全球平台组织（GlobalPlatform）：构建安全移动服务平台

admin

文/全球平台组织（GlobalPlatform）执行董事Kevin Gillick

编者语：

在本文中，全球平台组织（GlobalPlatform）执行董事Kevin Gillick讨论了可联网设备市场面临的不断发展变化的挑战，解释了可信执行环境（TEE）为何能在全球多个行业市场提供可信应用程序部署的安全解决方案。

  “地球上可联网设备的数量比地球人口数量还要多……”1

当我们发现，智能手机、平板电脑、智能电视、机顶盒、车载娱乐装置等可联网设备已变成我们生活中不可或缺的伴侣，给我们带来了便捷的数字化生活享受时，我们对上述统计所得出的结论也不会感到惊讶了。现如今，越来越多的可联网设备具备了下载电影、处理银行交易、进入建筑物或联网的功能，这对于消费者来说，当然是求之不得的好消息。但是，智能设备愈加丰富的高度互联性，却给业内人士带来了许多新的严峻挑战。譬如说，越来越多的黑客开始窥觊起存储着消费者个人和账户信息的移动设备，并对其发起恶意软件攻击。业内人士正想方设法抗击黑客分子的这些不法之举。

为了使可联网设备充分发挥其功效，可联网设备服务供应商必须成功应对日益严峻的安全风险。必须在可联网设备的用户便利性、功能性和安全性之间取得平衡。可联网设备在处理付款和银行业务等应用时要求很高的安全性。如果可联网设备安全性不佳，势必会给用户带来损失。可是，如果可联网设备操作过于复杂，也是不可取之举。鉴于此等应用对安全性要求极高，且需要提供优质内容保护，应对不同的企业环境，并提供各种移动金融服务，因此这些应用不仅仅需要软件解决方案自身的保护，还需要更多的安全措施。所以，可联网设备行业需为消费者提供更高端的移动安全保护，同时对于网络恶意攻击，继续做到防患于未然。确保可联网移动设备的安全性，对于可联网设备大众市场的发展和部署至关重要。

全球平台组织（GlobalPlatform）：业界标准奠基人

全球平台组织（GlobalPlatform）创建于1999年，是一个跨行业的非盈利组织，致力于制定、开发和发布安全芯片的技术标准，以促进多应用产业环境的管理及其安全、可互操作的业务部署。全球平台组织（GlobalPlatform）的工作重心主要集中在安全单元（SE）、可信执行环境（TEE）、系统信息等领域。其成熟的技术规范被奉为业内标准，是建立可信的端到端解决方案的工具，并服务于该产业环境的多个成员，支持多种商业模式。

全球平台组织（GlobalPlatform）旨在创建一个标准化的基础架构，加快安全应用程序及其关联资源（譬如密钥）的部署，同时保护此类安全应用程序及其关联资源免受物理或软件方面的攻击。

为了增强可联网设备的可互操作性、可拓展性及安全性，全球平台组织（GlobalPlatform）重点推动可信执行环境（TEE）的升级、优化和标准化，从而最终成为该重要技术领域的权威标准设定机构。全球平台组织（GlobalPlatform）认识到，可信执行环境（TEE）不仅可以保持经济增长，提高经济效率，还可以提升消费者对可联网设备供应商服务的信心和信任。

了解可信执行环境（TEE）

可信执行环境（TEE）是一个驻留在所连接设备的主处理器上的安全区域，以确保在可信执行环境中的敏感数据的存储、处理和保护。可信执行环境（TEE）为可联网设备提供了安全性和功能性保障，同时为授权安全软件（也称为可信应用）提供了安全执行环境，通过保护可信应用数据和资源的保密性、完整性和数据访问权限，确保端对端的安全。

我们要更加充分地了解可信执行环境（TEE），了解可信执行环境（TEE）是如何消除Rich操作系统（rich OS）和安全单元（SE）的缺口的。下面，让我们以手机为例，来一窥究竟。

Rich操作系统（Rich OS）：针对多功能性和丰富性创建的环境，执行诸如安卓（Android）、塞班（Symbian）和Windows Phone等设备应用。在设备生产以后向第三方开放下载。

安全单元（SE）：安全单元（SE）由软件和防篡改硬件组成，可提供高级别的安全保障，能与可信执行环境（TEE）一起运行。在绝大多数服务提供商看来，对于需要最高安全级别的近距离支付相关应用或官方电子签名、身份验证、个人身份识别号码（PIN）管理和识别等，安全单元（SE）是移动设备不可或缺的组成部分。

可信执行环境（TEE）：可信执行环境（TEE）由软件和硬件组成，可防御由Rich操作系统环境衍生的软件攻击行为。通过将敏感性应用程序同Rich操作系统隔离开来，可信执行环境（TEE）能够协助控制此类应用的访问权限和存储。因此，可信执行环境（TEE）足以为大量应用提供安全保障，并且在高级别保护的安全单元（SE）和高功能性的Rich操作系统之间提供了一个安全的“中间地带”。

为什么业界需要可信执行环境（TEE）？

可信执行环境（TEE）当今存在的原因如下：

1、 可联网设备包含一个接纳各种下载应用程序的开放环境。相比于以前，如今这些应用程序含有更多敏感信息，这些敏感信息亟需通过Rich操作系统对其进行保护。

2、 可联网设备不但需要为用户提供更高级别的功能性，还需应高价值服务供应商的需要，为其提供的服务提供相应的安全保障。

3、 可联网设备的安全性能必须能够有针对性地抵御现在和将来的网络恶意攻击行为。

现如今，诸如金融服务、优质内容保护服务和验证服务等市场，均要求不断提高可联网设备的安全级别。由于可信执行环境（TEE）隔离安全应用，并防止其受到可能无意间下载的恶意软件的攻击。这使得可信执行环境（TEE）成为存储可信运用的理想环境。

可信执行环境（TEE）的真实运用案例：

目前看来，优质内容保护、移动金融服务和企业（公共和私人企业）服务，是推动可信执行环境（TEE）应用的三大主要市场应用领域。

1. 优质内容保护

据美国电影协会（MPAA）2声称，美国电影业每年承受5亿美元的盗版损失。因此，通过4K TV、高分辨率机顶盒、平板电脑、智能手机等可联网设备为美国电影业提供必要保护，打击非法复制和发行的违法行为，这对于保护美国电影业的产品权益而言至关重要。然而，消费者却热衷于寻找可联网设备的疏漏，从而可以共享视频和在线内容。为何会出现此等局面呢？

假设消费者有两个移动设备，其中一个用来处理银行交易，另一个用来存储优质内容（譬如视频、音频文件或电子书籍）。如果消费者发现处理银行交易的移动设备安全级别较低时，他们将立即采取补救和矫正措施 —— 譬如不再使用此移动设备或对其安全设置进行升级。但是，当消费者发现存储优质内容的移动设备不够安全时，却不见得会予以同等的重视。事实上，情况正好相反。当消费者发现他们能够通过某个移动设备免费收看或者“复制”优质内容，他们将听之任之，甚至在朋友之间广泛宣传，让大家购买同样的移动设备。因此，对于电影业和电视业等提供优质内容的供应商而言，他们的确需要保护其优质内容免受未经授权的非法传播和使用。

因此，优质内容不但需要提供终端用户期待的服务内容，还需要提供高级别的安全性，以打击那些未经授权许可的发行和使用行为。可信执行环境（TEE）顺势而生，既可满足服务供应商和终端用户的需求，又能为反盗版行业带来显著收益。

2、 移动金融服务

· 可信用户界面

移动金融服务（MFS）又称移动商业，正在迅猛发展。移动金融服务不再局限于传统意义上的移动设备在线购买服务。如今，移动金融服务使用移动设备作为POS终端，囊括了诸如移动钱包、端对端支付、免触支付等多种服务。

随着移动金融服务的不断发展完善，越来越多利益攸关方也跻身于移动金融服务市场。人们的移动设备需要得到更有力和合规的安全保障，以确保消费者能够在安全和可信的环境下进行授权金融交易。

现如今，移动设备的支付和ID凭据都存储在防篡改的安全单元（SE）环境中。尽管安全单元（SE）安全级别很高，但其功能却颇为局限，只能为终端用户提供有限的身份验证方式。

可信执行环境（TEE）旨在改善安全单元（SE）的功能，而非取代安全单元（SE）。可信执行环境（TEE）通过提供安全可信的用户界面，授权验证移动设备，以改善安全单元（SE）的功能。譬如说，可信用户界面能够核实信息源于受信任的应用程序、且该信息与Rich操作系统隔离。恶意软件可能存在于Rich操作系统。这从本质上在安全单元（SE）和终端用户之间创建了一个安全的通信通道。可信执行环境（TEE）要求用户通过可信用户界面，输入密码或口令，从而保障用户的安全。随后，可信执行环境（TEE）将对密码/口令进行加密，并将其发送至存储在安全单元（SE）中的支付应用程序——这相当于用户持卡现场支付的行为。此外，可信执行环境（TEE）还为消费者提供了一个可存储忠诚和优惠券应用程序的理想环境，相比于支付应用，这对移动设备安全性的要求较低，但仍需要存储在Rich操作系统的应用程序为其提供安全保护。

· 生物识别技术

在信息安全领域，业内人士的首要任务之一就是确保获取敏感、保密或机密信息的人员获得相关授权。而生物识别技术正日益受到人们青睐，成为进行身份验证的重要方法。

自然ID身份验证是一种通过利用诸如指纹、声音、面部识别等数字化的人体固有的生理特征，验证用户是否为原申请人的鉴定过程。一般而言，自然ID身份验证可划分为三个阶段：

1、 采集“影像”（譬如扫描指纹或提取声音样本）

2、 调取存储于设备中的参考“样本”，用于同采集“影像”进行对比。

3、 运用配比工具，对“影像”和“样本”进行比较。

可信执行环境（TEE）的可靠性使其成为移动设备用来存储配比工具和开展用户验证关联程序的合适区域。可信执行环境（TEE）提供的安全性增强的环境，能够保护数据，并防御Rich操作系统中的不安全应用程序。可信执行环境（TEE）提供的额外的安全性，既可满足服务供应商的需求，又能为终端用户提供简单易用操作的解决方案。

可信执行环境（TEE）可适用于任何需要对用户身份进行验证的情况，譬如，手机解锁或使用移动银行或移动钱包等敏感应用程序。

3、 企业

在今天的网络世界，黑客分子愈发猖獗，不断试图有组织地盗取企业或国家的在线资产。现在，日益流行的企业员工自带设备办公（BYOD）无疑大大增加了企业的安全风险。

由于越来越多的员工将自己的移动设备用于工作之中，员工可随时随地进入公司网络。虽然这提高了公司的生产力，但公司数据却受到潜在的安全威胁，其威胁程度因设备的安全级别而异。在企业竭力保护数据的同时，数据安全却成为摆在企业面前真实严峻的难题。

企业可通过可信执行环境（TEE），在移动设备上安全存储机密信息和专有资料。可信执行环境（TEE）可在一定程度上防御来自Rich操作系统的软件攻击。更重要的是，通过将企业敏感性“可信”应用程序同Rich操作系统隔离开来，并存储和保护此类应用，可信执行环境（TEE）还可协助控制此类应用的访问权限。可信执行环境（TEE）高级别的功能性及安全性可以确保企业员工按照安全可信的方式使用其移动设备。

合规性计划的妙用

通过上述使用案例，我们可发现：为满足终端用户的具体需求，不同的市场对移动可联网设备拥有不同的功能需求。为了确保应用程序内嵌的安全芯片技术具有长期的可互操作性，全球平台组织（GlobalPlatform）已经推出了一个开放式的、评估性彻底的合规性计划，允许利益攸关方遵照其制定的可信执行环境（TEE）的有关标准，评估TEE产品的功能特性。

除此之外，全球平台组织（GlobalPlatform）的Protection Profile在2015年2月通过了《通用标准》的官方认证。这意味着，产品供应商现在可以对其可信执行环境（TEE）产品进行正式的安全评估，即通过委托相关认证机构认证的实验室对其进行认证，证明其满足了文件载明的安全需求。

同时，全球平台组织（GlobalPlatform）计划今年还将建立可信执行环境（TEE）安全认证秘书处，并对外宣告成立全球平台组织安全认证实验室（GlobalPlatform Security Accredited Laboratories）。

通过建立广受认可的行业框架并对相关产品进行认证，全球平台组织（GlobalPlatform）的TEE Specification Suite和 Protection Profile能给可联网设备市场注入强大的信心。通过降低互通性方面的壁垒，全球平台组织（GlobalPlatform）可降低诸如应用程序开发商、硬件生产商、软件开发商等业内企业的运营成本。最重要的是，合规性计划也给价值链上下的合作各方提供了通用框架。这将增大商机，为整个行业建立一个全面的基准。

在哪里可以获取更多关于可信执行环境（TEE）的信息？

全球平台组织（GlobalPlatform）在其官网（GlobalPlatform.org）及YouTube（GlobalPlatformTV on YouTube）上提供了大量在线信息。此外，为了更好地同业内人士开展沟通交流，帮助其了解可信执行环境（TEE）的价值，全球平台组织（GlobalPlatform）每年举办一次行业峰会，旨在同业内人士共同关注日新月异的TEE产业。应市场需求，全球平台组织（GlobalPlatform）将于2015年首次在中国上海举办业内独家可信执行环境（TEE）峰会，届时将展示可联网设备在安全领域的最新技术成就，并揭示可联网设备在亚洲遇到的风险之迅猛发展趋势。

请访问全球平台组织（GlobalPlatform）的官网www.globalplatform.org，以了解更多关于可信执行环境（TEE）及本次峰会的信息。