ADB公钥私钥认证机制

Q:

--------------------------------------------------------------------------
Allow USB debugging?

The computer's RSA key fingerprint is:
23:B2:47:E1:08:DE:5A:3B:58:5A:A5:A6:FA:98:E0:50

Always allow from this computer
--------------------------------------------------------------------------
允许USB调试吗？

这台计算机的RSA密钥指纹如下:
23:B2:47:E1:08:DE:5A:3B:58:5A:A5:A6:FA:98:E0:50

一律允许使用这台计算机进行调试
--------------------------------------------------------------------------

在手机端碰到上述提示，手贱得选了永久允许，但实际上不希望这样，我想回到从前
那种每次都提示我一下的状态，怎么办？

A: scz@nsfocus 2014-04-07 14:22

--------------------------------------------------------------------------
2012年8月开始，adb增加了公私钥认证机制，只允许授权主机使用USB调试接口。

当手机接入未授权主机时，主机上的adb daemon向手机发送主机公钥。手机上弹出信
息框，询问是否允许(或永久允许)主机使用USB调试接口。如果选择永久允许，主机公
钥将被保存到手机中。有可能在手机ROM发布阶段已经内置了一些主机公钥，当心！

主机端公私钥对如果不存在，在adb daemon启动时会自动生成，对于Win 7，保存在:

%USERPROFILE%\.android\adbkey       // 私钥
%USERPROFILE%\.android\adbkey.pub   // 公钥

在Windows上主机公钥总是以"unknown@unknown"结尾。

另有说法，主机端公私钥对保存在%ANDROID_SDK_HOME%或%ADB_VENDOR_KEYS%目录下，
我没碰上这种情形。

手机端厂商公钥保存在/adb_keys中，来自授权主机的主机公钥保存在:

/data/misc/adb/adb_keys

ADB协议如下:

主机连接手机。手机向主机发送AUTH TOKEN报文，包含源自/dev/urandom的20字节的
随机token。主机用自己的私钥对该随机token进行签名(SHA1+RSA)，放在发往手机的
SIGNATURE报文中。手机检查签名，如果正确，响应以CONNECT报文，否则向主机发送
新的AUTH TOKEN报文，提供新的随机token。主机可以尝试另一组公私钥对。如果主机
已经尝试完所有公私钥对，则向手机发送AUTH RSAPUBLICKEY报文，包含一个主机公钥。
手机端的adbd将主机公钥发往framework，后者弹出信息框，询问是否允许(或永久允
许)主机使用USB调试接口，该信息框中一般会显示主机公钥的指纹(MD5)，而不是主机
公钥本身。

可用如下命令生成主机公钥指纹:

$ awk "{print $1}" < adbkey.pub | openssl base64 -A -d -a | openssl md5 -c | awk "{print $2}" | tr "[:lower:]" "[:upper:]"
23:B2:47:E1:08:DE:5A:3B:58:5A:A5:A6:FA:98:E0:50
--------------------------------------------------------------------------
/*
* /system/build.prop
*/
ro.adb.secure=1

这是缺省设置，表示启用adb公私钥认证机制，没有GUI界面调整这个设置。为0表示
禁用。
--------------------------------------------------------------------------

对于原始需求，设法删除保存在/data/misc/adb/adb_keys中的主机公钥即可。注意，
该文件中可能有多个主机公钥，只需删除你想删除的那一个即可。该文件权限如下:

$ ls -l /data/misc/adb/adb_keys
-rw-r----- system   shell

如果有root权限，简单粗暴的办法是:

# cat /dev/null > /data/misc/adb/adb_keys

重启手机使之生效。理论上重启手机端adbd会重读/data/misc/adb/adb_keys:

stop adbd
start adbd

但这组操作不能在"adb shell"里进行，因为"adb shell"依赖adbd。如果你有其他
shell，可以一试。

据说Android 4.3的开发者选项里增加了"Revoke USB debugging authorizations"，

它会清空/data/misc/adb/adb_keys，而不是删除单条主机公钥。

http://bbs.xiaomi.cn/thread-9561013-1-1.html

Android 如何开启与关闭adb 的认证机制(google adb secure) (adb RSA 指纹认证)

[Description]
如何开启与关闭adb 的认证机制(google adb secure)
[Keyword]
adb secure , ro.adb.secure , adb RSA 指纹认证
[Solution]
MTK 版本默认关闭adb 的地址认证机制，如果贵司需要开启，可以修改alps/build/core/main.mk

ifeq (true,$(strip $(enable_target_debugging)))
  # Target is more debuggable and adbd is on by default
  ADDITIONAL_DEFAULT_PROPERTIES += ro.debuggable=1
  ADDITIONAL_DEFAULT_PROPERTIES += ro.adb.secure=1 ==> 如果想在ENG Load新增此功能，加这行
  # Include the debugging/testing OTA keys in this build.
  INCLUDE_TEST_OTA_KEYS := true
else # !enable_target_debugging
  # Target is less debuggable and adbd is off by default
  ADDITIONAL_DEFAULT_PROPERTIES += ro.debuggable=0
  ADDITIONAL_DEFAULT_PROPERTIES += ro.adb.secure=1 ==> 如果想在USER Load新增此功能，加这行
endif # !enable_target_debugging

L 以后版本可以修改 /device/mediatek/mtXXXX/device.mk :

 

而ro.adb.secure 这个system property 对于adbd 的控制点在alps/system/core/adb/adb.c 中的
property_get("ro.adb.secure", value, "0");
auth_enabled = !strcmp(value, "1");
if (auth_enabled)
    adb_auth_init();//需要弹出对话框进行认证

需要注意的是，Google 现在强制要求在USER 版本中开启adb RSA 指纹认证，如果您关闭，将无法通过Google CTS 测试.