近期，華為與建行共同發布了手機金融盾，大家都開始逐漸關注這個移動支付領域的新興産品。手機金融盾其實就是傳統U盾在手機上的延伸，由于它很好的解決了移動支付的安全性問題和傳統U盾攜帶不便的缺點，因此越來越受到大家的關注。

手機金融盾來源于傳統U盾，首先我們先來說一下傳統U盾：

1. USB Key，即U盾，是一種USB接口的硬件設備。它内置一塊智能卡芯片，可以存儲用戶的私鑰及數字證書，進行特定的加解密運算，并且具有很強的防物理攻擊能力，防止用戶私鑰和和證書洩露。當用戶使用USB Key進行網上交易時，由USB Key内置的密鑰算法實現對用戶身份的認證。由于用戶私鑰保存在高安全級别智能卡芯片中，理論上使用任何方式都無法讀取，因此保證了用戶認證的安全性。

2. 傳統U盾的發展經曆過兩代：一代U盾，可安全存儲用戶的密鑰和證書，解決了數字證書的存儲安全問題，但無法與用戶進行交互，無法防止黑客通過遠程控制非法調用；二代U盾，增加了按鍵和屏幕顯示，可與用戶進行交互，客戶在通過網上銀行辦理支付等業務時，二代U盾上的液晶顯示屏會自動回顯交易金額、賬号等信息，客戶确認無誤後按下“确認”按鈕才可完成交易。

3. 傳統U盾用戶在使用時需通過USB接口插入電腦，完成用戶身份的認證。但随着移動支付的普及，用戶在手機上轉賬和支付的頻率越來越高，傳統U盾的弊端逐漸顯現。随着TEE(可信執行環境)逐漸成為手機的标配，品牌手機也集成了SE(安全模塊：等同于智能卡芯片)，這表明在手機上就具備了金融等級的軟硬件安全條件，手機金融盾應運而生。

4. 手機金融盾是手機終端、TEE和SE等技術相結合的産物。在TEE的安全界面(TUI)實現了PIN碼輸入、交易信息回顯和交易确認等，達到“所見即所簽”的效果，在SE中完成認證和交易，與二代U盾具有相同的安全級别。它的出現很好地解決了傳統U盾的弊端，并且在使用上更加便捷和安全。

手機金融盾的架構基本上由REE、TEE和SE中的功能模塊組成。

REE一般就是手機中的Android操作系統，可以安裝手機金融盾APP(即UKey APP)，提供豐富的操作界面，以完成與用戶的交互操作(安全要求不高)；并且實現證書管理，包括申請、下載、更新及删除等操作入口。

TEE是可信執行環境，一般運行在ARM trustzone環境的安全世界(也稱為Secure World)中，與android運行環境(也稱為Non-secure World)進行安全隔離。手機金融盾在TEE中主要實現Ukey TA、eSE服務、TUI服務三大功能模塊。

1. Ukey TA主要完成與android端Ukey app的交互；

2. SE處于TEE的控制之下，eSE服務提供了在TEE環境中訪問SE的接口，并且通過與SE之間建立安全通道，保證與SE之間的安全通信；

3. TUI服務提供與用戶的安全交互，主要實現PIN碼的輸入及管理，以及交易信息的顯示和确認，防止用戶密碼被惡意程序監聽和竊取，保證交易信息不被非法篡改。

SE即安全模塊，具有金融等級安全，可完成密鑰的生成和私鑰存儲、用戶證書存儲、交易信息簽名等功能。

手機金融盾生産、開盾和交易基本過程如下：

1. 手機金融盾的生産過程包含在手機的生産過程當中，包括TEE和SE在手機上的集成，通常TEE中的Ukey TA和SE中安全域初始化也是在生産階段完成；

2. 手機金融盾的開盾過程主要完成用戶安全證書的生成和下載。當通過對用戶身份認證之後，SE中會産生一對公私鑰對，私鑰會永久保存在SE中無法被讀出，公鑰會發送給認證中心CA進行簽名以生成用戶的證書，并下載到SE中，完成手機金融盾和用戶身份的綁定；

3. 當用戶發起轉賬等交易請求時，終端系統開始切換到TEE中，并運行TUI，用戶就可以在安全的可信執行環境中進行密碼輸入操作，TEE可以保證REE端任何惡意程序無法監聽和竊取用戶輸入的信息；同時用戶的交易信息也會安全顯示在屏幕上，由用戶本人對交易信息進行确認，此時，TEE能夠保證顯示信息不被惡意程序覆蓋和篡改；用戶确認和驗證通過之後，TEE将交易信息轉發SE，SE中的安全應用首先進行密碼驗證，驗證通過後對交易數據進行簽名；手機客戶端将TEE返回來的數據發送到服務提供方，進行交易驗證，驗證通過後交易成功。

手機金融盾中必須要有TEE，這是因為TEE可以對SE提供完整的安全保護，由于SE處于TEE的控制之下，能有效防止Android中惡意程序對SE的惡意訪問，并且TEE中的TUI服務也可以有效保證用戶輸入數據和數據顯示的安全。

豆莢科技是全球領先的TEE産品和可信服務提供商，自主研發的ISEE安全操作系統基于微内核技術和可信計算理論，實現了芯片硬件安全和操作系統軟件安全的結合，更加有效地防護消費者生物特征、密碼、文件、位置等敏感信息不被黑客竊取，真正保證智能終端的信息安全。豆莢科技的ISEE安全操作系統已經在三十多個手機品牌和上億台手機設備上得到商業應用。

豆莢科技積極參與國内各部委與企業的相關技術标準與規範的起草工作，在2017年參與了金融行業的《移動終端支付可信環境技術規範》和《移動終端安全金融盾規範》等行業規範的起草工作，并與産業鍊多方合作實現了滿足行業規範的手機金融盾産品。

豆莢ISEE安全操作系統完整地實現了手機金融盾所需的TUI服務和TEE-SE服務，提供對交易中的交易内容、交易額以及用戶輸入PIN碼等用戶交互數據的全面安全保護；同時，對SE的安全訪問控制，保證了在數據傳輸鍊路上的數據傳輸安全，豆莢手機金融盾産品做到了從用戶界面操作到交易完成的全過程全方位保護。

術語簡介：

1、TEE：Trusted Execution Environment 可信執行環境

2、REE：Rich Execution Environment 富執行環境

3、TA：Trusted Application 可信應用程序

4、SE：Secure Element 安全模塊

5、eSE：embedded Secure Element 内嵌安全模塊

6、TUI：Trusted User Interface 可信用戶接口

7、PIN：PersonalIdentification Number 個人身份識别碼

更多精彩资讯请关注tft每日頭條，我们将持续为您更新最新资讯!