山西人行推動“TEE+SE”手機盾普及開啟移動金融新時代

近日，從媒體獲悉，2018年9月20號，“山西省銀行業(yè)金融機構(gòu)大數(shù)據(jù)應用與移動支付新技術應用交流會”于太原召開，會議由人民銀行太原中支科技處組織，科技處有關負責人對山西省“手機盾”科技創(chuàng)新項目進行了簡要介紹，全省人民銀行科技人員、銀行業(yè)金融機構(gòu)科技和電子銀行部門負責人及中國銀聯(lián)山西分公司等近百余人參加，圍繞移動金融創(chuàng)新應用—“手機盾”展開經(jīng)驗推廣和交流。

此次“山西省手機盾移動金融創(chuàng)新應用”項目是由人民銀行太原中心支行發(fā)起，商業(yè)銀行晉商銀行和晉城銀行，手機廠商華為技術有限公司，移動安全方案商北京揚帆偉業(yè)安全科技有限公司共同合作完成。采用以“TEE+SE”為核心技術，通過手機盾應用服務實現(xiàn)對移動金融交易的可靠電子簽名，來提升移動端金融安全。該項目的基礎環(huán)境，華為TEE+SE于2017年即通過中金國盛認證和銀行卡檢測中心檢測，其TEE—iTrustee更是國內(nèi)首家獲得CC EAL2+安全認證(TEE目前能獲得的最頂級安全認證)。平臺方揚帆偉業(yè)提供的手機盾平臺遵循人民銀行《移動終端支付可信環(huán)境技術規(guī)范》，具備《條碼支付安全技術規(guī)范》A級風險防范能力，并通過了中金國盛、銀行卡檢測中心、中國信息安全測評中心、中國人民解放軍信息安全測評認證中心的檢測認證。項目的成功說明已經(jīng)打通了完整的產(chǎn)業(yè)鏈，并形成了一整套移動終端新的安全管理體系。

山西人行開始對手機盾應用經(jīng)驗的全面推廣，是在人民銀行發(fā)布146號文件，開展安全風險大排查的背景下進行的。基于”TEE+SE”的手機盾在手機銀行上的應用，應該說是對移動金融安全的一次全面提升，構(gòu)建的TEE+SE安全環(huán)境完全向金融機構(gòu)開放，SE的控制權也由商業(yè)銀行完全掌控，保證了銀行存儲在SE中數(shù)據(jù)的不會被第三方獲得，大大提升了銀行對用戶隱私信息的保護。移動金融安全性的全面提升是金融業(yè)務在PC時代的終結(jié)，人們真正跨入了移動終端時代。

近年來，金融安全形勢較為嚴峻，軟件木馬、詐騙短信、詐騙電話、釣魚網(wǎng)站，都嚴重地威脅著老百姓的資金安全。尤其2016年8月21日，因被詐騙電話騙走上大學的費用9900元的山東學生徐玉玉，最終導致心臟驟停，不幸離世。引起了社會對于金融安全的高度關注。

在PC時代，為了保證電子銀行用戶的資金安全，人民銀行頒布的《網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范》成為網(wǎng)上銀行風險控制，安全管理的指導性文件。并在全國幾千家商業(yè)銀行共同努力下，從安全教育，用戶使用，系統(tǒng)建設，構(gòu)建起了以USBkey為核心的一整套安全防御體系，大大地降低了用戶在網(wǎng)上進行資金交易的風險。然而近10年過去了，時代已經(jīng)發(fā)生了巨大的變化，老百姓手機不離身，以前只能在電腦上開展的業(yè)務，現(xiàn)在全部轉(zhuǎn)移到手機端。為了防控風險，人民銀行先后發(fā)布文件，對銀行業(yè)的風險防范從業(yè)務和技術上都進行指導，如《關于加強支付結(jié)算管理防范電信網(wǎng)絡新型違法犯罪有關事項的通知》、《關于進一步加強銀行卡風險管理的通知》等。由于商業(yè)銀行在移動端還沒有構(gòu)建起一整套的方便、快捷的高安全的風險防控體系，大額交易還只能在PC端通過USBkey進行。大大限制了移動金融業(yè)務的發(fā)展。

2016年12月，央行科技司李偉司長在出席反電信網(wǎng)絡詐騙聯(lián)合大會上提出“打造可信手機支付執(zhí)行環(huán)境。針對手機木馬病毒、虛假短信、偽基站等欺詐手段，鼓勵手機廠商綜合運用SE-TEE等新技術，提供硬件級的安全保護。提升支付敏感信息防護能力和支付交易的安全強度。商業(yè)銀行、非銀行支付機構(gòu)要從木馬病毒防范、信息加密保護、運行環(huán)境監(jiān)測等方面提升客戶端軟件的安全防控能力，定期開展外部安全評估，確保其符合國家及金融行業(yè)標準。設置客戶端軟件可信標識，并通過多種渠道告知客戶正確的識別和訪問方法，有效防范釣魚欺詐。”之后的2017年，華為MATE10發(fā)布，并公布了基于“TEE+SE”的手機盾安全方案，開始應用于商業(yè)銀行大額交易。據(jù)悉，采用了手機盾方案后，建設銀行和徽商銀行同步上線手機大額轉(zhuǎn)賬業(yè)務，建設銀行將用戶交易額度提升至500萬元。應該說這是一次移動安全的革命，將以前只能在PC端開展的大額轉(zhuǎn)賬業(yè)務移植到了手機端。2017年底人民銀行頒布《移動終端可信執(zhí)行環(huán)境技術規(guī)范》將移動終端安全進行分級定義，規(guī)范的頒布首次從安全的角度系統(tǒng)性的對移動終端安全體系進行劃分。從政策層面為金融機構(gòu)開展移動支付業(yè)務的風險防范提供了參考。

從時間上來看，2018年初，山西省人民銀行開展的“山西省手機盾移動金融創(chuàng)新應用”應該是依據(jù)《移動終端可信執(zhí)行環(huán)境技術規(guī)范》進行應用的一次嘗試。是從規(guī)范執(zhí)行、檢測認證體系的建立和在手機銀行開展大額交易的安全應用的一次系統(tǒng)性規(guī)劃。此次試點的成功開展，應該說對于全國金融行業(yè)構(gòu)建起以“TEE+SE”為核心的移動終端安全體系有著重大的示范意義。為“TEE+SE”的手機盾技術在全國的推廣鋪平了道路。如果該安全體系在全國普及，那么人民銀行科技司李偉司長在2016年12月份的“打造可信手機支付執(zhí)行環(huán)境”安全體系的構(gòu)想將開始變成現(xiàn)實。那么下一步就是如何解決“設置客戶端軟件可信標識，并通過多種渠道告知客戶正確的識別和訪問方法，有效防范釣魚欺詐。”的問題。

由于可信標識的缺失，老百姓目前還無法對手機終端的安全性沒有直觀的認識，筆者通過調(diào)研發(fā)現(xiàn)，自從華為發(fā)布基于“TEE+SE”手機盾安全方案以來，市場上很多采用純軟件方式提供的安全方案，也打著“手機盾”品牌進行大肆宣傳，誤導消費者，這應該引起相關部門的高度重視?？尚艠俗R體系的建立同樣是個系統(tǒng)工程，這涉及到安全宣傳、客戶教育、安全技術等多個方面，是要全社會的共同努力。相信不遠的將來我們能夠擁有真正的移動金融可信環(huán)境，移動金融將進入全新時代。

生成海報

免責聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性，但不保證有關資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網(wǎng)站對有關資料所引致的錯誤、不確或遺漏，概不負任何法律責任。任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權或存在不實內(nèi)容時，應及時向本網(wǎng)站提出書面權利通知或不實情況說明，并提供身份證明、權屬證明及詳細侵權或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關文章源頭核實，溝通刪除相關內(nèi)容或斷開相關鏈接。