Android Keystore
El sistema de Android para guardar claves criptográficas de forma que la app pueda usarlas pero nunca leerlas.
La clave se genera dentro de un entorno protegido —un TEE en el procesador o un chip StrongBox aparte— y jamás sale de ahí. La app entrega los datos que hay que firmar o cifrar y recibe de vuelta el resultado. Ni siquiera una app completamente comprometida puede robar la clave en sí.
Las claves pueden atarse a condiciones: válidas solo tras una verificación biométrica, solo mientras la pantalla está desbloqueada, o invalidadas en cuanto el usuario añade una huella nueva. La atestación de claves permite que un servidor verifique que la clave reside de verdad en hardware, en un dispositivo sin rootear. El equivalente en iOS se llama Secure Enclave.