1. 概述

移动智能终端在高安全、大额度的交易应用需求中，必须采用数字签名、加密等措施，保护交易的安全性。一般性应用中，最低应该采用密码模块（提供数字签名、加密等功能）方式，目前密码模块遵循的主要标准是《密码模块技术要求》和《密码模块检测要求》，这两个标准是为硬件密码模块（加密卡、USBKEY）量身打造的。

2. 需求分析

移动互联网发展越来越快，人们对于手机软件的认知和使用已经成熟，越来越多的人每天都在过着以手机为中心的生活，智能手机早已取代电脑，成为人们日常使用频率最高的产品。

在移动端，蓝牙盾、音频盾等硬件密码模块能够为用户交易提供安全保护，但是也存在携带不方便的问题。基于手机TEE和SE的移动终端密码解决方案-手机盾产品采用国产密码算法，在移动智能终端上利用TEE和SE进行“空中下证”，部署环境，完成移动互联网安全认证，而且携带方便、安装快捷、使用简单。可应用于金融交易、电子商务、电子政务、企业信息化、网游、网上报税、网上招投标等领域。

3. 设计方案

移动终端密码解决方案-手机盾产品由运行在开放操作系统（Android）中的客户端SDK与运行在可信执行环境（TEE）中的可信应用（TA）、安全芯片（SE）中Applet和后台系统组成。如下图所示：

图 3 1 架构图

客户端应用（Client App）

客户端应用运行在开放操作系统Android上，通过调用密码模块的客户端SDK提供的APDU API，向密码模块发送GM/T 0017―2012《智能密码钥匙密码应用接口数据格式规范》中规定的命令APDU和接收响应APDU，以执行核准的密码功能。

客户端SDK

客户端SDK运行在开放操作系统Android上，通过调用GP TEE规范中的TEE Client API与TEE环境中的TA进行指令和数据交互。

可信执行环境（TEE）

TEE是驻留在移动智能终端的主处理器上的安全区域，提供与设备上的Rich OS（例如Android）并存的运行环境，并且向Rich OS提供例如敏感数据的安全存储、核准的密码算法、可信用户界面等安全服务。TEE为TA（Trusted Application可信应用）提供了安全执行环境：它同时提供保密性和数据完整性保护，对TA访问资源和数据提供访问权限控制，隔离多个TA之间的运行环境和敏感数据。为保证TEE有可信的信任根，在安全启动过程中，TEE首先被鉴权，然后从Rich OS中隔离出来。

可信应用（TA）

密码模块TA运行在TEE可信执行环境中，TA通过GP TEE规范中的TEE Internal API来获取安全资源和安全服务的访问权限。TA接收来自客户端应用的命令APDU，并按照GM/T 0017―2012中规定的APDU功能执行核准的密码功能，并返回响应APDU。

安全芯片（SE）

TA涉及密钥相关功能均在SE中实现，主要功能模块包括指令处理模块、角色鉴别模块、安全存储模块、随机数生成模块和国密算法模块。

后台服务

后台系统实现对安全芯片中应用进行管理，提供计费及计费统计功能，可以对系统运行情况进行记录、统计，并可以实现可视化运维。

4. 方案特色

采用国密算法

实现了SM2 非对称密码算法，SM3 密码杂凑算法，SM4对称密码算法。

遵循国密规范标准接口

在移动智能终端上实现了GM/T 0016―2012《智能密码钥匙密码应用接口规范》、GM/T 0017―2012《智能密码钥匙密码应用接口数据格式规范》。

TEE TA保证用户输入输出信息安全

TEE为TA（Trusted Application可信应用）提供了安全执行环境：它同时提供保密性和数据完整性保护，对TA访问资源和数据提供访问权限控制，隔离多个TA之间的运行环境和敏感数据。为保证TEE有可信的信任根，在安全启动过程中，TEE首先被鉴权，然后从Rich OS中隔离出来。

SE存储和管理密钥和敏感信息

在SE中部署Applet应用，实现密钥生命周期管理，包括密钥的产生、使用以及销毁，同时，可以对敏感数据进行存储。

降低成本

用户手机为认证载体，降低客户成本，空中制证，减少客户工作量，减少用户排队时间成本和交通成本。

5. 相关产品

手机盾WatchKeyOCL_MTS:应用于金融领域

警务通手机盾：应用于公安领域

性能参数：

6. 应用案例

金融：

建设银行手机盾项目

中国银行手机盾项目

政企：

新疆公安厅警务通空中下证项目

江西公安厅警务通空中下证项目

公安一所警务通空中下证项目

公安三所警务通空中下证项目

                                                   北京握奇智能科技有限公司

                                                    联系人：鲁洪成

                                                    电  话：18001226283

                                                            010-64722288