„Play“ prisijungimo prie programos naudojimas

Pasirinkus naudoti „Play“ prisijungimą prie programos, „Google“ tvarko ir saugo programos pasirašymo raktą toje pačioje patikimoje infrastruktūroje, kurią „Google“ naudoja savo raktams saugoti. Šie raktai saugomi naudojant „Google“ raktų tvarkymo paslaugą (angl. „Key Management Service“, KMS). Jei norite sužinoti daugiau apie šią geriausią pramonės srityje infrastruktūrą, skaitykite „Google Cloud Security Whitepaper“.

 

Kodėl verta naudoti „Play“ prisijungimą prie programos? Be raktų apsaugos nuo visiško praradimo ar pažeidimo, užsiregistravus naudoti „Play“ prisijungimą prie programos, atrakinami patobulinimai, skirti „Android App Bundle“ (.aab). Leisdami „Google“ pasirašyti optimizuotus platinimo APK, sugeneruotus iš jūsų programos komponentų rinkinių, galite pasiekti vertingas paslaugas, pvz., automatinę apsaugą ir automatinį eilučių vertimą naudojant „Gemini“ modelius. Žaidimai gauna prieigą prie papildomų automatinių paslaugų, pvz., „Play“ žaidimų „Sidekick“, žaidimo atsisiunčiant bei mokamo turinio bandomųjų laikotarpių be piniginio mokėjimo.

Jei norite konfigūruoti „Play“ prisijungimą prie programos, turite būti paskyros savininkas arba turėti leidimą išleisti viešosios versijos grupę, išskirti įrenginius ir naudoti „Play“ prisijungimą prie programos bei sutikti su paslaugų teikimo sąlygomis.

Pagrindinės sąvokos

Kai naudojate „Play“ prisijungimą prie programos, turite du atskirus raktus. Norint išvengti trečiųjų šalių API autentifikavimo problemų, labai svarbu suprasti skirtumą ir jų techninius formatus.

Rakto tipas	Kas jį turi?	Išsami techninė informacija ir paskirtis
Įkėlimo raktas	Jūs (saugokite jį!)	Formatas: saugomas „Java Keystore“ (.jks arba .keystore). Reikalavimas: turi būti 2 048 ar daugiau bitų RSA raktas. Paskirtis: šį raktą naudojate programos komponentų rinkiniui pasirašyti prieš įkeldami jį į „Play Console“. „Google“ jį naudoja jūsų tapatybei patvirtinti. Jei jis bus pažeistas arba prarastas, „Google“ gali nustatyti šį raktą iš naujo už jus.
Programos pasirašymo raktas	Google Play	Formatas: susietas su viešuoju sertifikatu (.der arba .pem). Reikalavimas: „Google“ sugeneruoti raktai yra 4 096 bitų RSA raktai. Tinkinti raktai turi būti 2 048 ar daugiau bitų RSA raktai. Paskirtis: „Google“ naudoja šį raktą, kad pasirašytų galutinius APK, pateikiamus naudotojų įrenginiuose. Galite leisti „Google“ sugeneruoti šią informaciją arba galite pateikti savo informaciją. Šio rakto negalima iš naujo nustatyti, jei jį tvarkote patys (nenaudodami „Play“ prisijungimo prie programos) ir jį prarandate.
Apsaugota nuo kvantinių kompiuterių atakų	Google Play	Formatas: du raktai, susieti su viešaisiais sertifikatais (.der arba .pem). Reikalavimas: kvantiniams kompiuteriams paruoštas hibridinis pasirašymas apima klasikinį 4 096 bitų RSA raktą ir pokvantinį ML-DSA-65 raktą. „Google“ sugeneruoja naują klasikinį hibridinio parašo raktą, kuris skiriasi nuo klasikinio rakto, kurį ji naudoja įrenginiuose, kuriuose veikia senesnės nei 17 versijos „Android“, todėl jūsų programa naudoja tris skirtingus raktus. Paskirtis: 17 ar naujesnės versijos „Android“ įrenginiai patvirtina programą naudodami hibridinį 3.2 parašo bloką, kad apsaugotų ją nuo būsimų kvantinių skaičiavimų atakų. Įrenginiuose, kuriuose veikia senesnės „Android“ versijos, programa ir toliau patvirtinama naudojant klasikinius parašo blokus.

Pastaba: kad būtų užtikrintas maksimalus saugumas, įkėlimo raktas ir programos pasirašymo raktas turi skirtis.

Kaip „Google“ pasirašo jūsų programą: kai „Google“ sugeneruoja ir pasirašo jūsų APK naudodama programos pasirašymo raktą, ji naudoja „apksigner“, kad pridėtų dvi žymas prie jūsų programos aprašo (com.android.stamp.source ir com.android.stamp.type). Šie spaudai užtikrina, kad APK būtų saugiai atsekami iki pradinio pasirašytojo.

„Play“ prisijungimo prie programos nustatymas

Sąrankos procesas priklauso nuo to, ar skelbiate naują programą, ar perkeliate esamą.

Skirta naujoms programoms

1. Naujos programos kūrimas: jūsų programa bus automatiškai įtraukta į kvantinės kompiuterijos pasirengimo, hibridinio pasirašymo su „Google“ sugeneruotais raktais programą. Taip pat generuojame atskirą klasikinį raktą, kurį galima naudoti parašų blokuose, atpažįstamuose įrenginiuose, kuriuose veikia 16 ar senesnės versijos „Android“. 
2. Sukurkite įkėlimo raktą: sugeneruokite raktų saugyklą, kad pasirašytumėte leidimo programos komponentų rinkinį. Galite jį sugeneruoti sistemoje „Android Studio“ arba naudoti „Java“ raktų įrankį iš komandų eilutės.
3. Įkelkite programos komponentų rinkinį: eikite į „Play Console“ ir paruoškite naują leidimą. Pagal numatytuosius nustatymus, kai įkeliate programos komponentų rinkinį, programa automatiškai įtraukiama į kvantinės kompiuterijos palaikantį hibridinį pasirašymą naudojant „Google“ sugeneruotus raktus.
4. Pakeiskite programos pasirašymo raktą (nebūtina): patyrę kūrėjai, norintys tvarkyti savo raktą, gali pakeisti šį numatytąjį nustatymą. Tai galite padaryti spustelėję Keisti pasirašymo raktą leidimo skiltyje „Programos vientisumas“ arba apsilankę skiltyje Apsaugota naudojant „Google Play“ > „Google Play“ parduotuvės apsauga > Tvarkyti „Play“ prisijungimą prie programos. Tada galite pasirinkti toliau nurodytas parinktis.

• Naudoti tą patį raktą, kuris buvo panaudotas kitai programai šioje kūrėjo paskyroje
• Pateikti programos pasirašymo rakto kopiją (vadovaujantis instrukcijomis)
   

Esamoms programoms

Jei šiuo metu tvarkote savo raktus ir įkeliate APK, galite naujovinti į „Play“ prisijungimą prie programos, kad galėtumėte pasinaudoti programų komponentų rinkiniais ir „Google Play“ patobulinimais.

1. Sistemoje „Play Console“ eikite į skiltį Apsaugota naudojant „Google Play“ > „Google Play“ parduotuvės platinimas“ > eikite į „Play“ prisijungimą prie programos.
2. Sutikite su paslaugų teikimo sąlygomis, jei to dar nepadarėte.
3. Pradinio rakto kopijos perkėlimas: atsisiųskite PEPK įrankį ir vadovaudamiesi bendromis nuosekliomis instrukcijomis šifruokite ir įkelkite esamą programos pasirašymo raktą iš bet kurios saugyklos.

Sukurkite naują įkėlimo raktą (rekomenduojama): sugeneruokite naują raktą sistemoje „Android Studio“, kad galėtumėte jį naudoti kaip įkėlimo raktą ateityje, ir užregistruokite jo sertifikatą sistemoje „Play Console“.

Registracija API paslaugų teikėjų sistemose

Jei programoje naudojamos API (pvz., „Google“ žemėlapiai, „OAuth“ arba „Facebook“ prisijungimas), šios paslaugos autentifikuoja programą naudodamos programos pasirašymo rakto skaitmeninį pėdsaką.

Kadangi „Google“ pasirašo galutinį APK, turite užregistruoti „Google“ valdomo programos pasirašymo rakto skaitmeninį pėdsaką API paslaugų teikėjų sistemose, o ne tik vietinį įkėlimo raktą.

1. Eikite į skiltį Apsaugota naudojant „Google Play“ > „Google Play“ parduotuvės platinimas“ > eikite į „Play“ prisijungimą prie programos.
2. Slinkite iki skilties Programos pasirašymo raktas.
3. Nukopijuokite reikiamus skaitmeninius pėdsakus (SHA-1 arba SHA-256). Jei programoje naudojamas kvantinis hibridinis pasirašymas, turite nukopijuoti trijų raktų kontrolinius kodus ir užregistruoti kiekvieną iš jų API paslaugų teikėjų sistemose: naujus klasikinius ir PQC raktus, naudojamus naujesniuose įrenginiuose, ir klasikinį raktą, naudojamą senesniuose įrenginiuose.
4. Įklijuokite šiuos skaitmeninius pėdsakus į API teikėjo pultą (pvz., „Google Cloud Console“).
   Patarimas: jei naudojate „Android“ programų nuorodas, atnaujinkite failą „assetlinks.json“ naudodami šiuos skaitmeninius pėdsakus.

Raktų tvarkymas

Programos pasirašymo rakto naujovinimas

Jei programos pasirašymo raktas pažeistas arba jums reikia kriptografiškai patikimesnio rakto, galite pateikti metinę rakto naujovinimo užklausą visiems diegimams sistemoje „Android N“ (24 API lygio) ir naujesnėse versijose.

Kaip įgyvendinimas veikia skirtingose „Android“ versijose

• „Android T“ (33 API lygio) ir naujesnės versijos: „Android“ platforma griežtai įgyvendina naujovinto rakto naudojimą.
• „Android N“ (24 API lygio)–„Android S“ (32 API lygio): pati „Android“ platforma neįgyvendina naujovinto rakto ir vis tiek atpažįsta seną pasirašymo raktą. Tačiau „Google Play Protect“ teikia papildomą patvirtinimą tikrindama, ar programų naujiniai pasirašyti naudojant naujovintą raktą (nebent naudotojas ją išjungs).

Svarbi aplinkybė

• Bendrinami duomenys: kadangi platforma neįgyvendina naujovinto rakto sistemoje „Android S“ (32 API lygio) ir senesnėse versijose, jei naudojate tą patį raktą keliose programose duomenims bendrinti, tos senesnės „Android“ versijos atpažins tik seną raktą tokioms funkcijoms kaip tinkintų leidimų bendrinimas.

Kaip naujovinti

1. Eikite į skiltį Apsaugota naudojant „Google Play“ > „Google Play“ parduotuvės platinimas > eikite į „Play“ prisijungimą prie programos.
2. Skiltyje „Programos pasirašymo raktas“ spustelėkite Naujovinti raktą.
3. Pasirinkite naujovinimo kelią.
   • Leisti „Google Play“ sugeneruoti naują programos pasirašymo raktą (rekomenduojama)
   • Naudoti tą patį programos pasirašymo raktą kitoje šio kūrėjo paskyros programoje
   • Pateikti programos pasirašymo rakto kopiją (vadovaujantis instrukcijomis)
4. Spustelėkite Išsaugoti ir užregistruokite naujus raktų skaitmeninius pėdsakus API paslaugų teikėjų sistemose.

Įkėlimo rakto nustatymo iš naujo užklausos pateikimas

Jei prarasite įkėlimo raktą arba įtariate, kad jis buvo pažeistas, jūsų prieiga prie programos nebus užblokuota.

1. Sukurkite naują įkėlimo raktą sistemoje „Android Studio“.
2. Eksportuokite sertifikatą PEM formatu:
   keytool -export -rfc -keystore upload-keystore.jks -alias upload -file upload_certificate.pem
   (Jei reikia daugiau pagalbos dėl rakto įrankio ir rakto saugyklos kelių, žr. „Android Studio“ prisijungimo prie programos vadovą).
3. Sugeneravę PEM failą, pateikite nustatymo iš naujo užklausą sistemoje „Play Console“.
4. Eikite į skiltį Apsaugota naudojant „Google Play“ > „Play“ parduotuvės apsauga > Tvarkyti „Play“ prisijungimą prie programos.
5. Skiltyje Įkėlimo rakto sertifikatas spustelėkite Pateikti įkėlimo rakto nustatymo iš naujo užklausą.
6. Įveskite nustatymo iš naujo priežastį.
7. Įkelkite failą upload_certificate.pem ir spustelėkite Pateikti užklausą.

Geriausia praktika ir alternatyvus platinimas

• Saugumas: apsaugokite prieigą prie „Play Console“ įdiegdami patvirtinimą dviem veiksmais visiems naudotojams.
• „Play“ patobulinimai: užsiregistravę naudoti „Play“ prisijungimą prie programos galite pasiekti „Play“ patobulinimus programų komponentų rinkiniuose. Jei norite gauti naujinius, pirmiausia atlikite visus reikiamus pakeitimus kurdami naują leidimą, tada įkelkite naują programos komponentų rinkinį.
• Platinimas ne sistemoje „Google Play“: jei platinate per kitas programų parduotuves ir norite visur naudoti tą patį pasirašymo raktą, galite rinktis iš dviejų parinkčių. [1] Galite leisti „Google“ sugeneruoti programos pasirašymo raktą ir atsisiųsti pasirašytą, universalų APK iš „Play Console“ arba „Play“ kūrėjo API, kad galėtumėte platinti kitur (sistemoje „Play Console“ eikite į skiltį „Bandymas ir leidimas“ > Naujausi leidimai ir komponentų rinkiniai, pasirinkite programos komponentų rinkinį ir spustelėkite skirtuką „Atsisiuntimai“) arba [2] galite sugeneruoti programos pasirašymo raktą, kurį norite naudoti visose programų parduotuvėse, ir perkelti jo kopiją į sistemą „Google“, sukonfigūravę „Play“ prisijungimą prie programos. Sužinokite daugiau apie tai, kaip veikia programų naujiniai, ir parinktis, kaip įgalinti arba išjungti kelių parduotuvių naujinius.
• Bandymas: naudokite vidinį programų bendrinimą, kad išbandytumėte, ką tiksliai „Google Play“ pateiks naudotojams, arba atsisiųskite konkretaus įrenginio APK iš programos komponentų rinkinio naršyklės ir įdiekite juos vietoje naudodami „adb install-multiple *.apk“.
• 4 versijos APK pasirašymo schema: „Play“ prisijungimas prie programos automatiškai naudoja 4 versijos tinkamų programų pasirašymą, kad palaikytų optimizuotą platinimą 11 ar naujesnės versijos „Android“ įrenginiuose. Jums jokių veiksmų atlikti nereikės. Tai neapima visų programų, kuriose naudojamas kvantiniams kompiuteriams paruoštas hibridinis pasirašymas, kuris dar nesuderinamas su 4 versijos pasirašymu. Daugiau apie techninius pranašumus galite sužinoti 4 versijos APK pasirašymo schemos dokumentuose.
• Savarankiškai priglobti „Google“ debesies projektai: jei turite labai konkrečių saugos reikalavimų (pvz., naudojate OĮG raktus), galite naudoti „Play“ kūrėjo API, kad užsiregistruotumėte naudoti „Play“ prisijungimą prie programos naudodami savo priglobtą „Google“ debesies projektą. Pastaba: tai yra nestandartinė sąranka, kurios nerekomenduojame. Naudodami savo priglobtą projektą prisiimate visą atsakomybę už prisijungimo prie programos operacijas ir neleidžiate „Google Play“ atlikti pagrindinių funkcijų, pvz., avarijos atkūrimo.