gungnir-sanye / tee-attestation-extraction

# Android TEE Keybox 与 RKP 研究资料
中文 | English
当前 `main` 分支收录三台设备的技术研究复盘，仅提供原理、验证关系与经整理的研究记录。原始设备转储、证书私钥、seed 原值、补丁二进制、厂商固件和可直接运行的提取脚本均未纳入当前分支。
文档由 AI 阅读来源工程后整理，未经人工逐条重新复现。研究结果应按证据链单独核对；文字不能替代授权、固件版本检查或安全操作判断。
## 文档来源与复核方式
本仓库是 AI 根据历史工程中的文档、实践流水、原理分析和产物登记整理出的公开副本，不是逐项人工执行并签字确认的实验报告。文中的“成功”“失败”“结果”和“验收”可能指不同时间的来源记录、AI 的归纳或尚待验证的结论；不能仅凭这些措辞认定当前设备或版本已复现成功。
建议按以下顺序复核：
1. 在本地或获准的环境中阅读目标设备的教程、原理、流水和产物说明；不要向外部 AI 服务上传真实密钥、设备身份材料或未经授权的第三方文件。
2. 列出型号、构建版本、槽位、输入文件哈希、失败分支、回滚条件和缺失证据；先解决资料之间的矛盾。
3. 先形成只读核查计划。由获得授权且能恢复设备的人员独立确认环境和风险，再决定是否开展任何动态操作。
4. 把新观察和未验证项记录下来，不以一次启动、单条日志或 AI 生成的命令代替结果验收。
## 设备文档
| 设备 | 已记录成果 | 中文 | English |
|---|---|---|---|
| Nothing 2a | Keybox 与 RKP 派生材料研究 | 教程 · 流水 · 原理 · 产物说明 | Tutorial · Log · Principles |
| Redmi 11T Pro | Keybox 研究 | 教程 · 流水 · 原理 · 产物说明 | Tutorial · Log · Principles |
| Redmi K70E | RKP/DICE 身份研究 | 教程 · 流水 · 原理 · 产物说明 | Tutorial · Log · Principles |
每个设备目录按 `01_教程/`、`02_流水记录/`、`03_原理/`、`04_补丁镜像固件/` 排列。当前公开版的第四项是**产物说明和公开边界**，不包含补丁、镜像或固件包本体，也没有旧版提及的 `99_索引/` 哈希清单。目录名沿用研究对象分类，不表示公开提供原始 seed 或 Keybox。
建议先看对应教程和原理，再按流水记录核对实际操作、失败分支和修正过程，最后看产物说明确认公开范围。流水记录是经过整理的历史记录，不是可直接逐条重放的命令清单。
## 详细原理报告
中文：三台设备从漏洞链到证书验收 | English: Detailed Principles Report
## 研究链路与结果验收
现有研究记录涉及启动链验证边界、受控研究环境、与版本匹配的 TEE/KeyMint 观察以及主机侧解析。Fenrir 是部分历史路线的研究基础；仓库名称和研究范围不限定于这一方案。它在这些记录中的角色是研究 MediaTek 启动链对后续组件的验证边界，使授权实验设备能够进入受控观察环境。这个边界属于引导流程，不等于普通应用获得权限；引导链能启动或具有 ADB/root，不能单独证明取得了 TEE 内部材料。
之后的研究要依赖与机型、系统构建及 TA/TEE 版本相匹配的诊断路径，分别解释 Keybox 处理、RKP/DICE 派生关系与证书签发。Fenrir 本身不生成厂商签名或 Google 证书；出现一份证书，也不能证明取得了底层 seed。三台设备的具体差异、失败路径和证书关系见上方详细原理报告。
来源记录中的结果至少需要独立核对以下关系，且这些门槛**不表示公开副本已通过人工复验**：
- **目标与输入**：型号、构建、槽位和相关组件对应同一实验；输入文件与记录的哈希相符。
- **运行环境**：启动状态、TEE/KeyMint 服务和观察能力与记录一致。
- **结果结构**：长度、编码、容器字段和解析结果符合该类材料的预期；示例或模拟值不得混作实测值。
- **密钥与证书**：公钥、证书链、签发关系及 RKP/CDI 关系由同轮证据相互印证。
- **来源与公开边界**：结论可追溯到输入、流水和验证证据；公开文件不包含可复用秘密或设备唯一身份材料。
任何关系不符时，应保留失败证据并标明未验收，不得通过修改记录制造通过结果。若这份原理整理对你的研究有帮助，欢迎通过下方公开渠道捐款支持后续维护。
## 捐款与支持
如果这份技术整理对你的研究有帮助，欢迎通过以下公开渠道捐款支持后续维护与研究。捐款不会换取受限漏洞材料、真实密钥或设备提取服务。转账前请确认网络和资产类型；区块链转账通常不可逆，建议先进行小额测试。
### 平台捐款
- Ko-fi 捐款页面
### Telegram 技术讨论
- 加入 Telegram 频道（频道：@keybox_playintegrityfix）
- 该频道用于相关技术讨论和经验交流，不承诺提供受限漏洞材料、真实密钥或设备提取服务。
### 微信技术交流群
群聊名称：Google Play Integrity 研究。请使用微信扫描下方二维码加入：
该二维码在 7 天内有效（截至 10 月 23 日）；二维码失效后，重新进入页面获取更新后的二维码。
### 微信赞赏
单次赞赏最高 200 元，具体以微信页面实时规则为准。
### 虚拟币捐款
| 网络 | 地址 | 资产说明 |
|---|---|---|
| Ethereum Mainnet | `0x04989a778AC28A60Cc5eF68DCaea379633E0189e` | ETH / ERC-20：以实际收款资产为准 |
| Arbitrum | `0x04989a778AC28A60Cc5eF68DCaea379633E0189e` | Arbitrum One 上的 ETH / ERC-20，请勿选择错误网络 |
| TRON Mainnet | `TScTH4VifRKja3NSvaWcPXmb99y3JjgYQ3` | TRX / TRC-20：以实际收款资产为准 |
| Bitcoin Mainnet | `bc1q886gc0mt0w9rre3zjct7vvvyrryerm7p2k9nfc` | BTC，原生 SegWit `bc1q` 地址 |
| 网络 | 二维码 |
|---|---|
| Ethereum Mainnet | |
| Arbitrum | |
| TRON Mainnet | |
| Bitcoin Mainnet | |
重要提示：
- Ethereum 和 Arbitrum 使用相同地址字符串，但不是同一条网络，转账时必须选择正确网络。
- TRON 地址只能在 TRON 网络使用；不要把 ERC-20、BEP-20 或其他网络资产直接发送到该地址。
- Bitcoin 地址只接收 BTC，不要发送其他链上的代币。
- 虚拟币地址公开可见，链上交易通常可追踪，因此这不是完全匿名的