历时三载终见天日，蜂窝电话安全标准出台

授信计算机工作组(TCG)于9月13日正式发布历时三年才制订出来的规范——蜂窝电话安全标准。该规范的目的是使保护移动数据和应用更为方便，尽管在获得广泛的应用之前面临若干障碍。

大约有50家公司帮助定义了即将推出的移动授信模块(MTM)规范，并且从9月13日开始就可以从TCG网站上免费下载。然而，最大的两家蜂窝电话芯片制造商——TI和高通——并没有参与开发该规范。确实，介入该工作的位于运营商是来自欧洲的Vodaphone和法国电信。

面向个人电脑安全的TCG在2003年开始了蜂窝电话安全的努力。第一年的大部分时间用在了征募移动行业利益相关的参与者；该组织在2004年形成，那时候大部分时间花在钻研应用。去年，其重心转移到如何把个人电脑的安全规范扩展到蜂窝电话环境，其利益相关的参与者包括用户、运营商、OEM和内容提供商。

为了支持这些不同的当事人，MTM规范容许重根授信(multiple roots of trust)。授信的根是一个密钥或证书，它通常表示为一个数字；该数字只能通过利用系统或用户的私密信息才能计算出来。本地授信根可以支持多个单手机用户。远端授信根可以容许运营商、OEM或应用提供商来证明：他们足够值得信任，从而容许他们修改或“重新镜像”手机的操作系统或其它关键软件。

像现有的个人电脑安全规范一样，MTM可以使用受保护的存储器来存储数字密钥、证书和密码，并支持对设备的检查以测量其健康状态以及状态是否发生变化。

这些任务的处理采用验证数字证书所使用的优先RSA密钥密码系统及现有个人电脑规范所使用的SHA-1散列法算法。然而，该规范采用的那些技术不同于支持本地和远端重根授信所使用的技术。

不同之处在于：TCG正在根据SHA-1算法比过去的思想更容易遭受攻击而崩溃的事实，评估转向采用SHA-256算法的计划。

该规范容许采用支持基本指令和控制结构的任何类型的兼容实现方案。目前，许多芯片组已经支持基于RSA和SHA-1算法的本地安全性。那就意味着他们可能仅仅需要升级他们的软件就能够符合规范的要求，参与该规范制定工作的飞思卡尔半导体公司的安全性主任职员工程师Mark Redman说道。

“该标准的目标是解决设计中存在的不确定性，”Redman说，“对于许多人来说，该工作更多体现在软件设计上。”

预计在2007年，该小组计划发布更为宽广的平台安全性架构，向运营商和应用开发商展示如何利用MTM来提高安全性。与此同时，TCG正在为蜂窝电话开发保护算法，并希望在2007年被批准为Common Criteria的一部分。

TCG表示，新的规范兼容现有采用SIM和UICC卡的蜂窝电话安全解决方案。它也跟不同组织出版的安全规范并存，包括3GPP、开放移动联盟(OMA)、开放移动终端平台(OMPTP)和移动行业处理器接口联盟(MIPIA)。

“TCG成员公司(包括手机制造商、服务提供商、硅制造商和其它公司)已经紧密配合，目的是为移动电话创新一种提供高级别安全性和授信并且能为行业广泛采用的开放规范，”TCG移动电话工作组兼诺基亚产品安全性负责人Janne Uusilehto在一次发言中说。

TCG移动工作组也包括来自Agere Systems、ARM、爱特梅尔、Broadcom、爱立信、惠普、IBM、英飞凌、英特尔、微软、摩托罗拉、北电、飞利浦、瑞莎科技、希捷科技、索尼和ST微电子。

根据市场调查公司对503个在大型美国公司工作的移动工人的调查，蜂窝电话是迄今为止商务活动中最为常用的无线设备。它的使用率比具有Wi-Fi的膝上型电脑或其它英特网连接的设备高两倍。用户认为对公司网络的签权、解密和加密数据传输是头号移动安全性问题。