„Play“ prisijungimo prie programos naudojimas

Pasirinkus naudoti „Play“ prisijungimą prie programos, „Google“ tvarko ir saugo programos pasirašymo raktą toje pačioje patikimoje infrastruktūroje, kurią „Google“ naudoja savo raktams saugoti. Šie raktai saugomi naudojant „Google“ raktų tvarkymo paslaugą (angl. „Key Management Service“, KMS). Jei norite sužinoti daugiau apie šią geriausią pramonės srityje infrastruktūrą, skaitykite „Google Cloud Security Whitepaper“.

 

Kodėl verta naudoti „Play“ prisijungimą prie programos? Be raktų apsaugos nuo visiško praradimo ar pažeidimo, užsiregistravus naudoti „Play“ prisijungimą prie programos, atrakinami patobulinimai, skirti „Android App Bundle“ (.aab). Leisdami „Google“ pasirašyti optimizuotus platinimo APK, sugeneruotus iš jūsų programos komponentų rinkinių, galite pasiekti vertingas paslaugas, pvz., automatinę apsaugą ir automatinį eilučių vertimą naudojant „Gemini“ modelius. Žaidimai gauna prieigą prie papildomų automatinių paslaugų, pvz., „Play“ žaidimų „Sidekick“, žaidimo atsisiunčiant bei mokamo turinio bandomųjų laikotarpių be piniginio mokėjimo.

Jei norite konfigūruoti „Play“ prisijungimą prie programos, turite būti paskyros savininkas.

Pagrindinės sąvokos

Kai naudojate „Play“ prisijungimą prie programos, turite du atskirus raktus. Norint išvengti trečiųjų šalių API autentifikavimo problemų, labai svarbu suprasti skirtumą ir jų techninius formatus.

Rakto tipas	Kas jį turi?	Išsami techninė informacija ir paskirtis
Įkėlimo raktas	Jūs (saugokite jį!)	Formatas: saugomas „Java Keystore“ (.jks arba .keystore). Reikalavimas: turi būti 2 048 ar daugiau bitų RSA raktas. Paskirtis: šį raktą naudojate programos komponentų rinkiniui pasirašyti prieš įkeldami jį į „Play Console“. „Google“ jį naudoja jūsų tapatybei patvirtinti. Jei jis bus pažeistas arba prarastas, „Google“ gali nustatyti šį raktą iš naujo už jus.
Programos pasirašymo raktas	Google Play	Formatas: susietas su viešuoju sertifikatu (.der arba .pem). Reikalavimas: „Google“ sugeneruoti raktai yra 4 096 bitų RSA raktai. Tinkinti raktai turi būti 2 048 ar daugiau bitų RSA raktai. Paskirtis: „Google“ naudoja šį raktą, kad pasirašytų galutinius APK, pateikiamus naudotojų įrenginiuose. Galite leisti „Google“ sugeneruoti šią informaciją arba galite pateikti savo informaciją. Šio rakto negalima iš naujo nustatyti, jei jį tvarkote patys (nenaudodami „Play“ prisijungimo prie programos) ir jį prarandate.
Apsaugota nuo kvantinių kompiuterių atakų	Google Play	Formatas: du raktai, susieti su viešaisiais sertifikatais (.der arba .pem). Reikalavimas: kvantiniams kompiuteriams paruoštas hibridinis pasirašymas apima klasikinį 4 096 bitų RSA raktą ir pokvantinį ML-DSA-65 raktą. „Google“ sugeneruoja naują klasikinį hibridinio parašo raktą, kuris skiriasi nuo klasikinio rakto, kurį ji naudoja įrenginiuose, kuriuose veikia senesnės nei 17 versijos „Android“, todėl jūsų programa naudoja tris skirtingus raktus. Paskirtis: 17 ar naujesnės versijos „Android“ įrenginiai patvirtina programą naudodami 3.2 versijos APK pasirašymo schemą, kad apsaugotų ją nuo būsimų kvantinių skaičiavimų atakų. Įrenginiuose, kuriuose veikia senesnės „Android“ versijos, programa ir toliau patvirtinama naudojant klasikinius parašo blokus.

Pastaba: kad būtų užtikrintas maksimalus saugumas, įkėlimo raktas ir programos pasirašymo raktas turi skirtis.

Kaip „Google“ pasirašo jūsų programą: kai „Google“ sugeneruoja ir pasirašo jūsų APK naudodama programos pasirašymo raktą, ji naudoja „apksigner“, kad pridėtų dvi žymas prie jūsų programos aprašo (com.android.stamp.source ir com.android.stamp.type). Šie spaudai užtikrina, kad APK būtų saugiai atsekami iki pradinio pasirašytojo.

„Play“ prisijungimo prie programos nustatymas

Sąrankos procesas priklauso nuo to, ar skelbiate naują programą, ar perkeliate esamą.

Skirta naujoms programoms

1. Naujos programos kūrimas: jūsų programa bus automatiškai įtraukta į kvantinės kompiuterijos pasirengimo, hibridinio pasirašymo su „Google“ sugeneruotais raktais programą. Taip pat generuojame atskirą klasikinį raktą, kurį galima naudoti parašų blokuose, atpažįstamuose įrenginiuose, kuriuose veikia 16 ar senesnės versijos „Android“.
2. Sukurkite įkėlimo raktą: sugeneruokite raktų saugyklą, kad pasirašytumėte leidimo programos komponentų rinkinį. Galite jį sugeneruoti sistemoje „Android Studio“ arba naudoti „Java“ raktų įrankį iš komandų eilutės.
3. Įkelkite programos komponentų rinkinį: eikite į „Play Console“ ir paruoškite naują leidimą. Pagal numatytuosius nustatymus, kai įkeliate programos komponentų rinkinį, programa automatiškai įtraukiama į kvantinės kompiuterijos palaikantį hibridinį pasirašymą naudojant „Google“ sugeneruotus raktus.
4. Pakeiskite programos pasirašymo raktą (nebūtina): patyrę kūrėjai, norintys tvarkyti savo raktą, gali pakeisti šį numatytąjį nustatymą, kol versija dar neišleista atviro bandymo ar viešosios versijos grupėje. Tai galite padaryti apsilankę skiltyje Apsaugota naudojant „Google Play“ > „Google Play“ parduotuvės platinimas“ > eikite į „Play“ prisijungimą prie programos ir spustelėkite Pakeisti programos pasirašymo raktą. Tada galite pasirinkti toliau nurodytas parinktis.

• Naudoti tą patį raktą, kuris buvo panaudotas kitai programai šioje kūrėjo paskyroje
• Pateikti programos pasirašymo rakto kopiją (vadovaujantis instrukcijomis)

Esamoms programoms

Jei šiuo metu tvarkote savo raktus ir įkeliate APK, galite naujovinti į „Play“ prisijungimą prie programos, kad galėtumėte pasinaudoti programų komponentų rinkiniais ir „Google Play“ patobulinimais.

1. Sistemoje „Play Console“ eikite į skiltį Apsaugota naudojant „Google Play“ > „Google Play“ parduotuvės platinimas“ > eikite į „Play“ prisijungimą prie programos.
2. Sutikite su paslaugų teikimo sąlygomis, jei to dar nepadarėte.
3. Pradinio rakto kopijos perkėlimas: atsisiųskite PEPK įrankį ir vadovaudamiesi bendromis nuosekliomis instrukcijomis šifruokite ir įkelkite esamą programos pasirašymo raktą iš bet kurios saugyklos.

Sukurkite naują įkėlimo raktą (rekomenduojama): sugeneruokite naują raktą sistemoje „Android Studio“, kad galėtumėte jį naudoti kaip įkėlimo raktą ateityje, ir užregistruokite jo sertifikatą sistemoje „Play Console“.

Registracija API paslaugų teikėjų sistemose

Jei programoje naudojamos API (pvz., „Google“ žemėlapiai, „OAuth“ arba „Facebook“ prisijungimas), šios paslaugos autentifikuoja programą naudodamos programos pasirašymo rakto skaitmeninį pėdsaką.

Kadangi „Google“ pasirašo galutinį APK, turite užregistruoti „Google“ valdomo programos pasirašymo rakto skaitmeninį pėdsaką API paslaugų teikėjų sistemose, o ne tik vietinį įkėlimo raktą.

1. Eikite į skiltį Apsaugota naudojant „Google Play“ > „Google Play“ parduotuvės platinimas“ > eikite į „Play“ prisijungimą prie programos.
2. Slinkite iki skilties Programos pasirašymo raktas.
3. Nukopijuokite reikiamus skaitmeninius pėdsakus (SHA-1 arba SHA-256). Jei programoje naudojamas kvantinis hibridinis pasirašymas, turite nukopijuoti trijų raktų skaitmeninius pėdsakus ir užregistruoti kiekvieną iš jų API paslaugų teikėjų sistemose: naujus klasikinius ir PQC raktus, naudojamus naujesniuose įrenginiuose, ir klasikinį raktą, naudojamą senesniuose įrenginiuose.
4. Įklijuokite šiuos skaitmeninius pėdsakus į API teikėjo pultą (pvz., „Google Cloud Console“).
   Patarimas: jei naudojate „Android“ programų nuorodas, atnaujinkite failą „assetlinks.json“ naudodami šiuos skaitmeninius pėdsakus.

Raktų tvarkymas

Programos pasirašymo rakto naujovinimas

Jei programos pasirašymo raktas pažeistas arba jums reikia kriptografiškai patikimesnio rakto, galite pateikti metinę rakto naujovinimo užklausą visiems diegimams 17 (37 API lygio) ir naujesnių versijų „Android“.

Kaip įgyvendinimas veikia skirtingose „Android“ versijose

• 17 (37 API lygio) ir naujesnių versijų „Android“: „Android“ platforma griežtai įgyvendina naujovinto kvantiniams skaičiavimams paruošto mišraus rakto naudojimą. Žr. 3.2 versijos APK pasirašymo schemą.
• Nuo 13 versijos (33 API lygio) „Android“ iki 16 versijos (36 API lygio) „Android“: „Android“ platforma griežtai įgyvendina naujausio klasikinio rakto naudojimą. Žr. 3.1 versijos APK pasirašymo schemą
• Nuo 7 versijos (24 API lygio) „Android“ iki 12 versijos (32 API lygio) „Android“: pati „Android“ platforma neįgyvendina naujovinto rakto ir vis tiek atpažįsta naujausią klasikinį raktą. Tačiau „Google Play Protect“ teikia papildomą patvirtinimą tikrindama, ar programų naujiniai pasirašyti naudojant naujausią klasikinį raktą (nebent naudotojas ją išjungs).

Svarbi aplinkybė

• Bendrinami duomenys: kadangi platforma neįgyvendina naujovinto rakto sistemoje „Android S“ (32 API lygio) ir senesnėse versijose, jei naudojate tą patį raktą keliose programose duomenims bendrinti, tos senesnės „Android“ versijos atpažins tik seną raktą tokioms funkcijoms kaip tinkintų leidimų bendrinimas.

Kaip naujovinti

1. Eikite į skiltį Apsaugota naudojant „Google Play“ > „Google Play“ parduotuvės platinimas > eikite į „Play“ prisijungimą prie programos.
2. Skiltyje „Programos pasirašymo raktas“ spustelėkite Naujovinti raktą.
3. Pasirinkite naujovinimo kelią.
   • Leisti „Google Play“ sugeneruoti naują programos pasirašymo raktą (rekomenduojama)
   • Naudoti tą patį programos pasirašymo raktą kitoje šio kūrėjo paskyros programoje
   • Pateikti programos pasirašymo rakto kopiją (vadovaujantis instrukcijomis)
4. Spustelėkite Išsaugoti.
5. Užregistruokite naujus raktų skaitmeninius pėdsakus API paslaugų teikėjų sistemose. Jei programoje naudojamas kvantinis hibridinis pasirašymas, turite užregistruoti dviejų naujų raktų – naujo klasikinio rakto ir naujo PQC rakto – skaitmeninius pėdsakus.

Įkėlimo rakto nustatymo iš naujo užklausos pateikimas

Jei prarasite įkėlimo raktą arba įtariate, kad jis buvo pažeistas, jūsų prieiga prie programos nebus užblokuota.

1. Sukurkite naują įkėlimo raktą sistemoje „Android Studio“.
2. Eksportuokite sertifikatą PEM formatu:
   keytool -export -rfc -keystore upload-keystore.jks -alias upload -file upload_certificate.pem
   (Jei reikia daugiau pagalbos dėl rakto įrankio ir rakto saugyklos kelių, žr. „Android Studio“ prisijungimo prie programos vadovą).
3. Sugeneravę PEM failą, pateikite nustatymo iš naujo užklausą sistemoje „Play Console“.
4. Eikite į skiltį Apsaugota naudojant „Google Play“ > „Play“ parduotuvės apsauga > Tvarkyti „Play“ prisijungimą prie programos.
5. Skiltyje Įkėlimo rakto sertifikatas spustelėkite Pateikti įkėlimo rakto nustatymo iš naujo užklausą.
6. Įveskite nustatymo iš naujo priežastį.
7. Įkelkite failą upload_certificate.pem ir spustelėkite Pateikti užklausą.

Geriausia praktika ir alternatyvus platinimas

• Saugumas: apsaugokite prieigą prie „Play Console“ įdiegdami patvirtinimą dviem veiksmais visiems naudotojams.
• Programos komponentų rinkinio patobulinimai: užsiregistravę naudoti „Play“ prisijungimą prie programos galite pasiekti programų komponentų rinkinių patobulinimus. Jei norite pritaikyti patobulinimus, pirmiausia atlikite visus reikiamus konfigūracijos pakeitimus kurdami naują leidimą, tada įkelkite naują programos komponentų rinkinį.
• Platinimas ne sistemoje „Google Play“: jei platinate per kitas programų parduotuves ir norite visur naudoti tą patį pasirašymo raktą, galite rinktis iš dviejų parinkčių. [1] Galite leisti „Google“ sugeneruoti programos pasirašymo raktą ir atsisiųsti pasirašytą, universalų APK iš „Play Console“ arba „Play“ kūrėjo API, kad galėtumėte platinti kitur (sistemoje „Play Console“ eikite į skiltį „Testavimas ir leidimas“ > „Naujausi leidimai ir rinkiniai“, pasirinkite programos komponentų rinkinį ir spustelėkite skirtuką „Atsisiuntimai“), arba [2] galite sugeneruoti programos pasirašymo raktą, kurį norite naudoti visose programų parduotuvėse, ir perkelti jo kopiją į sistemą „Google“, sukonfigūravę „Play“ prisijungimą prie programos. Sužinokite daugiau apie tai, kaip veikia programų naujiniai, ir parinktis, kaip įgalinti arba išjungti kelių parduotuvių naujinius.
• Bandymas: naudokite vidinį programų bendrinimą, kad išbandytumėte, ką tiksliai „Google Play“ pateiks naudotojams, arba atsisiųskite konkretaus įrenginio APK iš programos komponentų rinkinio naršyklės ir įdiekite juos vietoje naudodami „adb install-multiple *.apk“.
• 4 versijos APK pasirašymo schema: „Play“ prisijungimas prie programos automatiškai naudoja 4 versijos tinkamų programų pasirašymą, kad palaikytų optimizuotą platinimą 11 ar naujesnės versijos „Android“ įrenginiuose. Jums jokių veiksmų atlikti nereikės. Tai neapima visų programų, kuriose naudojamas kvantiniams kompiuteriams paruoštas hibridinis pasirašymas, kuris dar nesuderinamas su 4 versijos pasirašymu. Daugiau apie techninius pranašumus galite sužinoti 4 versijos APK pasirašymo schemos dokumentuose.

Savarankiškai priglobti „Google“ debesies projektai 

Jei turite labai konkrečių saugos reikalavimų (pvz., naudojate OĮG raktus), galite naudoti „Play“ kūrėjo API, kad užsiregistruotumėte naudoti „Play“ prisijungimą prie programos naudodami savo priglobtą „Google“ debesies projektą.

Tai yra nestandartinė sąranka, kurios nerekomenduojame.. Naudodami savo priglobtą projektą prisiimate visą atsakomybę už prisijungimo prie programos operacijas.

• Taip neleidžiama „Google Play“ atlikti pagrindinių funkcijų, pvz., avarijos atkūrimo.
• „Google“ negali iš naujo sugeneruoti ar pataisyti esamo leidimo. Jei norite ištaisyti su leidimu susijusias klaidas, turite įkelti naują leidimą.
• Šioje konfigūracijoje gali būti nepasiekiama išplėstinė optimizacija, tam tikri „Play“ patobulinimai ir saugos funkcijos, pvz., kvantiniams kompiuteriams paruoštas hibridinis pasirašymas.
• Sukurkite arba importuokite pasirašymo raktus į debesies KMS, įsitikinkite, kad vieta sukonfigūruota kaip kelių regionų JAV, ir vadovaukitės KMS raktų importavimo dokumentais.

1. Jei norite pakeisti pasirašymo raktą, naudokite metodą „enrollApp“. Pasirašymo raktus galima keisti tik prieš išleidžiant programą atviro bandymo arba viešosios versijos grupėse.
2. Jei norite naujovinti pasirašymo raktą paskelbę, naudokite metodą „rotateAppSigningKey“. 
3. Suteikite toliau nurodytus IAM vaidmenis klientui arba paslaugos paskyrai, kuri autentifikuojama naudojant „Google Play“ kūrėjo API.
   1. role/cloudkms.signer
   2. roles/cloudkms.viewer
   3. roles/cloudkms.publicKeyViewer
4. Įsitikinkite, kad turite pakankamai kvotos kriptografinėms operacijoms atlikti. Ypač rekomenduojame padidinti „asymmetric_requests“ kvotą iki bent 350 KPS.
5. Jei norite sužinoti, kaip naudojami pasirašymo raktai, įgalinkite audito žurnalą debesies KMS projekte.