“年轻人不应买入安然无虞的股票。”
让·科克托用这句话描述了他对年轻人的定义：不桎梏于一方乐土的冒险者，面对疑惑与未知的勇气才是他们最应珍惜的特质。但与这份期望相反的是，当下年轻人对世界的变化却有着愈发保守的倾向——特别是智能手机普及的近十年来，最初极客遍地刷机蔚然成风的景象早已杳然，愈来愈多的年轻用户对手机的热情消解为一片冰冷的不信任感，基于“恐惧”的不信任。这份恐惧一方面来源于本地隐私的门户大开，朋友圈广告精准命中、升降摄像头莫名开启、一单单外卖中悄然无声的大数据杀熟、电商软件语音窃听的都市传说……；另一方面手机上传至云端的数据也岌岌可危，迄今雅虎还以30亿账户信息泄露保持着全球最大规模数据泄露的“桂冠”，其他诸如5.4亿Facebook纪录、5亿万豪酒店客户数据、3.3亿Twtter用户密码泄露也屡见不鲜，而在国内用户身边仅2021年就出现了3次亿数以上的信息泄露，其中不乏淘宝小红书等知名APP，换句话说，近十年来的技术进步不仅未能让用户安然，反而围绕他们构建起一座单方面透明的隐私围城，用户困圈其中不得已处处提防。
对于消费者的窘迫处境主管部门与终端厂商并非茫无所知，2021年8月《中华人民共和国个人信息保护法》通过为个人隐私保护搭建了顶层架构，工信部也形成了一套针对侵害用户权益APP的定期巡查通报与整改机制，与此同时，终端厂商同样进行了相当多的有益探索，诸如曾登上央视的小米MIUI 12“照明弹”功能；vivo OriginOS Ocean隐私端侧处理的原子隐私系统；支持抹除照片隐私、拦截读取剪贴板的ColorOS 12等等。但同时大家也能发现终端厂商往往专注于自身可管控也更擅长的系统、软件与第三方APP领域，由表及里的密码、内容保护、支付、安全密匙、敏感数据等底层移动安全保护似乎所涉不深。究其原因，一方面是Android智能手机庞杂丰富的产业链与生态让上下游整合有不少阻碍，另一方面触及底层的隐私安全也需要同样触及底层的硬件保护。这也不难理解vivo X Fold发布会上vivo联合高通定制全新一代骁龙8移动平台SPU为何会在用户中引起不小的涟漪，实际上不仅是vivo，荣耀在今年3月发布的Magic4系列中，也搭载了基于全新一代骁龙8移动平台的双TEE安全系统，很明显国产厂商已经找到了一条移动安全创新新路径——与上游芯片厂商合作打通表层软件与底层芯片链路，通过客制化的功能满足旗舰用户迫切的移动安全需求，而高通骁龙无疑是其中最为关键的一环。
一切安全的起点 都是硬件
如果你还有印象的话，2010年前后全球智能手机盗窃二次销售曾是一条十分成熟且兴盛的地下产业，手机上午失窃下午刷机隔天就能流入黑市，密码形同虚设，用户除了自认倒霉之外几乎束手无策，彼时统计显示，2013年仅在美国每10位智能手机用户就有1个被盗，同年英国手机首次超越钱包与手袋成为盗窃的第一目标，手机失窃案占比高达51%，甚至一度成为舆论热议的社会问题。但奇怪的是似乎在某个时间段后，这些问题不再成为问题，用户无需担心手机失窃导致的隐私泄露，手机丢失后找回的范例也比比皆是。对于Android用户而言，这个分水岭要追溯至骁龙810发布的2014年，骁龙810带来了一项全新的进阶安全功能SafeSwitch，不仅赋予用户在丢失设备时远程锁定的能力，还可以进一步远程添加密码，删除或恢复私人数据，甚至获知丢失Android设备的位置。与彼时流行的Google设备管理器、Cerberus这类纯软件安全应用相比，SafeSwitch命令通过硬件进行验证，换言之这是一项基于硬件的功能，直接让软件刷机绕过密码这一万能操作变得几无可能。
很明显，纯软件安全方案有其局限所在，而且除了无法防止刷机这样的直接威胁，纯软件安全方案还有更多无法应对的潜在安全风险，比如容易受到恶意代码与篡改导致的未经授权访问；本地密匙易受逆向工程攻击，采用云端密匙也无可信环境存储云端与本机通信密匙；无法防止降级后通过已泄露密匙攻击；无法绑定设备，也没有RNG随机数生成器作为熵源保证哈希加密的破解难度。这也是为何高通自骁龙845起会在骁龙系列芯片上集成独立SPU（Secure Processing Unit、安全处理单元）的原因，正如安保手中的盾牌与警棍，一切安全的起点，都是硬件。
而骁龙SPU也并非许多人想象中的那样只是一个从属于SoC功能的组件，相反它拥有独立的CPU、RAM、ROM（只读存储器）、RNG随机数发生器、一次性可编程存储器等一套相当完备的安全硬件结构。得益于此SPU可以独立完成为信息进行哈希加密、利用散列算法进行消息鉴别、利用AES-CCM等算法对Wi-Fi与蓝牙无线通信加密、利用RSA/ECC加密算法生成密匙证书签名并进行验证、对称密匙加解密等一系列操作。而正因为是SoC中的独立硬件，SPU也很难从硬件或软件被攻破，硬件上SPU与SoC一并封装，处于同一外壳的保护下，很难被直接观察、探测或者操作，即便被动手也会留下物理修改的证据；软件方面SPU也并未预留后门不会被旁路攻击，且密匙等数据会放入只写存储器中，可以防止任何与SPU交互的实体读取数据，所以外部诱导与内部错误也不会向外透露任何敏感信息。可以这样说，骁龙SPU正如手机内部的一个独立保险柜，以完全之姿时刻保护着用户隐私与设备安全，凭借着安全无虞的SPU，一年后的骁龙855也成为了首款获得Common Criteria EAL-4 安全认证的移动SoC。
如何实现金融级安全？高通给出了手机内“私人保险箱”建造指南
有的放矢的硬件设计是安全的基础，但想要安全，在现在的应用环境下绝不能仅仅靠硬件。因此基于SPU，高通还推出了QTEE（Qualcomm Trusted Execution Environment、高通可信任执行环境），这是脱胎于ARM TrustZone架构的一种设计，本质上是从Android传统的应用执行环境中分离出一个可信的独立执行环境运行在SPU的硬件之上，同时被加载的应用也被相应分为可信应用与非可信应用。作为一个针对安全设计的执行环境，QTEE不仅处于SPU拥有加密与完整性保护的区域中，而且在每次启动时均会签名，并在加载可信应用时会要求对方也必须被签名和认证，以此保证手机软件环境内始终有一方安全之境保护用户隐私与敏感数据。在通过SPU与QTEE初步解决了移动设备本地安全问题之后，高通在2018年推出了高通无线边缘服务（QC WES），用以应对云服务及无线连接的安全隐患。概括的说QC WES是一套骁龙可以与之交互的云服务，使应用程序和服务可以远程验证设备身份，实时检测设备及其无线连接的安全性。QC WES同样是基于硬件的，主要针对企业和工业互联网领域。
在搭建起完善的本地与云端硬件安全方案后，高通对移动终端多用户多场景的个性化安全需求进行针对性了探索，并于2020年的骁龙888上支持了Type-1 Hypervisor（裸机虚拟化），相对于Type-2 Hypervisor这类诸如VMware Workstation Player/VirtualBox需要事先安装操作系统，无法直接访问硬件的虚拟化，Type-1 Hypervisor虚拟化允许直接在硬件上部署，对硬件的利用更充分，创建切换更便捷，以往也是企业服务器领域常用的虚拟化技术。而骁龙888首次将Type-1 Hypervisor引入骁龙移动平台，用于在智能手机上启用同一操作系统的多个实例，并且支持即时切换（这也是一些骁龙终端支持双系统/手机分身功能的原因）。用户可以同时拥有一个针对工作、一个用于个人的独立操作系统，或者甚至可以运行一个完全不同的操作系统。因为可以直接调用硬件，骁龙888的Type-1 Hypervisor也在硬件内部制造了隔离，保护每个环境的安全性和私密性。此外Type-1 Hypervisor还可以用于隔离应用程序，并且可以使该应用程序的数据完全不受主操作系统内应用程序的影响。展望未来，Type-1 Hypervisor甚至可以实现1个应用程序独享1个操作系统的终极体验。
而迈入移动终端安全应用更丰富也更复杂的2021年，高通更进一步在全新一代骁龙8移动平台上加入了全新的TME（Trust Management Engine、信任管理引擎），TME同样基于硬件并且不对外开放，主要用于为应用和服务提供额外信任根（Root of Trust），新一代骁龙8也是首个采用专用信任管理引擎的移动平台。说到这里让我们想象一下，一个操作系统启动时面临的第一个问题是什么？对，就是它运行的第一行代码是否安全，如果运行的第一个软件是恶意软件，那么后续的其他软件再安全也无济于事，三星手机一旦Root其内置的Knox容器立即物理熔断就是基于同样的逻辑。而所谓信任根正如其名，是一个操作系统最基础最可信的一个身份，一旦写入不可更改，用以操作系统与应用服务建立信任链并安全启动。而新一代骁龙8的TME在此基础上还实现了与QC WES服务的协同，可以完成云端的安全启动，保证了从芯片到云端的信任防护。得益于全新的TME，全新一代骁龙8移动平台成为了全球首个符合Android Ready SE标准的移动平台——这个标准正是Google于2021年面向数字车钥匙，房钥匙、护照驾照、数字钱包等新场景发起的全新安全标准。
千镜可信引擎、双TEE安全系统……骁龙与终端厂商合力展开的安全与未来
行文至此，大家也能理解为何立意安全的旗舰手机开始开始青睐与高通合作的重要原因，以刚发布的折叠旗舰产品vivo X Fold为例，vivo联合高通定制全新一代骁龙8 SPU，并基于此首发了千镜可信引擎，通过对手机芯片、内核、框架和应用各层级进行综合分析计算，保障访问设备、访问数据和访问用户的过程都安全可信。定制SPU与千镜可信引擎实现了针对隐藏调用链关系，利用浏览器进行二次跳转等行为的反欺诈防护功能；vivo还与支付宝达成技术合作，将千镜可信引擎的可信安全判断能力与支付宝可信终端扩展方案（AntDTX）对电诈应用的刻画能力等相结合，支持对恶意应用与诈骗账户发起的转账支付进行提示预警。可以看到，通过对新一代骁龙8 SPU的定制vivo实现了更加本地化也更贴近用户的反诈与预警功能，这也为更多洞察用户需求的终端厂商主动挖掘芯片本身软硬件能力打出了一个极好的样板。而在同期发布的大屏商务旗舰vivo X Note里也完整内置的这套设计，以商务场景作为产品定义重要组成部分的vivo X Fold / X Note，透过与高通的合力开拓，以全新一代骁龙8的SPU为硬件核心，构建了更具“安全感”的商务及个人使用环境。
荣耀Magic4系列则是另一个有趣的范例，与vivo不同的是，荣耀利用双TEE系统设计进行了其他方向尝试，通过在全新一代骁龙8的QTEE之外新增HTEE（荣耀可信任执行环境）搭建了一套独立于Android系统之外的双重安全防护，实现了防刷机防盗取、支持3D ToF支付级人脸解锁、支持最高单笔500万转账的荣耀手机盾、eID、无网支付等金融级安全功能，并基于此成为了荣耀首个通过Common Criteria EAL-5 认证的机型，实现了用户对于自身隐私安全的可控性。
时至今日，在安全“润物细无声”地融入我们数字生活环境成为重要构成元素的当下，高通已经建立了一整套全方位立体的移动安全方案：这个方案以TME信任管理引擎为核心，以独立SPU为基石，通过QTEE、高通Hypervisor、高通无线边缘服务做到了从本地应用、多系统到云端的全场景安全防护，支持并覆盖了用户验证与密码存储、内容保护、支付、eSIM、数字身份、安全密匙、敏感数据存储等常见用例，高通身体力行地为我们展示了在移动端实现金融级安全，搭建一座“移动私密保险箱”所需要付出的时间、努力与创新。
而无论是vivo的千镜可信引擎、还是荣耀的双TEE系统，其背后正是全新一代骁龙8移动平台及基于骁龙的一整套安全方案。换言之，对客制化需求持开放态度的高通正在以实际行动支持高端旗舰产品在用户隐私与安全上的有益尝试与探索，而与用户时刻相伴的骁龙移动平台正是当下智能手机用户的私人禁卫“龙武军”。
