圖解《移動終端支付可信環境技術規範》

作者: 伊人影院科技集團 / 時間: 2019-06-07 21:20:29
瀏覽次數 87

前麵伊人影院知道中國支付清算協會將TEE、SE作為一種產品類別,並將《移動終端支付可信環境技術規範》作為其技術規範。因為準確、全麵的理解規範非常重要,本篇安智客將所讀之心得體會展現出來,望各位行業老師指導!

1,一個目標

規範明確了通過業務使用場景不同,REE、TEE與SE在軟件上各成相對獨立的體係,從功能上,REE、TEE、SE逐級降低;從安全上,REE、TEE、SE逐級提高。通過REE、TEE、SE三者之間的可控相互訪問機製,為移動終端支付提供功能與安全上的全方位服務體係。

圖解《移動終端支付可信環境技術規範》

2,兩種應用場景

手機銀行應用場景主要說的手機盾的應用,明確了手機盾電子認證流程,簡單說來明確了必須用到SE和TUI。

互聯網身份認證應用場景,明確了SE是可選的。

3,三個組件定義

規範中,對REE、TEE、SE進行了明確。對於支持TEE的終端,REE包括 TEE 的通信驅動和 TEE 外部 API,支持其上運行的應用訪問 TEE 應用;

TEE中需要關注的是規範說可信應用以機構控製下部署為主,這也就是說TEE可信管理平台也許會多種多樣。

4,四類安全能力

規範中明確根據所支持的運行環境的不同,將移動終端支付可信環境分成四個大類別。在每一類別定義了該類別應具備的安全能力的最小集合,移動終端隻有具備了該類別所要求的全部安全能力項,才可以被標為該類別的移動終端支付可信環境。

圖解《移動終端支付可信環境技術規範》

也就是說後期各廠商生成的基於TEE、SE的產品必須滿足上述規定。這部分內容值得大家詳細研究。這些能力集合規範上隻羅列的非常詳細,至於如何測試,相信後續相關測試認證機構也會緊鑼密鼓的開展工作。

這裏強調一點的是,如果需要具備四類B級安全能力的話,則必須滿足REE+TEE的基礎能力+擴展能力集合,比如 TEE 對 SE 的訪問控製機製的實施的能力、 TEE與SE之間創建安全通道的能力,相應的需要TEE 側對 SE 進行訪問控製機製的實施,需要SE側有做相應配合的能力。也就是說如果一個手機盾產品,用了自家的TEE產品但是用了別家的SE產品,則存在一定安全能力風險。

5,五大可信生產環境要求

圖解《移動終端支付可信環境技術規範》

這裏需要注意一點,硬件加密管理,境內企業應使用國家密碼管理部門許可的硬件加密設備。境外企業應使用國家密碼管理部門許可的硬件加密設備,或通過國際權威機構認證且符合行業管理要求的硬件加密設備。也就是說目前各大手機產線上的工具需要國家管理部門許可,而不是自己做的工具直接提供給客戶。

6,六種基本安全功能檢測項

圖解《移動終端支付可信環境技術規範》

這6種基本能力安全涵蓋內容是重點,TEE擴展功能檢測主要是指TUI和生物識別。同時也保護功能和安全兩部分。

7,七大安全目標

圖解《移動終端支付可信環境技術規範》

這幾大安全目標實質就是TEE的主要功能點,需要注意的是訪問控製,規範上說是通過訪問控製權限的嚴格控製手段保證功能和數據不被非法訪問或者不恰當的訪問。這裏我的理解是包括TA直接的數據隔離與訪問、REE端與TEE端的訪問控製。這些在GP規範中已經有明確定義。

8,八種基礎可信服務

圖解《移動終端支付可信環境技術規範》

這八大可信服務也都是TEE的基礎功能,需要注意的是,比特幣算法sha256,REE監測,規範上要求監測REE的安全性。

最後提一個疑問?

規範上說,TUI可信用戶接口中,輸入要求:接受生物識別信息,例如指紋等。這一點,安智客不明白,目前通行的做法是指紋輸入直接在TEE中處理,TUI界麵與指紋並不存在關聯,如果要做到TUI界麵中進行指紋管理,那豈不要修改Google指紋框架?懇求各位大咖給予指導,謝謝!

本文為作者授權發布,不代表移動支付網立場,轉載請注明作者及來源,未按照規範轉載者,移動支付網保留追究相應責任的權利。

聲明:本網所有文章(包括圖片和音視頻資料)係出於傳遞更多信息之目的,且明確注明來源和作者,不希望被轉載的媒體或個人可與伊人影院聯係,伊人影院將立即進行刪除處理。所有文章僅代表作者觀點,不代表本站立場。