Android如何存储8192位RSA密钥对 能否使用KeyChain存储

核心结论 #

绝大多数场景下不建议使用8192位长度的RSA密钥，且不推荐使用Android KeyChain存储你代码生成的8192位RSA密钥对。

不推荐使用8192位RSA密钥的原因 #

• 性能损耗极高：RSA的运算耗时随密钥长度呈超线性增长，8192位RSA的签名、解密耗时是2048位RSA的15~25倍，在移动端极易触发ANR，而实际安全收益极低——当前主流安全规范最高推荐4096位RSA，常规业务场景2048位RSA已足够抵御可预见的暴力破解风险。
• 硬件兼容差：几乎所有量产Android设备的TEE、StrongBox等硬件安全模块最高仅支持4096位RSA，8192位密钥无法存入硬件安全区域，只能以软加密形式存储，安全等级大幅下降。

Android KeyChain存储8192位RSA的实际限制 #

Android KeyChain是系统级全局凭据存储服务，本身没有写死密钥长度上限，但实际存储8192位RSA会遇到两个核心问题：

• 兼容性极差：Android 10及以下版本的KeyChain底层实现普遍不支持4096位以上的RSA密钥导入，绝大多数厂商机型会直接抛出参数异常导致导入失败；即使部分Android 11+机型能导入成功，私钥也无法获得硬件保护，仅以软加密形式存在系统存储区。
• 安全模型不匹配：KeyChain存储的凭据是系统全局共享的，导入时需要用户手动授权，且其他获得用户授权的应用也可以访问对应密钥，不适合存储应用自身业务使用的敏感私钥。

8192位RSA密钥的安全存储建议 #

如果因特殊合规要求必须使用8192位RSA密钥，按优先级选择存储方案：

• 优先直接在Android Keystore中生成密钥，不要在应用进程生成后再导入。如果设备Keystore的软实现支持8192位RSA，直接通过Keystore生成的密钥私钥永远不会进入应用进程内存，安全等级远高于自行生成后转存的方案，生成代码参考：

val keyPairGenerator = KeyPairGenerator.getInstance(
    KeyProperties.KEY_ALGORITHM_RSA, "AndroidKeyStore"
)
val spec = KeyGenParameterSpec.Builder(
    "your_biz_key_alias",
    KeyProperties.PURPOSE_ENCRYPT or KeyProperties.PURPOSE_DECRYPT or KeyProperties.PURPOSE_SIGN or KeyProperties.PURPOSE_VERIFY
)
    .setKeySize(8192)
    .setDigests(KeyProperties.DIGEST_SHA256, KeyProperties.DIGEST_SHA512)
    .setEncryptionPaddings(KeyProperties.ENCRYPTION_PADDING_RSA_OAEP)
    .setSignaturePaddings(KeyProperties.SIGNATURE_PADDING_RSA_PKCS1)
    .build()
keyPairGenerator.initialize(spec)
// 注意必须捕获初始化异常，大部分设备不支持8192位RSA时会直接抛错，此时需降级到4096位密钥
val keyPair = keyPairGenerator.generateKeyPair()

注意：如果设备Keystore不支持8192位RSA，不要强制使用，直接降级到4096位即可，安全强度足够满足绝大多数合规要求。

• 如果必须存储你贴出的代码在应用进程内生成的8192位RSA密钥对：
  • 私钥绝对不能明文存储，使用基于用户锁屏凭据/生物特征派生的密钥，通过AES-GCM算法加密私钥后，存储到应用私有沙箱目录，不要写入外部存储。
  • 公钥本身不需要保密，可以明文存储。
  • 禁止将私钥上传到远端服务，也不要在日志、崩溃上报中输出私钥内容。

内容的提问来源于stack exchange，提问作者RTR