筑起移动安全的“护城河”，详解华为inSE方案

肆虐全球的勒索软件“WannaCry”，短短四天便从伊比利亚半岛扩散至100多个国家和地区，全球攻击案例超过75000个，让全球的电脑用户者惶恐不安。苹果先后升级了针对个人电脑和智能手机的操作系统，紧急推出iOS 10.3.2以及macOS 10.12.5新版本，提供了23个安全补丁。这足以点醒我们，智能手机没有受到的袭击，不是不能，只是没作为攻击目标。

动动手指便可轻松付款，在中国这种前所未有的便捷性使得移动支付快速普及，愈发受到全球产业界的关注。据中国人民银行报告显示，2016年中国移动支付快速增长，移动支付业务257.1亿笔，金额达157.55万亿元，同比分别增长85.82%和45.59%。当越来越多用户习惯于移动支付的习惯时，手机支付病毒将更加有机可乘。

也许，你会说安全意识谁都有，我们会保护银行卡密码，手机短信验证码，只是针对互联网安全尤其是移动互联网安全，我们知之甚少。从智能手机的开机密码，到微信、支付宝、银行客户端等带有支付功能的APP软件，更包括手机中存储的个人信息及资料，都面临着裸奔的状态，而我们知道的手机管家只能通过特征码识别，基本属于后发制人的方式，对于新型的网络袭击根本无法提供隔离防护。

为了解决这一问题，手机厂商纷纷推出加强手机安全性的智能终端。酷派从安卓安全双系统的角度出发，实现OS 系统级的隔离；360手机主打“安全”概念，通过加入安全芯片的方式以实现软硬件结合的全方位安全防护；金立更推出内置安全芯片的手机 M6和 M6 Plus，杜绝将芯片移植到其他手机破解的可能性。..。..然而，华为是目前笔者看到做得最早、最深入，也是最领先的一家手机厂商。

早在三年前，华为推出安卓首款指纹识别手机华为Mate 7时，便开始重新审视智能手机上需要面对的安全问题。在不断提高手机SoC芯片集成度的过程中，对安全的认识逐步加深。与软件安全方案不同的是，华为选择从芯片出发，直接深入到数据的源端，实现极佳的防物理攻击能力。不仅如此，华为还通过创新的inSE方案，再次提高产品的安全性，兼具性能与多业务扩展能力的优势，为移动安全筑起一条“护城河”。

笔者探访多个产业界人士，试图挖掘和探寻华为安全方案的起源、发展过程、挑战以及未来趋势。

华为一步完成到inSE级安全方案的飞跃

简而言之，传统eSE方案已无法满足迅速发展的智能手机的安全需求及新业务需求。

一直以来，在安全芯片领域中，主流玩家是称霸多年的NXP、英飞凌、ST 等传统的安全芯片公司，他们在实现独立安全芯片的产品上，确实是走在世界前沿。然而，面对现阶段的智能手机市场，消费者的需求发生了明显变化，不是简单通过增加传统 eSE 芯片来解决问题，而是需要深刻洞察智能手机的安全业务需求，设计出真正符合智能手机的安全芯片解决方案。

从业务开发模式来看，以eSE为代表的传统安全方案是一个封闭链条，从最初的市场需求到应用业务方，到终端手机厂商，再由手机芯片公司和安全芯片公司逐一开发，对市场创新的响应速度比较慢，多层级的任务转换未必能解决消费者的真正需求。因为这中间需要经过多个环节的联动开发，在落地创新业务中非常困难。

从单独安全芯片的传统思维模式，向移动手机的方向来思考，如何对接消费者业务，保障安全性，这是一个全新的话题，对于任何厂商来说都是有难度的。华为走到了这个路口上，逼迫他们必须用创新的技术解决方案来满足市场的需求。虽然在这个业内多年封闭的产业里，产品研发历经层层阻碍，但华为拥有着从芯片到终端的技术创新能力，真正理解消费者和客户的真实需求，相信迟早有一天，产业能够看到安全的价值。

其实，华为创新的选用inSE方案的形式，是充分考虑了智能手机的开放性、多安全应用业务的灵活性等。

众所周知，本地处理、加密处理和防篡改的可信任根是实现安全的三大要素。首先，我们知道用户信息必须在本地处理，不能存放在不安全的地方。其次，不能存储以指纹识别为代表的生物识别的原始信息，同时这一信息必须是不可逆的，最好是经过加密手段之后的信息对比，这样才会更安全。最后，一旦涉及到远程对比，就会有链路安全的问题出现，我们需要在手机上实现防篡改的可信任的根，在这可信任的根基础上构建信任链，让用户和应用服务公司信任手机。

安全是一个系统安全上面的概念，在这其中inSE方案起到两个重要作用。第一，与手机SoC主芯片在一起，减少外部芯片间的物理连线，避免外置eSE芯片有可能被暴力破解或者更换的机会，PoP的封装模式让你无法进入芯片内部中去获取信息。第二，华为从芯片角度提供最底层的能力，从芯片底层进行物理隔离，同时保证足够的性能与存储空间。

当然，将eSE集成到主芯片中带来的好处非常明显。在实现过程中我们发现，从性能上来看，一般先进工艺技术都是率先在主芯片上实现的，960 inSE芯片工艺领先传统工艺好几代，其计算性能和功耗表现是传统方式的4倍以上，这样inSE能够支持满足消费者实际需求的多安全应用，而不是有限的几个应用。

除了底层硬件、存储功能之外，在操作系统部分，华为拥有自己的安全操作系统（Security OS），这样使得华为能够通过自己对消费者的使用业务需求的理解，快速而高效得开发出满足消费者刚需的安全应用业务，保护消费者的利益。

据集微网了解，在最初确定做inSE方案时，华为对业务需求的考虑非常全面，如何支持多业务能力，保证足够的容量，场景支持，金融及个人信息等所有安全流程相关的内容统统考虑在内。

目前，搭载华为inSE方案的手机可以支持银联卡、公交卡、e-SIM等多种方式。面向消费者的多客户应用需求，对传统方案的性能提出极大要求，即便调整存储空间也会有芯片面积的增加，业务扩张的速度相对受限，而这对于华为来说在芯片层面的增加资源基本是看不见的。

直面挑战，华为全力攻坚成功实现inSE

华为在实现inSE安全解决方案的过程中，从技术实现和业务驱动两个层面上遇到了巨大挑战。首先，在基础SoC技术的实现方面，要做到的安全，算法层面是需要克服的第一难题。这部分的挑战非常大，华为开发团队用三年时间全力攻坚，最终实现支持 CRT-RSA、RSA、DES/3DES、AES 多种加解密算法，并实现防攻击能力，实现安全信息加密存储和安全通信。

其次，在业务模式的驱动方面，一直以来都是由Apple和NXP联合推动的。NXP无法实现或者不愿意实现的功能，苹果尽管拥有在芯片和封闭的操作系统的能力，仍无法牵引行业开展更多安全方面的应用。华为从跟随苹果的安全解决方案，到自我创新引导整个安全行业的发展，与银行、互联网金融机构联合起来，共同制定智能手机安全规范，从跟随者到创新领导者，如何做决策，在心态上的转变过程中相当痛苦。

产业伙伴携手，推动安全产业升级

2015年至今，央行针对个人信息和银行卡安全陆续推出一系列通知和管理办法，要求设备提升安全解决方案，以抵御移动金融业务的风险，其中硬件数字证书和移动终端可信执行环境是保障移动金融业务安全的关键解决方案。华为麒麟960率先获得央行和银联双重安全认证，达到金融级安全标准。这意味着，搭载麒麟960的手机具有和银联 IC卡/U盾相同的安全等级，满足央行的规范要求，以保证移动金融业务的安全开展。

庆幸的是，不止有华为一家在安全应用上做努力。业内有消息指出，高通骁龙835在 SoC中新增一个SPU模块，用来提升整个手机SoC的安全性，尽管目前高通SPU方案还未实现商用，但是同样朝着华为的路在努力。另外，苹果和三星为了匹配移动支付、eSIM和Pay等创新业务需求，通过配置一到两颗 eSE芯片实现，尽管这一方案对手机ID、电路板空间及电池容量带来一定的影响，但确实能够明显提升手机的安全性。

笔者认为，对华为来说，只有更多的玩家进来才有可能实现整个安全生态的升级，对消费者来说是一件好事，只有产业界共同努力才能保护消费者的手机安全。除了数据安全保障外，消费者对移动支付、公交卡、e-SIM卡、身份ID和语音通话的安全需求日渐增多，面临这一巨大需求，只有整个行业共同努力才能让消费者获得安全、便捷、高效的金融服务。

如上可见，华为提供了一个基础能力，能力是基石，最终的安全性是通过这些业务来实现的，其目的是为了建立一个可信任的解决方案，实现可信任的互联网，开展可信任的业务服务。

“华为inSE方案的目标是提供给一个更安全的方案和保护机制，让消费者能够放心使用设备，这是我们推出华为inSE方案的基础。”据华为内部人士透露，“今年底旗舰机上市时，针对安全领域，华为将面向金融行业推出全新业务，保障互联网金融安全。”