手机盾是以手机TEE（可信执行环境）和SE（安全元件）为载体实现的二代USBKEY，完全不依赖任何外部硬件设备，也无需用户安装任何额外的软件，主要服务对象为工农中建等商业银行和非银行的金融企业。 [1]
需要注意的是，纯粹依赖软件无法满足盾级安全性的要求，手机盾必须基于手机安全元件或可信执行环境，由高通、华为海思等芯片商提供硬件层面的安全保护，手机盾服务商在TEE中为要保护的程序创建安全域，才可实现硬件级安全性。 [2-3]
当前市场上有部分企业偷换概念，仅依赖PKI证书和电子签名的身份认证方式，以纯软件的形式实现的所谓“手机盾”，其安全性完全依赖证书保护，可以被轻易攻破，是不满足中国人民银行及北京移动安全产业联盟对“盾”的定义和安全性要求的，也不被工、农、中、建、交、邮储六大行及招商、兴业等商业股份制银行认可。 [4]
保障业务全流程数据安全
基于大数据应用的身份核验
支持移动业务场景
保障业务合法合规
手机盾运行在移动终端环境，结构可分解为三种应用，分别是REE应用、TEE应用和SE应用。
REE应用
通常所说的App，运行在普通的执行环境中，存在一定的安全风险，如Android操作系统。只有通过厂商提供 的手机盾SDK，App才可以与TEE应用交互，实现数字证书的申请与应用，以及用户密码和生物特征的个人化 操作。
TEE应用
手机盾TA，运行在可信的执行环境中（通常为独立的OS），拥有移动终端中除SE外的最高安全级别。手机盾TA 负责用户证书管理、安全输入和显示、生物特征识别和设备信任秘钥的管理等，通过与SE应用的交互实现用 户秘钥应用以及用户密码和生物特征认证。同时，在没有SE环境的终端中，手机盾TA可通过RPMB安全存储实 现SE应用的功能。
SE应用
手机盾Applet，运行在安全元件的COS中，拥有移动终端中的最高安全级别，为手机盾TA提供秘钥服务、用户 密码和生物特征的认证与管理。Applet托管在手机厂商TSM系统中，无需建立额外系统
手机盾开通
用户登录App，完成App后端对用户的身份审核； 用户点击“申请证书”，设置数字证书密钥； App发送证书申请请求并返回证书，开通完成； 用户根据自身需要可开通指纹、虹膜、人脸等本地免密的生物特征识别，提升用户体验。
手机盾应用
用户在App填写交易信息，并确认进行交易； 根据App提示进行指纹等生物特征认证或者使用数字密码； 手机盾在安全模式下显示交易信息，用户直接确认或输入数字密码进行确认； 手机盾返回签名结果，App完成交易。
