蘋果公司在iPhone 5s發布會上，曝光了一種名為的“Touch ID”的指紋識別技術，這種技術會對用戶的指紋數據進行加密，并保存在A7處理器內置的Secure Enclave模塊中。近日，有用戶在美國社交問答網站Quora上，對Secure Enclave的誕生過程、工作機制及重要性做出了詳細解讀。以下為文章主要內容：
隨著iPhone 5s和Touch ID指紋識別技術在9月13日的問世，蘋果公司讓我們在安全、即時訪問iPhone的道路上邁出了一大步。對于蘋果公司來說，這是一段漫長的旅程，我相信該公司的努力將在10年內結出碩果。從2008年開始，我就一直在關注蘋果公司將采用指紋掃描技術的消息，而且堅信有朝一日會看到蘋果公司推出今天名為“Touch ID”的技術。多年來，眾多科技行業的知名人士都對蘋果公司采用指紋技術的邏輯性心存質疑。
在去年蘋果公司收購AuthenTec之后，這種觀點發生了一定的轉變。當時，我擔任顧問的幾家支付創業公司終于開始重視這種新動向。不過仍有些人希望，如果他們對我的預言——可能還有蘋果公司——充耳不聞，一切都將煙消云散。
2008年，我第一次看見蘋果公司有關這項技術的專利申請，當時我就非常興奮，開始想象指紋識別技術的未來。我開始思考蘋果公司將如何獲取這一重要的生物信息。我已經在支付領域摸爬滾打了30多年，特別是在PIN數字編碼領域具有豐富的經驗，我知道僅靠軟件是解決不了這個問題的。因此，我堅信硬件上必須有獨立的區域來保存這種數據，它就是“Secure Enclave”。
Secure Enclave的世界
目前，雖然已有大量文章專門介紹Touch ID，但真正理解這項技術背后重要意義的人卻寥寥無幾。蘋果公司不僅打造了最精準的量產生物安全設備之一，還解決了有關如何加密、存儲和保護生物安全數據等諸多重要問題。蘋果公司稱之為“Secure Enclave”，這是一個相對較新的概念。
ARM助一臂之力
iPhone 5s的處理器A7基于ARMv8架構(由ARM設計)，這是一種64位的處理器，而老款iPhone處理器則是32位。這是性能上的一大飛躍，但有時它的潛力并不能得到充分挖掘，因為代碼再編譯必須要讓應用用到這種性能增益。由于反向編譯的意義不大，我們將來會看到一些專用于iPhone 5s的應用會問世。蘋果公司此次還采用了M7協處理器，用以控制陀螺儀、加速計等，希望助主處理器A7一臂之力。
提到ARM及其開發軟件的方式，一個令人感興趣的方面是，他們會對企業客戶的需求做出迅速反應。因為這個原因和其他諸多原因，ARM處理器架構已成為幾乎所有智能手機廠商的首選。
蘋果公司之所以采用A7處理器，原因不勝枚舉。其中一個原因是，滿足Touch ID的硬件需求。為了在成本相對較低的情況下打造“Secure Enclave”，蘋果公司需要的處理器必須具有原生加密與安全概念，同時還有專用硬件設備，在處理器架構內辟出一個獨立和安全的區域。
大約3年前，ARM就已經開始關注這個問題，并與別的公司合作開發出我們現在稱為TrustZone/SecurCore的技術。TrustZone技術被緊密地整合到了A7處理器，而且通過AMBA AXI總線和特定TrustZone System IP擴展到整個系統。這種系統方式意味著，它可以保證內存、加密模塊、鍵盤、屏幕和傳感器等外設的安全，令其免受軟件攻擊。
早在2012年4月3日，我就注意到ARM與Gemal和Giesecke & Devrientto達成合作協議，共同開發安全支付系統，但我并沒有將這件事與蘋果公司指紋掃描系統的開發聯系起來。協議稱：“新成立的公司將開發基于ARM TrustZone安全技術的可信任執行環境(Trusted Execution Environment，以下簡稱“TEE”)，專注于改善智能互聯設備的安全性。這種通用、安全的軟件執行環境，將充分利用先進的硬件安全技術以及符合行業標準的軟件界面，如GlobalPlatform行業協會的界面。”
“TEE設備將向客戶提供更為安全、更友好的體驗，簡化和加速它們與數字世界的交互活動。這能讓它們更為頻繁地利用自有智能互聯設備，安全訪問類型越來越多的應用和服務。這其中包括移動支付、企業辦公、移動支付應用，以及在線商務和優質的內容服務等。”
ARM在2008年發布的一份白皮書，確實表明A7處理器在移動支付方面的作用：
“6.2.2 移動支付
許多嵌入式設備如今正存儲大量用戶信息，包括電子郵件、移動銀行資料和移動支付憑證等敏感信息。這些用戶信息可以通過密碼的形式受到保護，不過一旦解鎖，在基本的軟件環境下都容易暴露出一切弱點。”
“對于眾多挖掘用戶數據價值的應用來說，把數據存儲、數據修改結果和密碼輸入都遷移到Secure區域，是行得通的。盡管這些應用之間的資產稍有不同，但在安全限制問題方面卻有著相似要求。出于這一點，相比大多數應用，Gadget2008 的移動支付功能將具備更加嚴格的限制條件。”
Secure Enclave工作原理
事實證明，正是這種完美的協同工作機制，才能讓蘋果公司成功推進TouchID概念。蘋果公司已經定制了高度優化TrustZone版本，提出如今名為“Secure Enclave”的概念。當然，出于多方面原因，蘋果公司可能永遠不會公布任何關于定制硬件的細節，因此，我就以TrustZone為例子，來介紹“Secure Enclave”的工作原理。
TrustZone系統的安全性是通過全面分配硬件和軟件資源來實現的，以保證兩種資源存在于各自的“地盤”：安全子系統被安置在“Secure”區域，其他任務則被分配到“Normal”區域。基于TrustZone的AMBA3 AXI總線要卻確保“Normal”區域的組件無法訪問“Secure”區域的資源，從而在兩種資源之間樹立起一道難以逾越的“邊界”。
這種設計將敏感資源置入“Secure”區域，同時運行基于安全處理器核心的可靠軟件。這種方法可以讓資源免遭許多潛在攻擊。通過硬件將敏感的安全外設隔離開來，將有效減少需要通過安全驗證的子系統數量。監控模式(monitor mode)則會負責在兩個虛擬處理器之間切換，以應對安全驗證的要求。
A7針對安全移動支付進行優化
由此可見，A7處理器是自帶安全基因的。基于硬件架構的安全性是非常穩固的。若想訪問儲存在“Secure Enclave”內的信息，就需要在硬件破解上耗費大量心血。有人或許認為，這對設備本身是有利的，但對于互聯網呢？
事實上，那些用來激活云端系統的數據，就像一把穿越互聯網的“萬能鑰匙”，這就是蘋果公司將要在iTunes和App Store上面采取的激活模式。將來，這種方法還能應用于零售支付系統。
另外，若想使用Touch ID，用戶還必須創建一個密碼，以防出現什么問題。所以，如果手機重啟或48個小時未解鎖，只有這個密碼可以解鎖手機，這就讓手機的安全性多了一層保障。
開發者面臨巨大的機遇
蘋果公司對用戶訪問Touch ID做出了非常嚴格的限制，也沒有向開發者開放任何關于Touch ID的API。實際上，蘋果公司已經在iOS 7開發者版本中刪除了iCloud Keychain。這項技術如今僅限于兩種用途，一是解鎖設備，二是從iTunes和App Store商店購買應用。當然，限制使用并不是這項技術的本意，將來時機合適，蘋果公司肯定會向開發者全面開放API。
目前已有大量相關應用準備開發，我相信開發者社區會圍繞這種技術打造一種“應用經濟”。其中一種應用就是零售支付，蘋果公司會有很多獨特的方式來為商家和iPhone用戶解決實際問題。
步步推進Touch ID項目
蘋果公司一直采取漸進的方式，一步步推進Touch ID項目。我們可以看到，為了實現這個目標，蘋果公司在過去幾年付出了巨大的努力，其中包括申請多項專利、收購AuthenTec、選擇A7處理器、集成TrustZone技術，這一切都為“Touch ID”的最終推出奠定了基礎。
對于蘋果公司來說，Touch ID的開發工作是一段漫長的旅程，這個項目直到現在才公諸于眾。我相信，如果喬布斯還在世的話，一定會感到驕傲的。
推薦閱讀
可靠消息人士透露，百度旗下在線支付公司百付寶日前低調注冊tongchib>>>詳細閱讀
地址：http://m.sdlzkt.com/a/05/20130918/287443.html
網友點評
精彩導讀
科技快報
品牌展示