摘要：对数据完成不可逆的加密，且输出长度固定，常用于签名等场景。

摘要：对数据完成不可逆的加密，且输出长度固定，常用于签名等场景。
密钥派生：基于一个对称密钥或口令，安全地派生出多个对称密钥。密钥协商：常用于在一个非安全通道中，无需共享任何秘密的情况下，协商出一个对称密钥。随机数：纯软件实现的安全随机数DRBG，生成的数据具备随机性，不可预测性，与不可重现性，常用在密码学中，如对称和非对称密钥的生成等。12.4加解密算法框架服务 Crypto Architecture Kit支持业务自定义认证方式支持带导航键的认证界面，用户点击导航键可切换业务自定义认证界面。支持短时间内复用设备解锁认证结果支持认证方式无关的解锁认证结果复用，采用该认证方式，只要在解锁后调用者指定的时间范围内（最长5min），可不用重复认证用户直接返回认证通过结果；支持认证方式匹配的解锁认证结果复用，采用该认证方式，不仅需要处于调用者指定的解锁后时间范围内，还需要解锁使用的认证方式与调用者指定的一致，才能复用解锁认证结果，直接返回认证通过。提供系统级用户身份认证界面支持调用者自定义认证界面的标题和导航键文字。身份认证控件会根据设备屏幕状态自适应调整窗口显示模式。HarmonyOS 6.0 安全技术白皮书通用密钥库服务（HarmonyOS Universal Keystore Service，HUKS）为应用提供密钥全生命周期管理能力，HarmonyOS 应用开发者使用密钥管理套件（Universal Keystore Kit）可进行密钥生成、密钥销毁、密钥使用（如加密、解密、签名、验签等）。在具备可信执行环境等安全隔区的高安等级HarmonyOS 设备中，通用密钥库服务确保了其管理密钥的明文，在生命周期内不会暴露在非安全环境。通用密钥库服务对密钥进行了严格的权限控制，密钥仅可由生成密钥的应用访问。在密钥生成时，通用密钥库服务记录了应用的进程标识等信息，供应用访问密钥时进行身份验证。HarmonyOS 应用开发者可以叠加用户身份认证功能（如生物特征认证、PIN 认证）以增强密钥的访问控制，通用密钥库服务确认身份认证结果后，才允许相应的密钥访问与操作。此外，通用密钥库服务还提供了密钥合法性证明（Key Attestation）功能。应用可以基于证书链技术，对通用密钥库管理的密钥进行证明，包括证明密钥生成环境、密钥所属应用等属性。其中，证书链基于匿名的根证书签发，不会泄露用户设备信息，同时能保证密钥证明结果的合法性和完整性。目前，通用密钥库不仅支持国际标准的AES、RSA 等算法，还支持SM2、SM3、SM4 商用密码算法，支持金融应用中的资金流转、刷卡支付等场景。12.5通用密钥库服务 Universal Keystore Kit基于账号密码的应用方式因输入复杂、难于记忆且易遭受网络钓鱼攻击等问题，在便捷性与安全性方面均存在不足。HarmonyOS 提供免密认证框架，支持FIDO（Fast Identity Online）、IIFAA（InternationalInternet Finance Authentication Alliance）、SOTER 标准免密认证协议，可以支撑业务通过人脸/ 指纹方式进行免密认证登录，提高登录便捷性，同时也能有效增强登录安全性。应用接入对应的服务器后，可以在端侧使用对应的相关能力，利用生物特征等来代替传统的密码，实现免密登录、免密支付等业务场景。FIDO 认证协议FIDO 是一种国际主流的免密认证标准，众多生态应用厂商广泛使用该能力，包括中国工商银行，中国银行，农业银行，交通银行等银行应用、以及多种证券或金融类应用。HarmonyOS 构建了基于FIDO UAF 的免密身份认证功能，应用可以通过接入系统FIDO 服务实现开通、使用免密身份认证等能力。FIDO 服务的开通和使用流程需要验证用户的生物特征，确保只有正确的用户可以使用凭据。FIDO 服务在开通时会为应用生成业务密钥，业务密钥的生成和使用在TEE 环境中实现，业务私钥不会出安全环境。FIDO 的认证报文采用业务私钥签名后返回给应用，保障了认证结果的可靠性。12.6在线认证服务Online Authentication KitHarmonyOS 安全能力开放使能生态针对同一业务涉及应用、网页混合登录场景，HarmonyOS 提供基于FIDO2 标准协议的通行密钥机制。借用该系统能力，用户可使用生物特征（例如指纹、人脸）登录应用或网页。应用可以通过接入通行密钥实现以下功能：通行密钥注册：应用或网页需要为用户提供更便捷、安全的登录方式时，可使用通行密钥注册能力。该能力通过验证用户的生物特征，在本设备上完成应用或网页的通行密钥创建。与基于FIDO UAF 的免密认证相似，通行密钥注册时，会在TEE 环境中为应用生成针对该应用的通行密钥私钥，该私钥不会出安全环境，保障私钥的机密性和完整性。本地免密认证：应用或网页需要在本设备上验证用户的通行密钥时，可使用本地免密认证能力。仅当用户的生物特征在TEE 内完成认证时，相同安全环境内的通行密钥私钥才会参与对本次登录或支付的认证报文的签名，应用或网页获取被签名的认证报文后，可在服务器使用公钥验证，从而完成本次会话的免密认证。如果TEE 内的生物认证没有给出认证通过的结果，通行密钥将不会参与认证报文的签名，从而保障该认证结果的可靠性与真实有效性。跨设备扫码认证：应用或网页需要在其他设备上验证用户的通行密钥时，可使用跨设备扫码认证能力。该能力使用已注册通行密钥的设备作为辅助登录设备，通过跨设备扫码的方式，在其他设备进行应用或网页的免密认证。其中，用户需要在已注册通行密钥的设备上验证用户的生物特征，确保使用该设备上通行密钥的人是正确的用户。两端设备基于近场通信传输的共享秘密协商会话密钥，建立安全传输通道，保障认证数据在传输过程中的机密性与完整性。IIFAA 认证协议IIFAA（互联网可信认证联盟）是2015 年由中国信通院、蚂蚁集团、阿里巴巴、华为、中兴、三星联合发起的可信认证生态联盟，该联盟致力于推动可信认证技术发展及行业应用，引领行业制定技术规范。HarmonyOS 提供了IFAA 免密认证模块，使集成IFAA 认证能力的应用可接入系统免密身份认证机制。SOTER 认证协议为了解决传统可见的密码验证在安全性和便捷使用上的问题，腾讯制定了SOTER 认证协议，该协议旨在提供一套生物认证平台和标准，使得设备上的传感器（如人脸传感器/ 指纹传感器）能够安全、高效、简单地进行免密登录、免密支付等操作。HarmonyOS 提供了SOTER 免密认证模块，使集成SOTER 认证能力的应用、小程序可接入系统免密身份认证机制。HarmonyOS 6.0 安全技术白皮书Asset Store Kit 包含了关键资产存储服务（ASSET）开放的接口能力集合，提供了用户短敏感数据的安全存储及管理能力。其中，短敏感数据可以是密码类（账号/ 密码）、Token 类（应用凭据）、其他关键明文（如银行卡号）等长度较短的用户敏感数据。安全存储关键资产的安全存储，依赖底层的密钥管理服务。具体来说，关键资产的加/ 解密操作以及访问控制校验，都由密钥管理服务在安全环境（如可信执行环境）中完成，即使系统被攻破，也能保证用户敏感数据不发生泄露。访问控制
1、基于属主的访问控制： 所有的关键资产都受属主访问控制保护，业务无需设置。
只允许关键资产被其属主（写入该关键资产的业务）访问。关键资产属主身份由ASSET 从系统服务中获取，即使业务身份被仿冒，仿冒者也无法获取到其他业务的数据。关键资产加/ 解密时，其属主身份参与了完整性保护，即使关键资产属主身份被篡改，攻击者也无法获取到其他业务的数据。
2、基于锁屏状态的访问控制： 分为以下三种保护等级（安全性依次递增），业务可根据实际情况设置任
意一种，若不设置，则默认保护等级为“首次解锁后可访问”。开机后可访问：关键资产在开机后被允许访问。首次解锁后可访问：关键资产在首次解锁后被允许访问。解锁时可访问：关键资产仅在处于解锁状态时被允许访问。
3、基于锁屏密码设置状态的访问控制： 该访问控制默认不开启，业务可根据实际情况决定是否开启。
在用户设置了锁屏密码后，关键资产才被允许访问。
4、基于用户认证的访问控制： 该访问控制默认不开启，业务可根据实际情况决定是否开启。
关键资产在用户身份认证通过后被允许访问。任意一种认证方式（指纹、人脸、PIN 码）通过，均可授权本次关键资产的访问。业务可通过设置认证有效期，达成一次用户认证、授权多个关键资产访问的效果。认证有效期最长可设置10 分钟。12.7关键资产存储服务 Asset Store KitHarmonyOS 安全能力开放使能生态HarmonyOS 生态始终将用户隐私放在首位。隐私是用户的基本权利，安全是产品的基本属性。基于这种理念，HarmonyOS 对用户隐私数据的管理从“管权限”逐渐变为了“管数据”，通过安全控件&Picker等机制，让用户可以更加细粒度地管理个人数据。安全控件隐私权限管理需要用户手动授权，这对于一些普通用户来说可能比较困难，另外，应用程序对某些敏感信息使用可能在不同的使用场景，用户使用应用过程中，隐含着对于权限的授予意愿，安全控件是系统提供的一组系统实现的ArkUI 基础组件。应用可以自由集成该类组件，当组件被用户点击后，应用将被授予临时授权，无需向用户弹窗授权就可访问受限资源，实现通过识别用户主动行为自动授权的设计思路。整体方案由安全控件UI 组件、安全控件管理服务、安全控件增强组成：UI 组件实现了固定文字图标的样式便于用户识别，同时提供了相对丰富的定制化能力便于开发者定制。控件管理服务提供控件注册管理能力、控件临时授权机制、管理授权生效周期，确保应用后台、锁屏下无法注册使用安全控件。安全增强部分实现了包括地址随机化、挑战值检查、回调UI 框架复核控件信息、调用者地址检查、组件防覆盖、真实点击事件校验等机制，防止应用开发者通过混淆、隐藏、篡改、仿冒等方式滥用授权机制，泄露用户隐私。PickerPicker是系统提供的一组数据选择接口，开发者不需要在应用中集成Picker就可以直接调用Picker接口。应用通过拉起Picker 界面，允许用户在预定义的数据集合中选择要访问的数据，用户在应用上操作选择后，应用便可以获取数据，以达到应用借助Picker 接口，而无需申请权限就可以直接访问数据的目的。安全控件&Picker 列表粘贴控件保存控件位置控件文件picker照片picker联系人picker音频picker相机picker12.8安全控件&PickerHarmonyOS 6.0 安全技术白皮书随着应用数量的增多、密码复杂程度的增加，用户忘记登录密码的情况频发。HarmonyOS 密码保险箱提供密码的自动保存、自动填充、自动生成强密码、多设备同步功能，为用户打造了安全存储密码、无缝免密登录的便捷体验。HarmonyOS 应用在注册新账号以及修改账号密码场景下，密码保险箱为应用接入生成强密码功能，自动生成符合开发者定义密码规则的强密码，帮助用户生成足够安全强度的密码，若用户将此密码进行账号注册或修改，密码保险箱可为用户保存该密码。密码保险箱默认生成的密码长度为 16 个字符。其中包含数字、大写字符、小写字符。开发者可以通过设置TextInput 控件的newPassword 属性开启生成强密码功能，并通过定义passwordRules 预制密码生成规则，指定密码的长度或长度范围，密码首位格式（首位 大写字母 or 小写字母 or 数字 三选一）以及是否需要在密码中加入特殊字符。密码的保存/ 填充与查看密码保险箱把应用的账户密码信息加密保存到终端设备之中，以储存在关键资产数据库的形式实现，密码保险箱提供硬件级加密存储能力，并通过应用ID（应用安装包的唯一标识）对不同应用的“密码”数据进行隔离；密码保险箱保存的“密码” 数据通过认证加密方式进行加密保护，加密算法为 AES_256_GCM；对应的加密密钥受ITrustee 保护，加密/ 解密处理始终在安全环境内执行。在填充或查看“密码”数据的过程中，依托HarmonyOS 用户身份认证服务，会进行用户身份信息认证（人脸/ 指纹或锁屏密码），用户身份通过后，才可以访问密码保险箱存储在关键资产的用户密码。多设备同步密码保险箱支持多设备同步功能，用户在本端设备上登录华为账号，完成可信设备的认证后，本设备密码保险箱保存的账号密码，可以在同华为账号下的设备间同步。用户可以在其他的同华为账号的设备上直接查看及使用同步的账号密码，无需重新录入。密码保险箱“密码”数据在整个同步过程中，以端到端加密的方式通过云服务器完成同账号设备间的加密传输，用于确保云服务器无法获取用户的账号密码。12.9密码保险箱扫码picker卡证识别picker档扫描pickerHarmonyOS 安全能力开放使能生态HarmonyOS 系统里可信执行环境iTrustee 提供统一的KIT，主要涉及以下几个部分可信存储iTrustee 提供可信存储能力，以保证数据的机密性、完整性、设备一致性和高可靠性。不同TA 的存储数据相互隔离，TA 仅能访问自己存储的数据，无法打开、删除或篡改其他TA 的存储数据。基于上述安全能力，可信存储特性可用于存储TA 的关键数据，如密钥、证书等。可信存储分为两种：安全文件系统存储与RPMB（Replay Protected Memory Block）存储，前者将密文存储到特定的安全存储分区；后者将密文存储到闪存特定的存储区域。安全文件系统存储同时提供了DE和CE 存储区，满足不同场景下的安全存储需求。可信显示TUIiTrustee 提供TUI（Trusted User Interface，可信用户交互）能力，在TEE 中为安全应用提供可信的显示、输入和指示。可信显示能力：保证显示的信息不会被任何REE 侧的软件或者其它TA 所攻击，如截屏、篡改、掩盖等。可信指示能力：可信界面会显示预置的图片或文字，提示用户当前的显示处于安全的环境。可信显示支持PNG 图片、文本、按钮和输入框等基本控件，支持显示统一大小的黑体汉字、英文字母、符号和数字，用户可以信任显示屏上所显示的信息，确认是由一个TA 所显示的。可信输入能力：保证用户的输入不会被任何REE 侧的软件或者其它TA 所提取、篡改或劫持。iTrustee将接收用户输入的器件设置为只能由TEE 访问的安全状态，保证用户的输入不会传递到REE 侧，同时通过使用权限控制隔离其它TA 的访问。可信输入提供qwert 英文全键盘控件，支持输入英文大小写字母、符号、数字，暂不支持中文。可信执行环境12.10߷ЛߛϲѬӝ3QNCᆶ͈3&&5&&"HFOUESJWFS5"%BUB5"߷Лߛϲ31.#"1*5""9ҫࠛ߹டভೝಊ᝺ܬፅࠀ5"ᫎᬦሏ5"%BUBHarmonyOS 6.0 安全技术白皮书TUI 常见的应用场景包括：PIN 码输入，支付、转账、敏感交易信息显示。当前TUI 仅支持遵循GP 标准的GP TUI 开发方式，GP 标准TUI API 为安全应用（TA）的开发者提供与用户交互的功能支持。通过在TEE 环境中运行的TA 来调用GP TUI API，可以安全的向用户显示敏感数据、获取用户的敏感输入。TUI使用过程中可以确保由TEE 控制屏幕，并与REE 和其它TA 隔离。iTrustee 支持采用TUI 显示可信二维码功能：二维码也称为二维条码，常见的二维码为QR Code（全称为Quick Response Code），是指在一维条码的基础上扩展出另一维具有可读性的条码，使用黑白矩形图案表示数据，被设备扫描后可获取其中所包含的信息。一维条码的宽度记载着数据，而其长度没有记载数据。二维条码的长度、宽度均记载着数据。二维条码有一维条码没有的“定位点”和“容错机制”。容错机制在即使没有识别到全部的条码、或是说条码有污损时，也可以正确地还原条码上的信息。当前二维码经常被用作支付或身份认证等高安全场景，这种场景对二维码的保护是非常必要的。iTrustee 提供二维码接口，安全应用通过自己的算法，生成text 字符串，调用iTrustee 提供的接口生成二维码图片，并通过TUI 安全显示出来，可提高应用场景的安全性。可信时间iTrustee 提供可信的基准时间，该时间寄存器只能由TEE 里时间驱动访问，不能被恶意 TA 或 REE 应用修改。该特性保证了TA 持久时间的单向性，支持使用密钥时对有效期、使用频率等安全属性的检查。另外还提供可信的定时功能，支持开发者设置定时任务。可信加解密iTrustee 提供密钥生成能力，HASH、HMAC、对称算法和非对称等算法类型，包括国际算法和国密算法。算法接口实现遵从Global platform TEE 标准，底层对接软引擎和硬件引擎，提供了不同安全等级的算法能力。iTrustee 中的密钥管理服务为TA 提供了硬件密钥生成的能力，TA 可以使用硬件密钥和加解密API 进行关键数据加密，提升数据的机密性和安全性。HarmonyOS 提供的安全能力，为生态应用程序以API、Kit、SDK 形式向开发者使能。同时，为生态设备提供专业CBB、安全模组、独立芯片等形式开放。业务风险检测为开发者提供场景化（反作弊、反欺诈、违规内容检测等）的风险检测服务。当前HarmonyOS 已开放的能力有涉诈剧本检测特性介绍电信网络诈骗中犯罪分子使用的诈骗手段常被设计成一套有预谋的流程，逐步诱导受害者上当受骗。业务风险检测能力12.11HarmonyOS 安全能力开放使能生态内容风控服务接口用于对终端用户提交的文本或图片内容进行合规性检查的服务，如识别暴力、色情等违法的信息，有效协助用户进行风险预警和违法内容拦截。当前面向元服务开发者已开放的能力有文本、图片内容合规检测。特性介绍内容风控检测能力能够识别网络上常见的违规内容，例如：谩骂、低俗、无意义灌水以及违法违规，帮助构建健康的网络环境。违法违规文本、图片内容识别谩骂，隐晦低俗，色情内容识别血腥、恐怖、恶心不适图片识别其他如灌水等无意义内容识别应用场景消费者在云服务提交的评论、账号昵称、账号头像、评论区图片等。内容风控检测能力12.12HarmonyOS 在犯罪分子常用的路径上埋点，获取涉诈行为线索，经过检测模型的综合决策，输出当前设备上用户受到诈骗威胁的风险。应用场景金融支付类应用在用户转账、支付前，通过调用涉诈剧本检测接口，检测用户是否受到诈骗威胁。该接口返回一个风险分，以及涉诈行为的线索，例如，接收到涉诈引导信息、设备有被操控风险等，应用可以根据风险分及线索，进行有效提示或拦截。HarmonyOS 6.0 安全技术白皮书缩略语表Acronyms and Abbreviations英文缩写英文全称中文全称3DThree Dimension三维AESAdvanced Encryption Standard高级加密标准AIArtificial Intelligence人工智能APIApplication Programming Interface应用软件编程接口APKAndroid PackageAndroid 安装包ARMAdvanced RISC Machines高级精简指令集计算机器CECredential Encryption凭据加密CFIControl Flow Integrity控制流完整性DEDevice Encryption设备加密ECCElliptic Curve Cryptography椭圆加密算法ECDSAElliptic Curve Digital Signature Algorithm椭圆曲线数字签名算法eMMCEmbedded Eultimedia Card嵌入式多媒体卡HarmonyOSHarmonyOS华为HarmonyOS 系统GPGlobalPlatform全球平台组织HMACHash-based message Authentication Code散列信息认证码HUKHardware Unique Key硬件唯一密钥HUKSHarmonyOS Universal Keystore Service华为通用密钥库系统IDIdentifier标识符IMEIInternational Mobile Equipment Identity国际移动设备标识InSEIntegrated Secure Element集成安全元素IOTInternet of Things物联网ITInformation Technology信息技术JOPJump Oriented Programming跳转导向编程LTOLink Time Optimization链接时优化MACMedia Access Control媒体接入控制（MAC 地址即媒体接入控制地址）NFCNear Field Communication近距离无线通信技术表A-1 缩略语清单A 缩略语表/Acronyms and Abbreviations英文缩写英文全称中文全称NISTNational Institute of Standards and Technology美国国家标准与技术研究院OSOperating System操作系统OTAOver The Air空中升级PANPrivileged Access Never特权模式访问禁止PINPersonal Identification Number个人身份识别码PKIPublic Key Infrastructure公共密钥基础设施POSPoint of Sales销售点PXNPrivileged Execute Never特权模式执行禁止REERich Execution Environment普通执行环境ROMRead-Only Memory只读存储器ROPReturn Oriented Programming返回导向编程RSARivest Shamir AdlemanRSA 加密算法RPMBReplay Protected Memory Block重放保护存储区SDSecure Digital Memory Card安全数字存储卡SDKSoftware Development Kit软件开发工具包SHASecure Hash Algorithm安全散列算法SNSerial Number序列号TATrusted Application可信应用TEETrusted Execution Environment可信执行环境TLSTransport Layer Security传输层安全性协议TUITrusted User Interface可信用户界面UIDUser Identifier用户身份标识符mmapmemory-mapped内存映射文件方法VDSOVirtual dynamic shared object虚拟动态共享对象OEMoriginal equipment manufacturer贴牌生产CECredential Encryption凭据加密SECESub-Enhanced Credential Encryption子增强凭据加密ECEEnhanced Credential Encryption增强凭据加密SCPsecure channel protocol安全通道协议SSDSupplementary Security Domain辅助安全域SESecure Element安全元件SPSelect partner优选合作伙伴HarmonyOS 6.0 安全技术白皮书英文缩写英文全称中文全称TSMtrusted service manager可信服务平台APDUapplication protocol data unit应用协议数据单元日期修改描述2024-08-2初始版本2025-09-24版本更新修订记录Ө˞੿షదᬍНՃڡڧὉງڢ࣊ᴝࡰӝڨၿӨ˞঴ᦊҩНഎᎪڧὉIUUQTXXXIVBXFJDPN14*35ᥫኸὉ14*35!IVBXFJDPNࠇਗ਼఩ҬႃភὉᥫᎄὉฌਓྠిਫ਼ద©Ө˞ጼቫదᬍНՃǍδ႑ʷѭిѾǍ׸ಖܦ௚֗Х̵Ө˞׸ಖک˞Ө˞੿షదᬍНՃᄊ׸ಖǍవ஡ೂଢԣᄊХ̵ਫ਼ద׸ಖੋฌв׸ಖἻႀՊᒭᄊਫ਼ద̡વదǍ০᠔˼ᄊֶ̗nj఩Ҭੋྲভ኎ऄԪӨ˞НՃ׸ˊՌՏ֗౎൜ᄊጞౌἻవ஡ೂ˗ଡᤘᄊЛᦊੋᦊѬֶ̗nj఩ҬੋྲভԻᑟˀښ০ᄊ᠔˼ੋΎၹᔵڊ˨ЯǍᬔ᭤ՌՏԳదጞࠀἻӨ˞НՃࠫవ஡ೂЯࠔˀϢ͊͵௚ᇨੋ఍ᇨᄊܦ௚ੋδ᝽Ǎႀֶ̗̆ྠవӤጟੋХ̵ԔڂἻవ஡ೂЯࠔ͘ˀࠀరᤉᛡఞழǍᬔ᭤ԳదጞࠀἻవ஡ೂ̩ͻ˞Ύၹૉ࠮Ἳవ஡ೂ˗ᄊਫ਼దᬈᤘnjηৌ֗थᝬˀ౞ੇ͊͵௚ᇨੋ఍ᇨᄊઞδǍ᭤ፃవНՃ˺᭧᝵ԻἻ͊͵ӭͯ֗˔̡ˀ४ୱᒭ୒઀njܭ҄వ஡ೂЯࠔᄊᦊѬੋЛᦊἻࣳˀ४̿͊͵ॎर͜୧Ǎ