chrome.enterprise.platformKeys

설명

chrome.enterprise.platformKeys API를 사용하여 키를 생성하고 이 키의 인증서를 설치합니다. 인증서는 플랫폼에서 관리하며 TLS 인증, 네트워크 액세스 또는 chrome.platformKeys를 통한 기타 확장 프로그램에 사용할 수 있습니다.

권한

enterprise.platformKeys

가용성

ChromeOS만 해당 정책 필요

개념 및 사용법

클라이언트 인증서를 등록하는 데 이 API를 일반적으로 사용하는 방법은 다음과 같습니다.

  • enterprise.platformKeys.getTokens()를 사용하여 사용 가능한 모든 토큰을 가져옵니다.

  • id가 "user"인 토큰을 찾습니다. 나중에 이 토큰을 사용하세요.

  • generateKey() 토큰 메서드 (SubtleCrypto에 정의됨)를 사용하여 키 쌍을 생성합니다. 그러면 핸들이 키에 반환됩니다.

  • exportKey() 토큰 메서드 (SubtleCrypto에 정의됨)를 사용하여 공개 키를 내보냅니다.

  • SubtleCrypto에 정의된 sign() 토큰 메서드를 사용하여 인증 요청 데이터의 서명을 만듭니다.

  • 인증 요청을 작성하여 인증 기관에 전송합니다.

  • 인증서가 수신되면 [enterprise.platformKeys.importCertificate()`[3]을 사용하여 가져옵니다.

다음은 인증 요청 작성 및 전송을 제외한 주요 API 상호작용을 보여주는 예입니다.

function getUserToken(callback) {
  chrome.enterprise.platformKeys.getTokens(function(tokens) {
    for (var i = 0; i < tokens.length; i++) {
      if (tokens[i].id == "user") {
        callback(tokens[i]);
        return;
      }
    }
    callback(undefined);
  });
}

function generateAndSign(userToken) {
  var data = new Uint8Array([0, 5, 1, 2, 3, 4, 5, 6]);
  var algorithm = {
    name: "RSASSA-PKCS1-v1_5",
    // RsaHashedKeyGenParams
    modulusLength: 2048,
    publicExponent:
        new Uint8Array([0x01, 0x00, 0x01]),  // Equivalent to 65537
    hash: {
      name: "SHA-256",
    }
  };
  var cachedKeyPair;
  userToken.subtleCrypto.generateKey(algorithm, false, ["sign"])
    .then(function(keyPair) {
            cachedKeyPair = keyPair;
            return userToken.subtleCrypto.exportKey("spki", keyPair.publicKey);
          },
          console.log.bind(console))
    .then(function(publicKeySpki) {
            // Build the Certification Request using the public key.
            return userToken.subtleCrypto.sign(
                {name : "RSASSA-PKCS1-v1_5"}, cachedKeyPair.privateKey, data);
          },
          console.log.bind(console))
    .then(function(signature) {
              // Complete the Certification Request with |signature|.
              // Send out the request to the CA, calling back
              // onClientCertificateReceived.
          },
          console.log.bind(console));
}

function onClientCertificateReceived(userToken, certificate) {
  chrome.enterprise.platformKeys.importCertificate(userToken.id, certificate);
}

getUserToken(generateAndSign);

유형

Algorithm

Chrome 110 이상

생성할 키의 유형입니다.

enum

ChallengeKeyOptions

Chrome 110 이상

속성

  • 챌린지

    ArrayBuffer

    Verified Access Web API에서 발생하는 챌린지입니다.

  • registerKey

    RegisterKeyOptions 선택사항

    이 태그가 있는 경우 지정된 scope의 토큰과 함께 챌린지 처리된 키를 등록합니다. 그러면 이 키를 인증서와 연결하여 다른 서명 키처럼 사용할 수 있습니다. 이후에 이 함수를 호출하면 지정된 scope에 새 엔터프라이즈 키가 생성됩니다.

  • 범위

    범위

    도전해야 할 엔터프라이즈 키

RegisterKeyOptions

Chrome 110 이상

속성

  • 알고리즘

    알고리즘

    등록된 키가 사용해야 하는 알고리즘입니다.

Scope

Chrome 110 이상

엔터프라이즈 사용자 키 또는 엔터프라이즈 머신 키 사용 여부입니다.

enum

Token

속성

  • id

    문자열

    이 Token를 고유하게 식별합니다.

    정적 ID는 "user" 및 "system"로, 각각 플랫폼의 사용자별 하드웨어 토큰과 시스템 전체 하드웨어 토큰을 나타냅니다. 그 외 다른 식별자가 있는 토큰은 enterprise.platformKeys.getTokens에서 반환할 수 있습니다.

  • softwareBackedSubtleCrypto

    SubtleCrypto

    Chrome 97 이상

    WebCrypto의 SubtleCrypto 인터페이스를 구현합니다. 키 생성을 포함한 암호화 작업은 소프트웨어로 지원됩니다. 키 보호 및 추출할 수 없는 속성의 구현은 소프트웨어에서 이루어지므로, 하드웨어 지원 키보다 키의 보호 수준이 낮습니다.

    modulusLength가 최대 2048인 추출 불가능한 RSASSA-PKCS1-V1_5 키만 생성할 수 있습니다. 각 키는 데이터 서명에 최대 한 번만 사용할 수 있습니다.

    특정 Token에서 생성된 키는 다른 토큰과 함께 사용할 수 없으며 window.crypto.subtle와 함께 사용할 수도 없습니다. 마찬가지로 window.crypto.subtle로 만든 Key 객체는 이 인터페이스에서 사용할 수 없습니다.

  • subtleCrypto

    SubtleCrypto

    WebCrypto의 SubtleCrypto 인터페이스를 구현합니다. 키 생성을 포함한 암호화 작업은 하드웨어에서 지원됩니다.

    modulusLength가 최대 2048이고 ECDSA가 namedCurve P-256인 추출 불가능한 RSASSA-PKCS1-V1_5 키만 생성할 수 있습니다. 각 키는 데이터 서명에 최대 한 번만 사용할 수 있습니다.

    특정 Token에서 생성된 키는 다른 토큰과 함께 사용할 수 없으며 window.crypto.subtle와 함께 사용할 수도 없습니다. 마찬가지로 window.crypto.subtle로 만든 Key 객체는 이 인터페이스에서 사용할 수 없습니다.

방법

challengeKey()

Chrome 110 이상 
chrome.enterprise.platformKeys.challengeKey(
  options: ChallengeKeyOptions,
  callback: function,
)

challengeMachineKey 및 challengeUserKey와 유사하지만 등록된 키의 알고리즘을 지정할 수 있습니다. 하드웨어 지원 엔터프라이즈 머신 키에 도전하고 원격 증명 프로토콜의 일부로 응답을 내보냅니다. Chrome OS에서, 그리고 챌린지를 발행하고 응답을 확인하는 Verified Access Web API를 함께 사용할 때만 유용합니다.

Verified Access Web API의 인증에 성공하면 현재 기기가 합법적인 Chrome OS 기기이고, 현재 기기가 인증 중에 지정된 도메인에서 관리되고, 현재 로그인한 사용자가 인증 시 지정된 도메인에서 관리되며, 현재 기기 상태가 엔터프라이즈 기기 정책을 준수한다는 강력한 신호입니다. 예를 들어 정책에서 기기가 개발자 모드로 있어서는 안 된다고 지정할 수 있습니다. 인증 과정에서 내보낸 모든 기기 ID는 현재 기기의 하드웨어와 밀접하게 연결됩니다. "user" 범위가 지정되면 ID도 현재 로그인한 사용자와 긴밀하게 연결됩니다.

이 기능은 엄격하게 제한되며 현재 기기가 관리되지 않거나, 현재 사용자가 관리되지 않거나, 엔터프라이즈 기기 정책에 따라 호출자에 이 작업이 명시적으로 사용 설정되지 않은 경우 실패합니다. 챌린지 키가 "system" 또는 "user" 토큰에 없으며 다른 API에서 액세스할 수 없습니다.

매개변수

  • ChallengeKeyOptions에 정의된 필드가 포함된 객체입니다.

  • callback

    기능

    callback 매개변수는 다음과 같습니다. 

    (response: ArrayBuffer) => void

    • 응답

      ArrayBuffer

      챌린지 응답입니다.

challengeMachineKey()

Chrome 50 이상 Chrome 110 이후 지원 중단됨
chrome.enterprise.platformKeys.challengeMachineKey(
  challenge: ArrayBuffer,
  registerKey?: boolean,
  callback: function,
)

대신 challengeKey를 사용하세요.

하드웨어 지원 엔터프라이즈 머신 키에 도전하고 원격 증명 프로토콜의 일부로 응답을 내보냅니다. Chrome OS에서, 그리고 챌린지를 발행하고 응답을 확인하는 Verified Access Web API를 함께 사용할 때만 유용합니다. Verified Access Web API의 확인에 성공하면 다음 조건을 모두 충족한다는 강력한 신호입니다. * 현재 기기가 합법적인 Chrome OS 기기입니다. * 현재 기기는 인증 시 지정된 도메인에서 관리됩니다. * 현재 로그인한 사용자는 확인 시 지정된 도메인에서 관리됩니다. * 현재 기기 상태가 엔터프라이즈 기기 정책을 준수합니다. 예를 들어 정책에서 기기가 개발자 모드로 있어서는 안 된다고 지정할 수 있습니다. * 인증 과정에서 내보낸 모든 기기 ID는 현재 기기의 하드웨어에 밀접하게 연결됩니다. 이 기능은 엄격하게 제한되며 현재 기기가 관리되지 않거나, 현재 사용자가 관리되지 않거나, 엔터프라이즈 기기 정책에 따라 호출자에 이 작업이 명시적으로 사용 설정되지 않은 경우 실패합니다. 엔터프라이즈 머신 키는 "system" 토큰에 없으며 다른 API로 액세스할 수 없습니다.

매개변수

  • 챌린지

    ArrayBuffer

    Verified Access Web API에서 발생하는 챌린지입니다.

  • registerKey

    불리언 선택사항

    Chrome 59 이상

    설정되면 현재 엔터프라이즈 머신 키가 "system" 토큰에 등록되고 엔터프라이즈 머신 키 역할이 취소됩니다. 그러면 이 키를 인증서와 연결하여 다른 서명 키처럼 사용할 수 있습니다. 이 키는 2048비트 RSA입니다. 이후에 이 함수를 호출하면 새 엔터프라이즈 머신 키가 생성됩니다.

  • callback

    기능

    callback 매개변수는 다음과 같습니다. 

    (response: ArrayBuffer) => void

    • 응답

      ArrayBuffer

      챌린지 응답입니다.

challengeUserKey()

Chrome 50 이상 Chrome 110 이후 지원 중단됨
chrome.enterprise.platformKeys.challengeUserKey(
  challenge: ArrayBuffer,
  registerKey: boolean,
  callback: function,
)

대신 challengeKey를 사용하세요.

하드웨어 지원 엔터프라이즈 사용자 키에 대해 요구하고 원격 증명 프로토콜의 일부로 응답을 내보냅니다. Chrome OS에서, 그리고 챌린지를 발행하고 응답을 확인하는 Verified Access Web API를 함께 사용할 때만 유용합니다. Verified Access Web API의 확인에 성공하면 다음 조건을 모두 충족한다는 강력한 신호입니다. * 현재 기기가 합법적인 Chrome OS 기기입니다. * 현재 기기는 인증 시 지정된 도메인에서 관리됩니다. * 현재 로그인한 사용자는 확인 시 지정된 도메인에서 관리됩니다. * 현재 기기 상태는 기업 사용자 정책을 준수합니다. 예를 들어 정책에서 기기가 개발자 모드로 있어서는 안 된다고 지정할 수 있습니다. * 인증에서 내보낸 공개 키는 현재 기기의 하드웨어 및 현재 로그인한 사용자와 밀접하게 연결됩니다. 이 함수는 엄격하게 제한되며 현재 기기가 관리되지 않거나, 현재 사용자가 관리되지 않거나, 엔터프라이즈 사용자 정책에 따라 호출자에 대해 이 작업이 명시적으로 사용 설정되지 않은 경우 실패합니다. 엔터프라이즈 사용자 키는 "user" 토큰에 없으며 다른 API에서 액세스할 수 없습니다.

매개변수

  • 챌린지

    ArrayBuffer

    Verified Access Web API에서 발생하는 챌린지입니다.

  • registerKey

    boolean

    설정되면 현재 엔터프라이즈 사용자 키가 "user" 토큰에 등록되고 엔터프라이즈 사용자 키 역할이 취소됩니다. 그러면 이 키를 인증서와 연결하여 다른 서명 키처럼 사용할 수 있습니다. 이 키는 2048비트 RSA입니다. 이후에 이 함수를 호출하면 새 엔터프라이즈 사용자 키가 생성됩니다.

  • callback

    기능

    callback 매개변수는 다음과 같습니다. 

    (response: ArrayBuffer) => void

    • 응답

      ArrayBuffer

      챌린지 응답입니다.

getCertificates()

chrome.enterprise.platformKeys.getCertificates(
  tokenId: string,
  callback: function,
)

지정된 토큰에서 사용할 수 있는 모든 클라이언트 인증서 목록을 반환합니다. 특정 인증에 사용할 수 있는 클라이언트 인증서의 존재 여부 및 만료 여부를 확인하는 데 사용할 수 있습니다.

매개변수

  • tokenId

    문자열

    getTokens에서 반환된 토큰의 ID입니다.

  • callback

    기능

    callback 매개변수는 다음과 같습니다. 

    (certificates: ArrayBuffer[]) => void

    • certificates

      배열 버퍼[]

      X.509 인증서의 DER 인코딩 형식의 인증서 목록입니다.

getTokens()

chrome.enterprise.platformKeys.getTokens(
  callback: function,
)

사용 가능한 토큰을 반환합니다. 일반 사용자의 세션에는 목록에 항상 id "user"와 함께 사용자의 토큰이 포함됩니다. 시스템 전체 TPM 토큰을 사용할 수 있는 경우 반환된 목록에 id "system"가 있는 시스템 전체 토큰도 포함됩니다. 시스템 전체 토큰은 이 기기 (예: Chromebook)의 모든 세션에 대해 동일합니다.

매개변수

  • callback

    기능

    callback 매개변수는 다음과 같습니다. 

    (tokens: Token[]) => void

    • tokens

      토큰[]

      사용 가능한 토큰의 목록입니다.

importCertificate()

chrome.enterprise.platformKeys.importCertificate(
  tokenId: string,
  certificate: ArrayBuffer,
  callback?: function,
)

인증 키가 이 토큰에 이미 저장되어 있으면 지정된 토큰으로 certificate를 가져옵니다. 인증 요청이 완료되면 이 함수를 사용하여 획득한 인증서를 저장하고 운영체제와 브라우저에서 인증을 사용할 수 있도록 해야 합니다.

매개변수

  • tokenId

    문자열

    getTokens에서 반환된 토큰의 ID입니다.

  • 증명서

    ArrayBuffer

    X.509 인증서의 DER 인코딩입니다.

  • callback

    함수 선택사항

    callback 매개변수는 다음과 같습니다. 

    () => void

removeCertificate()

chrome.enterprise.platformKeys.removeCertificate(
  tokenId: string,
  certificate: ArrayBuffer,
  callback?: function,
)

지정된 토큰이 있는 경우 지정된 토큰에서 certificate를 삭제합니다. 인증 시 고려되지 않고 인증서 선택에 방해가 되지 않도록 오래된 인증서를 제거하는 데 사용해야 합니다. 인증서 저장소의 저장용량을 확보하는 데 사용해야 합니다.

매개변수

  • tokenId

    문자열

    getTokens에서 반환된 토큰의 ID입니다.

  • 증명서

    ArrayBuffer

    X.509 인증서의 DER 인코딩입니다.

  • callback

    함수 선택사항

    callback 매개변수는 다음과 같습니다. 

    () => void