Cryptographic ID

Cryptographic ID é um aplicativo Android de código aberto na categoria Segurança & Privacidade. Ele usa chaves criptográficas e assinaturas para verificar o estado do dispositivo e demonstrar o controle de uma chave privada. Destina-se a pessoas que precisam verificar um telefone, avaliar o estado de confiança de um computador, ou confirmar que alguém possui uma chave compartilhada através de um canal seguro.

Em um telefone, o software pode gerar uma chave privada quando o dispositivo é considerado confiável. Se o telefone cria mais tarde uma assinatura correta, essa assinatura pode indicar que é o mesmo telefone associado à chave. Como o sistema operacional pode acessar a chave privada, a proteção é mais fraca do que uma chave contida em um TPM2 e é tão forte quanto o próprio telefone. A mesma abordagem pode ajudar a verificar se uma pessoa controla uma chave privada quando a sua chave pública foi fornecida antecipadamente através de um canal seguro.

Um caso de uso relacionado do Linux depende de uma chave privada escondida no TPM2 do computador e selada ao estado de PCR atual do computador. Por exemplo, a chave pode ser ligada ao PCR7 e ao estado de inicialização seguro, impedindo uma assinatura quando o computador inicializou um sistema operacional assinado por outro fornecedor. A implementação do Linux descrita para este fim usa criptographic-id-rs, e suas assinaturas assimétricas permitem que a chave de verificação seja compartilhada abertamente.

Como uma ferramenta de segurança e privacidade Android, Cryptographic ID se encaixa em uma plataforma onde a identidade do telefone e posse de chave pode ser verificada através de mensagens assinadas. Sua licença de código aberto fornece o modelo de licenciamento declarado do projeto para usuários e desenvolvedores revisando o software. MirrorNest distribui a construção oficial espelhando-o diretamente em seu próprio armazenamento e verifica a compilação armazenada para malware antes de publicá-lo.