HarmonyOS开发 指纹验证和ESDSA加密

1. HarmonyOS开发 指纹验证和ESDSA加密

  在鸿蒙（HarmonyOS）开发中，使用ECDSA签名实现指纹登录，核心思路是：利用指纹验证通过后，使用私钥对特定数据进行签名，服务端再用公钥验签，从而确认用户身份。整个过程涉及指纹识别、密钥生成、签名/验签三个关键环节。

  以下是基于HarmonyOS ArkTS的实现方案，主要使用 @kit.CryptoArchitectureKit（加解密算法框架）和 @kit.UserAuthenticationKit（用户认证服务）。

1.1. 整体流程

  （1）**生成ECDSA密钥对：**在用户首次注册指纹登录时，生成一对ECC密钥（如ECC256），私钥安全存储在本地（如使用Universal Keystore Kit），公钥上传至服务端。

  （2）**发起指纹认证：**用户登录时，调用指纹识别接口，验证用户指纹。

  （3）**签名挑战数据：**指纹验证成功后，使用私钥对服务端下发的随机挑战码（Challenge）进行签名。

  （4）**服务端验签：**将签名结果和挑战码发送给服务端，服务端使用之前存储的公钥进行验签，确认身份。

1.2. 关键实现步骤（ArkTS）

1.2.1. 步骤1：生成ECDSA密钥对

  使用 cryptoFramework生成ECC256密钥对，并将公钥导出用于上传。

import { cryptoFramework } from '@kit.CryptoArchitectureKit';
import { buffer } from '@kit.ArkTS';
async function generateEccKeyPair(): Promise<{ priKey: cryptoFramework.PriKey; pubKey: cryptoFramework.PubKey }> {
  // 创建ECC256密钥生成器
  let keyGenAlg = 'ECC256';
  let generator = cryptoFramework.createAsyKeyGenerator(keyGenAlg);
  // 生成密钥对
  let keyPair = await generator.generateKeyPair();
  return {
    priKey: keyPair.priKey,
    pubKey: keyPair.pubKey
  };
}

1.2.2. 步骤2：指纹认证成功后进行签名

  使用 @kit.UserAuthenticationKit发起指纹认证，认证成功后调用签名接口。

import { userAuth } from '@kit.UserAuthenticationKit';
import { cryptoFramework } from '@kit.CryptoArchitectureKit';
import { buffer } from '@kit.ArkTS';
// 假设已从服务端获取挑战数据
let challenge: Uint8Array = new Uint8Array([0x01, 0x02, 0x03, ...]); 
async function fingerSign(priKey: cryptoFramework.PriKey): Promise<cryptoFramework.DataBlob> {
  // 1. 发起指纹认证
  let authResult = await userAuth.getAuthInstance({
    challenge: challenge,
    authType: [userAuth.UserAuthType.FINGERPRINT],
    authTrustLevel: userAuth.AuthTrustLevel.ATL3
  }).start();
  if (authResult.result !== userAuth.UserAuthResultCode.SUCCESS) {
    throw new Error('指纹认证失败');
  }
  // 2. 指纹验证通过后，使用私钥对挑战数据进行签名
  let signAlg = 'ECC256|SHA256';
  let signer = cryptoFramework.createSign(signAlg);
  await signer.init(priKey);
  // 将挑战数据转为DataBlob
  let challengeBlob: cryptoFramework.DataBlob = {
    data: challenge
  };
  // 如果数据量小，可直接调用sign
  let signature = await signer.sign(challengeBlob);
  return signature;
}

1.2.3. 步骤3：服务端验签（示例）

  服务端使用公钥对签名进行验证，确认用户身份。

async function verifySignature(pubKey: cryptoFramework.PubKey, challenge: Uint8Array, signature: cryptoFramework.DataBlob): Promise<boolean> {
  let verifyAlg = 'ECC256|SHA256';
  let verifier = cryptoFramework.createVerify(verifyAlg);
  await verifier.init(pubKey);
  let challengeBlob: cryptoFramework.DataBlob = { data: challenge };
  let result = await verifier.verify(challengeBlob, signature);
  return result;
}

1.3. 注意事项

  （1）密钥安全存储：私钥应使用 @kit.UniversalKeystoreKit（通用密钥库服务）安全存储，避免明文暴露。生成密钥对时，可指定密钥别名，通过 generateKeyItem将私钥存入安全区域。

  （2）算法选择：推荐使用 ECC256|SHA256组合，兼顾安全性与性能。若需更高安全性，可选用 ECC384|SHA384。

  （3）挑战数据：每次登录的挑战数据应随机生成，防止重放攻击。

  （4）指纹认证：userAuth接口需要应用拥有 ohos.permission.ACCESS_BIOMETRIC权限，并在设备支持指纹识别时才能使用。

  （5）公钥上传：公钥可在用户注册指纹登录时上传至服务端，并关联用户账号。

1.4. 完整示例代码片段

import { cryptoFramework } from '@kit.CryptoArchitectureKit';
import { userAuth } from '@kit.UserAuthenticationKit';
async function fingerLogin(priKey: cryptoFramework.PriKey, challenge: Uint8Array): Promise<cryptoFramework.DataBlob> {
  // 指纹认证
  let authInstance = userAuth.getAuthInstance({
    challenge: challenge,
    authType: [userAuth.UserAuthType.FINGERPRINT],
    authTrustLevel: userAuth.AuthTrustLevel.ATL3
  });
  let authResult = await authInstance.start();
  if (authResult.result !== userAuth.UserAuthResultCode.SUCCESS) {
    throw new Error('指纹认证失败');
  }
  // 签名
  let signer = cryptoFramework.createSign('ECC256|SHA256');
  await signer.init(priKey);
  let signature = await signer.sign({ data: challenge });
  return signature;
}

  通过以上步骤，即可在鸿蒙应用中实现基于ECDSA签名的指纹登录功能，确保身份验证的安全性与可靠性。