《03-双 TEE 隔离系统在手机数据安全的实践和产品化-殷高生.pdf》由会员分享,可在线阅读,更多相关《03-双 TEE 隔离系统在手机数据安全的实践和产品化-殷高生.pdf(34页珍藏版)》请在三个皮匠报告上搜索。
1、双TEE隔离系统在手机数据安全的实践和产品化荣耀安全 /殷高生 双 TEE 独特系统的知易行难 独特技术到场景的实战项目分享 实战项目一:手机防丢失,防破解 实战项目二:把银行U盾业务装进手机,双TEE系统安全服务能力开放技术 产品 业务&开放32003200余亿元余亿元2021年国家反诈中心紧急止付涉诈资金诈骗案发仍居高位群众财产损失风险巨大*数据来源:国家反诈中心疫情影响用户生活远程柜台月活增长6.656.65亿用户亿用户2022年Q2,手机银行活跃用户规模*数据来源:易观分析*数据来源:永安在线黑产规模依然庞大严重影响消费愉悦感5 5起起/每天每天2021年平均每天发生营销活动黑灰产攻击
2、事件数字生活时代科技与智能给用户带来更多惊喜和便利同时也在隐私安全上面临巨大挑战移动互联网移动互联网黑灰产时代黑灰产时代2.02.0移动互联网移动互联网黑灰产时代黑灰产时代1.01.0移动互联网移动互联网病毒时代病毒时代互联网互联网PCPC病毒时代病毒时代移动安全攻防演进趋势:移动威胁黑转灰,即病毒转流氓化1.02.03.04.0 移动时代到来,带来第第一次迁移一次迁移 终端、安全行业联合治理收效显著 移动互联网产业爆发+B端安全防护缺失,带来第第二次迁移二次迁移 黑灰产完成业务能力升级,C端安全滞后 B端安全防护上升,薅羊毛成本上升,带来第第三次迁移三次迁移技术人员能力成型产业链初具规模初具
3、规模攻击者开始具备业务视角,完成战术升级战术升级分工开始多维、细化,技术威技术威胁升级到业务威胁胁升级到业务威胁,作恶边界更加模糊,应用流氓化(2010-2017)(2010)(2016-至今)(2018-至今)寻找一种沙箱技术,可以把贵重的资料单独存储和使用起来沙箱KernelAPPAPP移动办公APP应用级隔离 VPN 邮件 远程管理 To B 模式 MDM定制 缺少系统被破坏的响应To C怎么快速开发、部署?MDM API个人系统寻找一种虚拟化技术,可以把贵重的资料单独存储和使用起来工作系统KernelAPPAPP移动办公APP容器隔离双系统 To B 模式 双系统切换慢 共享内存、共享
4、计算资源 定制Kernel虚拟化层Type-II virtualization个人系统工作系统Kernel-1APPAPP移动办公APP硬件级隔离双系统(Bare Metal)To B 模式 双系统调度复杂 需要定制Kernel和Hypervisor 与芯片深度耦合,怎么快速迭代?Hypervisor 切换调度层Type-I virtualizationKernel-2CPU内存驱动寻找一种隔离的可信环境的平台,开发者开发安全应用,保护IP和用户数据减少业务激活成本、减少业务激活成本、获取潜在用户获取潜在用户钱包、卡包移动支付电子证件电子印章指纹/人脸支付保护商业秘密保护商业秘密APP防破解、
5、防盗版减少风险损失减少风险损失防盗刷防薅羊毛游戏防外挂防黄牛刷票普通系统可信执行环境KernelAPPAPP办公APPSOC:系统切换FirmwareKernel银行APP支付APP人脸指纹加密引擎DRMAPP安全键盘安全计时TEE的缘起:基于SOC的硬件隔离的可信执行环境 TEE(Trusted Execution Environment)REE(Rich Execution EnvironmentTEE 旨在与 REE 并存,并提供设备的安全区域以保护资产和执行可信代码ARM Trust Zone ARM Trust Zone 技术技术 基于 Cortex-A应用处理器 端点安全和移动终端
6、的可信根TEE对开发者的挑战:功能需要更丰富,需要权威认证,需要更短的TTM SOC embedded TEE挑战:挑战:1.无国密认证、行业门槛2.缺乏开发者服务3.缺乏可信APP的生命周期管理TTM 双双TEE的技术挑战:的技术挑战:1.需要自研TEE2.Hypervisor开发3.TEE-TEE交互4.TEE-安全芯片交付5.安全态势感知6.开发者环境和服务7.TA生命周期管理Android普通执行环境HTEE可信执行环境芯片厂商TEE执行环境普通应用安全应用安全应用Android服务框架HTEE服务框架TEE服务框架Linux内核HTEE OS微内核TEE OS 内核 Hypervis
7、or Firmware Trust Zone Firmware SOC及硬件小结:双TEE可信环境,可以把用户贵重的资料单独存储和使用起来双系统containerSandbox双系统Bare metalKernelHypervisorKernelTEETrust ZoneHypervisor多TEETrust Zone两锁一芯:业内首创双TEE+安全芯片架构,保障用户数据安全密文密文密文密文密文密文解密解密(AES(AES算法算法)QTEEQTEEFrom SOCHTEE HTEE SoCSoC芯片密钥芯片密钥安全启动安全启动123456789安全存储芯片安全存储芯片安全芯片安全芯片CC EA
8、L 5+CC EAL 5+抗物理攻击抗物理攻击硬件隔离硬件隔离用户口令用户口令+双双TEETEE加加密,三重防护密,三重防护密文密文密文密文明文明文用户口令FIDO认证:线上快速身份验证联盟移动金融技术服务认证可信应用MagicOSMagicOSHTEE-荣耀可信执行环境:高扩展、安全、稳定可靠HTEE可信安全架构MagicOS HTEE安全能力踩过的坑:峰值内存REECA应用CA APIHTEETA应用HTEE服务框架存储框架时钟框架密钥框架TUI框架Linux内核Trust Zone驱动HTEE 微内核驱动框架ARM Trusted FirmwareEL0EL3 硬件层存储显示触摸屏Tim
9、ereSEHTEE可信计算可信显示可信输入可信时钟可信权限可信存储可信显示 和可信输入(TUI)HTEE 7大安全能力(part-2)可信存储踩过的坑:生僻字TUI图层TA 1TA 2安全存储 APIAES256完整性校验设备绑定TA间隔离TA 1DataTA 2Data安全存储分区身份认证为例:机主可信、设备可信、交易可信机主攻击者可信设备陌生设备登录/交易认证云服务设备MagicOS安全区安全存储芯片Android锁屏钱包APP身份认证 KIT身份认证服务HTEE 可信环境生物识别 TA模板数据库HTEE Framework安全驱动指纹器件安全Camera身份认证Kit能力开放,应用可使用
10、荣耀设备的生物识别能力,为用户提供安心、方便的业务体验本机身份认证为例:技术架构保障用户生物特征数据不出安全区支付安全、手机被盗后数据和账户安全是用户关注隐私安全TOP问题19%20%21%25%31%40%44%63%手机借给他人或儿童使用时的权限管理手机使用时防止周边人窥探防电话/网络诈骗通话被监听接入公共Wi-Fi时的手机数据安全手机被盗后的数据及账户安全个人数据被app偷窥或使用支付安全(手机支付时的安全性)用户关注的隐私安全问题(n=1600)12 实战项目一实战项目一:手机防丢失,防破解 实战项目二实战项目二:把银行U盾业务装进手机,双TEE系统安全服务能力开放实战项目一:手机防丢
11、解决方案手机丢失用户旅程分析手机丢失手机丢失(失主)(失主)手机在线定位播放铃声丢失模式擦除数据使用另一台荣耀手机的查找设备进行找回使用电脑登录荣耀网站找回使用其他手机浏览器登录荣耀网站找回查找功能查找功能开开启搜网址,忘记/找回密码,登录远程SIM卡加锁开始查找查找设备APP登录自己荣耀账号手机离线上线通知最近一次位置(GPS+基站定位)留言留电话消息隐藏来电隐藏数据锁定远程打开移动数据电量耗尽飞行模式SIM卡在位关机拔出SIM卡不输入锁屏密码电话呼入看不见联系人信息暴力破解锁屏密码手机丢失手机丢失(捡拾者)(捡拾者)SIM卡插到别的手机SIM卡不可用看到留言电话回拨关机失败电量耗尽SIM卡
12、可用看不见消息内容新消息刷机恢复出厂激活锁标识不可清除要求验证荣耀账号密码找回手机丢失可能给用户带来严重的隐私泄露手机丢失手机丢失 数据不丢失数据不丢失远程可定位身份不被仿冒手机不被倒卖来电隐藏 消息隐藏远程锁定SIM卡,保护账号安全防诈骗防盗卡*锁屏时不可强制关机远程开通移动流量防关机防离线防盗标识不可篡改防刷机登登 录录遇到问题激活设备激活设备此设备已关联至荣耀账号(0086186*22)并被锁定,请输入该账号的密码激活设备。请输入密码激活激活忘记密码申诉激活防刷机方案:防盗标识存储在安全芯片,防盗检测服务检测异常TEETEE防盗标识防盗TA激活设备激活设备此设备已关联至荣耀账号(0086
13、186*22)并被锁定,请输入该账号的密码激活设备。请输入密码激活激活忘记密码申诉激活实战项目二:把银行U盾业务装进手机,双TEE系统安全服务能力开放挑战:支付业务在移动化转型时,受限手机的安全能力,不得不采用其他的方案来实施安全性的保障需要投入运营资源和硬件成本业务线下化办理,服务效率低复杂转账体验,易造成高净值用户流失需要去柜台办理转账体验不方便经常找不到,定期去柜台更换开通转账更换以银行硬件盾为例:金融安全支付认证解决方案,助力传统金融业务线上转型应用场景应用场景身份核实电子银行转账电子合约电子印章.终端金融安全支付认证解决方案QTEEQTEEHTEEHTEECC EAL 5+CC EA
14、L 5+HTEEHTEE金融认证金融认证独立安全芯片独立安全芯片eSEeSE芯片芯片面向金融支付业务场景,开放可信计算、可信UI和可信存储能力:保护用户金融资产的存储与支付安全助力传统金融业务吸引更多高净值用户业务逻辑不被劫持、篡改HTEE可信计算核心交互界面不被录屏、截屏HTEE可信UI证书、密钥HTEE可信存储金融安全支付认证解决方案:架构和应用场景AndroidAndroidHTEEHTEECA开发TA开发可信计算可信显示可信显示eSE芯片开发者服务平台开发者服务平台KIT权限开通SDK接入银行银行/支付支付APPAPPHTEE KitAPPAPP开发者开发者大额转账移动支付电子身份证版
15、权保护 三方APP集成 HTEE SDK三方App密钥、核心业务流程,关键数据可信计算申请HTEE Kit权限端侧端侧云侧云侧手机盾业务开通AndroidAndroidHTEEHTEELinuxEnvHTEE-DriverAndroidRuntimeEnvTSM AgentHTEE Micro-kernel银行数据中心银行 SP TSM银行TA其它TA银行APP SSDeSEeSE银行Applet指纹TA其它业务银行部署荣耀HTEE开放接口HTEE Framework ServiceSE DriverSPI/I2C Driver会话会话管理管理HTEE Client APITEE Intern
16、al API身份身份鉴权鉴权TATA加载加载可信可信计算计算可信可信输入输入可信可信显示显示可信可信存储存储金融安全支付认证解决方案:技术架构HTEEHTEE可信计算可信显示可信输入可信时钟可信权限可信存储金融安全支付认证解决方案:HTEE Kit能力和APITUITUI APIAPI说明说明TEE_TUICheckTextFormat检查文字是否可以显示TEE_TUIGetScreenInfo获取屏幕信息TEE_TUIInitSessionTA申请独占访问TUI资源,包括屏幕、键盘TEE_TUICloseSession释放TA占据的TUI资源、屏幕和键盘TEE_TUIDisplayScree
17、n显示TA发送的图片和文字扩展接口例如HTEE二维码扩展接口可信存储可信存储 APIAPI说明说明TEE_CreatePersistentObject创建一个persistent object,同时写入初始化数据流(initialData)和属性(attributes)TEE_CloseAndDeletePersistentObject关闭并且删除object,该object打开时flags必须置位TEE_DATA_FLAG_ACCESS_WRITE_METATEE_RenamePersistentObjectobject重命名TEE_ReadObjectData从object读取size字节
18、数据,放到buffer指针指定的buffer,操作完成后将实际读取值写到countTEE_WriteObjectData从buffer中写入size字节的数据到object的data streamTEE_TruncateObjectData改变data stream大小TEE_SeekObjectData设置object handle的数据位置HTEEHTEE可信计算可信显示可信输入可信时钟可信权限可信存储Take Away:更多解决方案助力行业更安全便捷保护伙伴应用及数据的保密性、完整性1弱网/无网支付无忧2精准识别端侧诈骗APP343D人脸识别,金融级支付认证5薅羊毛/刷单等营销活动欺诈检
19、测Take Away:在双TEE环境中,开发你的可信应用服务场景能力开放登录支付2D/3D人脸识别认证身份认证 Identity Kit安全存储加解密/签名TUIeSE 金融、支付认证、签名可信计算 HTEE Kit模拟触屏检测设备健康检测前序欺诈应用检测业务风控虚假拉新薅羊毛诈骗风险检测 Risk Detect Kit安全存储身份认证 Kit 3D/2D人脸识别服务HTEE+QTEEHTEE+QTEE安全芯片安全芯片支付/金融类APP 图像安全采集人脸识别TA人脸算法2D/3D活体检测特征提取特征比对类别类别人脸识别人脸识别 APIAPI说明说明人脸人脸识别识别能力能力FaceRecogni
20、tion类中getFaceRecognition获得实例FaceRecognition类中getFaceRecognitionCapability获得人脸识别的能力:是否支持、是否2D/3D人脸识别FaceRecognition类中hasEnrolledTemplates判断是否已经录入人脸信息FaceRecognition类中authenticate进行人脸识别,获得认证结果Take Away:便捷身份认证Kit能力及API开发者的威胁感知平台风险检测服务Kit应用行为应用行为分析建模平台(大数据/机器学习/专家分析)配置平台关联启动/自启动行为隐匿行为后台弹窗监听大量系统事件行敏感数据过度
21、访问行为应用异常行为识别引擎应用行为特征采集风险分级管控识别规则/模型管控策略下发Take Away:营销反欺诈Kit能力及API类类别别风险检测风险检测KitKit APIAPI说明说明设设备备健健康康检检测测RiskAppDetect类中getDetectResult获得设备健康检测结果:(0:设备安全;1:设备风险)模模拟拟触触屏屏检检测测TouchDetect类中startDetect开启模拟触屏检测能力TouchDetect类中getDetectResult获得模拟触屏检测结果:0100(分值越高,模拟触屏风险越高)TouchDetect类中stopDetect关闭模拟触屏检测能力M
22、agicOS开发部署流程MagicOS开发者指南和服务Take away:解决方案开发者服务 一站式开发部署 基于商用版本,可本地编译、打包、签名 一站式开发 跨芯片平台部署 开发流程安全可靠 Debug版本开发者签名,快速迭代开发 Release版本荣耀管控,保证生态安全SDK DEMO&参考设计手册&文档白皮书&Wiki调试证书支持快速开发Take away:MagicOS安全解决方案接入指南Step 1注册荣耀企业开发者帐号注册荣耀企业开发者帐号在荣耀开发者平台注册荣耀企业开发者帐号:荣耀开发者帐号注册-实名认证正式发布正式发布通过荣耀服务器正式签名,随APK发布申请申请HTEE kitHTEE kit权限权限申请HTEE kit和特性相关权限Step 2本地调试本地调试通过SDK自动获取开发者证书进行签名调试Step 3Step 4一键编译打包TA