果核科技总经理陈吉
陈吉表示，果核科技也是IFAA的成员之一，他本人也在2007年左右就开始在做移动支付。早期他在天喻信息任职，这是一家移动支付概念股企业，后来为了在移动支付领域做一些延伸，于是成立了果核科技。
说到指纹支付的普及，陈吉表示，苹果的ApplePay是始作俑者。ApplePay在2014年做了指纹支付，之后支付宝和微信也做了自己的指纹支付，另外银联也在布局，实际上今年进军国内的ApplePay、三星Pay，以及今年发布的华为Pay和即将发布的小米Pay等等，都是属于银联系的指纹支付。银联三大王牌，ApplePay、三星Pay和云闪付，三个都跟NFC有关系，其中ApplePay和三星Pay是指纹支付。NFC、指纹成了手机的标准配置，支付宝、微信、银联支付成为了手机必备应用。
那么指纹的意义是什么呢？它有两个作用，一个是代替了密码输入，一个是起到身份识别的作用。它要解决手机上进行支付的两个问题：便捷与安全。但是，指纹本身并不是一个安全外设，因为指纹的信息很容易被获取，所以说指纹主要是解决了一个输入的问题。指纹是一种代替密码的便捷输入方式，是一种友好的人机本地认证手段。所以现在做指纹识别的时候是一种人与设备之间的认证，不是把指纹放到后台去做认证。如果把指纹放到后台去做认证，安全性会降低。
陈吉认为，做指纹支付的时候需要三个技术来作为安全支撑：使用SE保护指纹数据及认证密钥；使用TEE保护指纹认证逻辑；最重要的是使用TSM来对SE、TEE以及指纹应用生命周期进行管理。要进行管理我们就要考虑到安全要素，包括密钥、身份信息和安全策略。把这些安全要素整合起来，会形成我们自己的安全逻辑。
要做安全管理我们需要做以下几件事：1.建立TSM（可信服务管理）系统。与指纹支付相关应用、数据在被加载时可被验证其来源安全。2.所有的数据要放到TEE（可信执行环境）和SE（安全芯片）里面，这些数据都是跟个人息息相关的，有一个个性化的过程，所以要进行个性化管理。3.需要有一个TEE的环境，对指纹支付相关代码运行隔离、安全通道、可追溯等等特性进行配置。4.进行生命周期管理，进行指纹支付相关应用、数据可升级、可挂失、可冻结、可销毁等管理。
所以我们的安全层次分为4个层次，第一个只要讲安全就有密钥，需要考虑密钥是放在TEE里还是SE里。如果安全性不高的话就放在TEE里，没有什么安全性的就直接放在安卓系统下也行。但如果要安全性高的就一定要放在SE里，这就是为什么现在的金融和城市一卡通是一定要有SE。所以密钥安全就一定要有SE。
第二个是算法安全，现在国内的很多应用会要求国产算法。
第三个是逻辑安全，如何设计我们的协议，我们的业务逻辑等。
第四个是最重要的管理安全，要有一个规章制度、法律法规来规范标准。IFAA标准出台也是从管理安全的角度去考虑的。
所以说指纹支付的安全需要从系统层面进行部署。而不是说把一个指纹芯片放上去，或把一个SE芯片放上去就行了。所以一定是指纹、NFC、SE、TEE、TSM全部整合成一个系统才算把指纹支付的安全体系构建得比较完整。
陈吉称，移动互联网上的每个APP都有自己的安全需求，所有的APP都不希望自己的数据被别人获取，所以它一定要跟自己的安全后台去建立安全连接。所以这就有个问题：我的安全基础设施是可以给所有APP用的，而不仅仅只是针对指纹支付。那么，如果所有的APP都要用到这个安全基础设施，对安全的管理就会变得十分重要，所以TSM平台变得很重要。
因此，需要为终端和应用设计规划完整的密钥体系；为终端和应用生命周期管理建设管理平台；参照合适的标准规范构建安全管理的策略。只有把这三个技术全部支撑起来，整个指纹支付才能真正的支撑好。
01月07日 18:14
