如今的手機(jī)具有許許多多的新應(yīng)用，包括存儲敏感數(shù)據(jù)，以及提供像移動(dòng)付費(fèi)這類的安全業(yè)務(wù)。隨著利用手機(jī)存儲關(guān)鍵信息的現(xiàn)象前所未見地增長，如何保護(hù)手機(jī)不受那些能夠盜取或?yàn)E用信用卡號碼或安全數(shù)據(jù)內(nèi)容密鑰的流氓軟件的侵害，并保護(hù)數(shù)據(jù)的安全正變得日益重要。

手機(jī)需要一個(gè)可信任的執(zhí)行環(huán)境(EE" title="EE">EE)，來確保敏感數(shù)據(jù)的安全存儲和處理而不被盜用。一個(gè)可信任的EE指的是任務(wù)的執(zhí)行如預(yù)期所想?？尚湃蔚倪\(yùn)算機(jī)構(gòu)(TCG" title="TCG">TCG)采用行為名聲(behavioral reputation)的概念，此時(shí)指的是文檔中的“可信任運(yùn)算”?？尚湃蔚男袨槭前踩夹g(shù)中的關(guān)鍵部分，因?yàn)樗谷藗兿嘈乓粋€(gè)EE的行為，進(jìn)而允許人們分析環(huán)境安全的各個(gè)方面。完整了解如何創(chuàng)建和維護(hù)一個(gè)可信任的EE，將有助于像手機(jī)支付這類的應(yīng)用。一旦客戶、銀行以及各種商業(yè)機(jī)構(gòu)都能充分信任這些應(yīng)用是安全的，這方面的應(yīng)用將會(huì)增加。

在《移動(dòng)手機(jī)的安全》一書中，Chris J. Mitchell認(rèn)為下面的幾個(gè)方面是與移動(dòng)運(yùn)算相關(guān)的主要安全問題：鑒權(quán)、數(shù)據(jù)完整性、數(shù)據(jù)保密性以及非抵賴性(non-repudiation)。文中闡釋了安全存儲器" title="存儲器">存儲器在提供作為一個(gè)可信任EE的這些業(yè)務(wù)方面所扮演的關(guān)鍵作用，包括能夠支持多方相關(guān)者的豐富訪問控制機(jī)制。

可信任的執(zhí)行環(huán)境

一個(gè)EE是一些定義一個(gè)運(yùn)算架構(gòu)的軟硬件的集合。一個(gè)EE可以是一個(gè)帶有存儲器的簡單CPU，或者是一個(gè)運(yùn)行在負(fù)責(zé)管理一個(gè)處理器和各種外設(shè)的OS頂層JAVA虛擬機(jī)" title="虛擬機(jī)">虛擬機(jī)。一個(gè)可信任的EE是一個(gè)其執(zhí)行與預(yù)期相一致的運(yùn)算環(huán)境。TCG所指的行為名聲的概念，就是本文中的可信任運(yùn)算。

顯然，提供安全業(yè)務(wù)需要行為名聲。TCG以及其它機(jī)構(gòu)所采用的評估行為名聲的方案是定義一個(gè)安全的啟動(dòng)過程，來驗(yàn)證手機(jī)的啟動(dòng)處于可信任狀態(tài)。這個(gè)可信任狀態(tài)的確認(rèn)是通過驗(yàn)證手機(jī)中所執(zhí)行代碼(OS及其它)的完整性來獲得的。

但是，僅僅是提供安全啟動(dòng)對于提供一個(gè)可信任的EE來說是不夠的，因?yàn)橄到y(tǒng)在安全啟動(dòng)后會(huì)遭受流氓軟件的攻擊，在任何大型的OS中都有一些流氓軟件可以利用的安全漏洞。建議采用運(yùn)行期間的完整性檢查來確認(rèn)代碼的完整性。這些檢查可以周期性地進(jìn)行，也可以在關(guān)鍵事件發(fā)生前進(jìn)行。不過，運(yùn)行期間的完整性檢查只能在攻擊發(fā)生時(shí)方可檢測到。雖然這可以降低破壞性的風(fēng)險(xiǎn)，但在存在流氓軟件的環(huán)境中還不能提供一個(gè)可信任的EE。

基于閃存的安全性

許多對PC和手機(jī)的攻擊可以追溯到攻擊者修改非易失性存儲器中的數(shù)據(jù)/代碼。基于閃存的安全技術(shù)保護(hù)存儲器免受這類攻擊，防止未經(jīng)授權(quán)的修改。單單是在基帶處理器中提升安全保護(hù)的手機(jī)無法防止對閃存的修改。它只是能夠檢查到數(shù)據(jù)的修改而作為完整性檢查的一部分，這種檢查在某些情況下也顯得有點(diǎn)太遲。

TCG創(chuàng)建了可信任的平臺模組(TPM)的概念，當(dāng)其與PC集成到一起時(shí)，為大量的應(yīng)用提供了改進(jìn)的基于硬件的安全性。TPM是一個(gè)存儲密鑰、密碼和數(shù)字鑒權(quán)的微控制器，通常安裝到PC的主板上。TCG的手機(jī)工作組將TPM這一概念擴(kuò)展到其MTM標(biāo)準(zhǔn)中手機(jī)的EE。與TPM和MTM不一樣，基于閃存的安全不僅僅是檢測完整性的失效，還確保完整性保持在一個(gè)合理的威脅模型(threat model)之下。該功能叫做完整性保護(hù)存儲器，對避開針對手機(jī)的非易失性存儲器的攻擊非常重要。一個(gè)沒有基于閃存的安全系統(tǒng)的MTM只能夠檢測數(shù)據(jù)/代碼的變化，卻無法有效地避免。但MTM檢測到數(shù)據(jù)/代碼的變化時(shí)，破壞可能已經(jīng)發(fā)生了。

基于閃存的安全所提供的完整性保護(hù)的另一個(gè)重要結(jié)果是數(shù)據(jù)的有效性?？尚湃蜤E的其它解決方案集中在數(shù)據(jù)的保密性上。例如，它們確保流氓軟件無法讀取用戶的信用卡號碼，但卻無法保證信用卡號碼不被病毒所刪除，從而導(dǎo)致成千上萬的用戶無法使用他們的手機(jī)來進(jìn)行移動(dòng)支付。而基于閃存的安全技術(shù)則能夠同時(shí)提供上述保密性和有效性。

基于閃存的安全系統(tǒng)(圖1)采用多芯片封裝，包括非易失性存儲器(閃存)以及一片提供對非易失性存儲器的訪問控制的安全處理器。該安全處理器還用作為一個(gè)可信任的EE，用于手機(jī)中提供安全業(yè)務(wù)。該安全處理器作為一個(gè)可信任EE是非常理想的，因?yàn)樗羁拷鎯ν暾员Ｗo(hù)代碼、數(shù)據(jù)以及密鑰的非易失性存儲器。因?yàn)樗彩且粋€(gè)隔離的環(huán)境，只能執(zhí)行基于閃存的安全系統(tǒng)所提供的專用軟件，因而不會(huì)受到像緩沖器溢出這類的攻擊。

圖1：如何將基于閃存的安全系統(tǒng)嵌入到手機(jī)中。

圖2所示的是一個(gè)安全系統(tǒng)的方框圖。其中，CPU是一片ARM7-TDMI處理器，運(yùn)行速率約60MHz。加密引擎支持均衡加密(AES、DES、3DES)和非對稱加密(PKI based on RSA)算法。安全處理器作為主處理器(基帶處理器應(yīng)用處理器)與閃存之間的看門狗，監(jiān)控所有對閃存的訪問。由安全處理器所提供的安全服務(wù)包括加密和閃存器件保護(hù)。

圖2：基于閃存的安全系統(tǒng)方框圖。