token": "string"
}

Assertion:

{
  "platform": "android",
  "format": "google-play-integrity-standard",
  "keyId": "string",
  "payload": "string",
  "token": "string"
}

Android Setup & Backend Verification の続きへ

使用している場合 Androidのセットアップとバックエンドでの検証 セキュリティとコンプライアンスを計画するには、これを以下と連携させてください @capgo/capacitor-app-attest の使用方法 @capgo/capacitor-app-attest を使用してネイティブ機能を利用する場合、 暗号化 暗号化の実装詳細について コンプライアンス コンプライアンスの実装詳細について Capgo セキュリティスキャナー Capgo Security Scanner のプロダクトワークフローについては、 Capgo のセキュリティ Capgo Security におけるプロダクトワークフロー向けに。