YD/T 3670-2020 标准解读

一、标准适用范围与执行边界

• 适用主体：移动通信终端内置或预装的支付软件（含银行类、运营商类、第三方支付机构类），以及通过应用商店分发但具备NFC/SE/TEE等硬件级安全能力的支付客户端；不适用于纯H5网页支付、无本地安全模块的轻量级SDK嵌入式支付组件。
• 适用场景：基于移动终端完成的近场支付（如POS刷卡、二维码主扫/被扫）、远程支付（如手机银行转账、话费充值）、身份认证（如SIM卡鉴权登录、eID调用）三类业务流程中的软件层安全验证环节。
• 排除条件：①未集成可信执行环境（TEE）或安全元件（SE）的纯软件沙箱支付应用；②运行于非国密算法支持平台（如未通过GM/T 0028-2014二级以上认证的TEE）；③未通过YD/T 1595.2-2012《移动终端安全技术要求》基础安全测评的终端整机。

二、核心实操技术要求

1. 安全启动链验证：须通过ATTESTATION接口获取TEE/SE启动日志哈希值，比对预置根证书公钥签名，失败率≤0.1%；测试工具需使用工信部指定检测平台（如泰尔实验室TSP-ATK v3.2）执行自动化校验。
2. 密钥生命周期管控：主密钥（KEK）必须由SE生成并加密存储，禁止明文导出；密钥派生须采用SM4-CBC模式+SM3-HMAC双因子保护；密钥销毁指令发出后，硬件响应延迟≤100ms，且不可恢复。
3. 交易数据防护：支付报文须经SM4-GCM加密+SM2数字签名双重处理；加密前原始数据长度≥128字节时，强制启用填充机制（PKCS#7），填充熵值不低于64bit；解密失败应触发设备自毁协议（清除SE内所有密钥槽位）。
4. 生物特征绑定强度：指纹/人脸模板须在TEE内完成特征提取与匹配，禁止上传至应用层；活体检测须通过ISO/IEC 30107-3一级攻击测试（照片/视频/面具攻击），误拒率≤5%，误认率≤0.001%。

三、典型业务场景应用案例

四、实操难点与解决方案

• 难点1：TEE与Android Framework兼容性导致签名验证失败
  

  现象：部分高通骁龙865平台在升级Android 12后，SE返回的SM2签名值首字节恒为0x00，导致上层验签失败。
  对策：按附录B.4要求，在TEE侧签名前强制执行SM2标准补零规则（对r/s值进行ASN.1 DER编码前补足32字节），并更新SE固件至v2.1.7+版本。

• 难点2：生物模板跨设备迁移引发密钥泄露风险
  

  现象：用户换机时通过云备份恢复指纹数据，导致旧设备SE密钥被同步至新设备未授权区域。
  对策：执行第4.3.5条“模板绑定唯一设备标识”，在TEE内将指纹模板与SE芯片UID+IMEI双哈希值绑定，迁移时校验哈希不一致则自动清除模板并重录。

• 难点3：第三方SDK嵌入导致支付通道劫持
  

  现象：某社交APP集成支付SDK后，其WebView可拦截支付JSBridge调用，窃取token。
  对策：依据第5.5.2条“API调用白名单”，在AndroidManifest.xml中声明android:exported="false"，并通过PackageManager强制校验调用者签名证书SHA256与预置白名单一致，否则抛出SecurityException。