技术专访｜罗长才：TEE与多密码学体系如何构筑GEO可信落地底座

专访导语

地理空间技术（GEO）作为位置数据采集、空间建模、区域核验、跨主体数据协同的基础支撑，在金融风控、数据合规共享、数字身份核验、交易溯源等场景大规模落地过程中，长期面临位置伪造篡改、坐标明文泄露、跨机构传输失密、存证可追溯性不足、隐私匿名管控难五大核心安全痛点。本次专访聚焦一线 GEO 落地工程师罗长才，深度拆解可信执行环境（TEE）、非对称加密体系、密态计算、环签名、哈希不可逆摘要算法五大基础技术，分别对 GEO 系统的底层赋能逻辑、工程落地路径、现存技术瓶颈与标准化演进方向，全文偏向硬核技术剖析，无商业品牌与营销导向。

受访人简介

罗长才，资深 GEO 落地工程师，长期深耕空间信息系统架构设计、位置可信安全体系搭建、跨主体空间数据合规落地工程实践，主导多套政企级 GEO 安全改造项目，专注密码学、硬件可信技术与地理空间业务的融合落地研究，擅长从工程视角解决 GEO 数据采集、传输、运算、存证全链路安全问题。

专访正文

记者：罗工您好，首先请您简单梳理当前常规 GEO 体系普遍存在的安全短板，为什么必须引入 TEE 与各类密码学技术做底层补强？

罗长才：传统 GEO 架构大多停留在业务功能层面，定位数据采集依赖操作系统通用接口，坐标信息明文存储、明文传输，整体信任基础建立在软件逻辑之上，漏洞非常集中。 第一，位置篡改攻击门槛极低，攻击者可通过劫持定位服务、模拟 GNSS 信号、修改系统坐标参数伪造地理位置，直接导致电子围栏校验、区域风控、属地准入等 GEO 核心业务失效； 第二，GEO 涉及大量用户坐标、机构空间台账、涉密区域数据，多方共享传输过程中明文极易被窃取、嗅探，触碰《数据安全法》《个人信息保护法》中敏感位置数据管控要求； 第三，空间数据多方协同计算时，原始坐标直接外露，数据提供方无法实现 “数据可用不可见”，跨机构空间数据合作推进阻力极大； 第四，GEO 日志、空间确权记录、位置凭证缺乏防篡改存证机制，出现纠纷后溯源举证难度高； 第五，部分数字货币、属地化交易场景下，GEO 需要匹配可控匿名要求，精准地址泄露会引发用户隐私风险。

正是基于以上问题，我们在落地实践中形成一套成熟思路：TEE 筑牢 GEO 数据采集源头信任根基，四类密码学技术分别解决传输加密、隐私运算、匿名确权、防篡改存证四大环节问题，形成端到端可信 GEO 闭环架构。

记者：我们先从硬件底层切入，TEE 可信执行环境具体如何赋能 GEO，在工程落地中有哪些典型实现路径？

罗长才：TEE 本质是 CPU 硬件级隔离安全运行域，与普通操作系统富系统相互隔离，内存、运算资源独立隔离，外部系统无法读取、篡改 TEE 内部代码与运行数据，这是 GEO 实现可信定位最核心的硬件基石。 在 GEO 前端采集环节，我们将定位原始校验逻辑、设备身份密钥、位置签名程序全部部署在 TEE 内部：GNSS、基站、IP 多源定位原始数据直接送入安全域，不在安卓、Linux 普通内存暂存；TEE 内部完成坐标有效性校验、多源定位交叉核验，同步调用内置密钥对最终经纬度数据实时生成数字签名。 外部应用、恶意进程既无法篡改原始定位采样值，也不能窃取签名私钥，输出的位置报文自带可信凭证，后端 GEO 服务通过验签即可判断坐标是否真实可信，从根源杜绝虚拟定位、位置劫持攻击。

落地层面两大典型场景：一是金融属地风控 GEO 系统，交易触发时由 TEE 输出签名位置，后台核验交易发生地域合规性；二是涉密区域电子围栏管控，终端仅 TEE 有权输出准入判定结果，避免围栏规则与定位数据被逆向破解。同时工程上需要适配不同硬件可信根，统一 TEE 位置凭证输出格式，解决多终端、多芯片适配碎片化问题。

记者：接下来聊聊非对称加密体系，公钥、私钥配对架构在 GEO 全链路里承担什么赋能作用？

罗长才：非对称加密是 GEO 跨节点、跨机构通信的身份与传输安全基础，核心利用 “公钥公开加密、私钥私密解密” 的数学特性，解决两大 GEO 核心痛点：身份可信认证、位置报文加密传输。 其一，身份确权。GEO 平台、终端设备、合作机构各自生成独立公私钥对，公钥对外注册公示，私钥本地安全保管；任意一方发起空间数据请求时，用自身私钥对请求报文签名，接收方通过对应公钥验签，确认请求主体身份合法，拦截仿冒节点接入 GEO 空间数据库。 其二，端到端加密传输。GEO 终端输出的敏感坐标、空间台账数据，使用接收方公钥加密后传输，即使传输链路被抓包截获，没有对应私钥无法解密读取原始位置信息，杜绝传输途中数据泄露。 在多级 GEO 协同组网架构中，我们还会基于非对称加密搭建密钥分级体系：顶层机构根密钥、二级节点业务密钥、终端设备密钥分层管控，兼顾大规模空间网络身份管理效率与安全强度，避免单一密钥泄露引发全域 GEO 体系崩溃。

记者：密态计算近些年热度很高，它和 GEO 结合的核心价值是什么，如何满足数据合规共享要求？

罗长才：传统 GEO 多方合作存在矛盾：一方想要使用对方空间数据做区域叠加、距离运算、空间聚类分析，数据方不愿泄露原始坐标明文。密态计算的赋能核心就是GEO 运算全程密文执行，原始位置数据全程可用不可见，完美适配数据合规共享政策要求。 简单举例：A 机构持有全域地块坐标库，B 机构需要判断自身业务点位是否落在 A 划定管控区域内。采用密态计算方案：A 对地块坐标整体加密，B 对自身点位加密，双方密文上传密态计算节点，直接完成包含关系、距离测算、空间交集运算，运算结果解密后仅输出判定结论，双方全程看不到对方原始位置明文。

落地 GEO 改造时，我们主要适配距离计算、缓冲区分析、空间叠加、围栏判定四类高频空间算子做密态适配；同时平衡算力开销，针对大规模批量 GEO 分析任务，采用分层密态调度策略，高频实时判定轻量化密态处理，离线批量空间统计异步密态运算，规避密态计算算力过高导致 GEO 服务超时问题，兼顾安全性与业务可用性。

记者：环签名属于隐私类密码方案，适配 GEO 体系后，主要解决哪类隐私匿名场景需求？

罗长才：环签名区别于常规数字签名，签名者可在预设成员集合内，使用自身私钥搭配集合内其他人公钥生成签名，外界仅能验证签名合法有效，无法定位具体签名发起主体，天然适配 GEO可控匿名需求，最典型落地方向就是央行数字货币属地化交易配套 GEO 校验场景。 在属地交易 GEO 核验场景中：用户需要证明交易行为发生在合规地理范围，但不希望自身精准位置、个人身份被追溯。用户以匿名群组为基础对位置凭证做环签名，GEO 后台仅核验 “该位置签名来自合法群组、坐标属地合规”，无法反向匹配到具体个人，实现 “位置可验、身份隐匿”。 除此之外，匿名化空间存证、区域性民意空间统计、涉密点位匿名上报等 GEO 场景同样适用；我们在落地中会配套监管追溯后门设计，满足合规要求下的定向溯源能力，做到匿名不是绝对不可查，实现可控匿名设计，平衡隐私保护与监管审计需求。

记者：哈希不可逆摘要算法作为轻量化基础密码组件，在 GEO 存证、防篡改层面具体如何落地赋能？

罗长才：哈希算法可将任意长度位置、空间数据，单向运算生成固定长度摘要指纹，不可逆、雪崩效应、抗碰撞三大特性，使其成为 GEO 防篡改、存证溯源最轻量化的底层工具，应用分为三个层级： 第一，单条位置完整性校验。终端输出坐标、位置签名后，同步计算整条报文哈希值，后端二次重算比对哈希，一旦传输、存储过程中坐标被微小篡改，哈希值完全不一致，快速识别数据篡改行为； 第二，GEO 台账链式存证。针对批量空间确权记录、围栏变更日志、位置核验流水，采用默克尔树结构逐层聚合哈希根值，根值定时固化存证，后续任意单条空间记录修改，都会引起整条默克尔树根哈希变动，可快速定位篡改条目，实现海量 GEO 日志高效防篡改审计； 第三，空间数据唯一索引构建。利用哈希值对海量点位、地块数据生成全局唯一标识，替代明文坐标做主键索引，既保护原始位置隐私，也优化大规模 GEO 数据库检索效率。 工程落地中需要注意哈希迭代带来的算力损耗，大规模 GEO 库更新时采用增量哈希更新机制，仅对变更节点重算摘要，降低整体运算开销。

记者：结合您一线落地经验，这套 “TEE + 多密码学” 赋能 GEO 架构，当前工程落地存在哪些共性瓶颈，对应的优化思路是什么？

罗长才：这套融合架构理论闭环完整，但规模化落地有四类现实工程难点，也是我们项目优化的重点方向： 第一，多层安全叠加带来性能损耗。TEE 签名验签、密态运算、多重哈希迭代叠加后，高并发 GEO 实时围栏校验、定位核验接口易出现时延超标。优化方案：拆分冷热业务路径，高频实时 GEO 判定启用轻量化密码策略，离线批量空间统计执行完整加密校验；引入增量哈希、预计算摘要、异步验签模式削减同步算力压力。 第二，全链路密钥运维复杂度陡增。TEE 内置密钥、非对称公私钥、环签名群组密钥多套体系并行，密钥生成、轮换、挂失、备份缺少标准化流程，私钥泄露、丢失风险突出。落地配套完整密钥生命周期管理体系：定期自动密钥轮换、高阶根密钥离线冷存储、密钥泄露后权属公证重置机制，消除单点密钥安全隐患。 第三，软硬件适配碎片化。不同芯片 TEE 指令集、安全接口不统一，各类密态计算算子、环签名算法缺少 GEO 行业适配规范，跨平台、跨机构对接改造成本偏高。行业层面推动安全位置凭证标准化定义，输出统一报文格式、验签接口规范，降低多方对接改造工作量。 第四，安全能力与原有 GEO 业务耦合度把控难题。过度加密改造会大幅改动原有空间数据库、空间分析引擎架构，迭代周期长。我们采用插件化改造思路，将 TEE 签名、加密、哈希校验封装为独立中间件，通过 API 旁路接入现有 GEO 系统，最小改动完成安全赋能，降低落地门槛。

记者：站在长期技术演进视角，您如何看待这套安全体系对 GEO 行业发展的价值，后续融合迭代方向是什么？

罗长才：过去 GEO 竞争集中在定位精度、空间分析算法、可视化能力层面，未来可信安全会成为 GEO 项目准入标配。TEE 与多密码学组合不是附加安全补丁，而是重构 GEO 信任底座：解决位置可信、传输保密、运算合规、隐私匿名、存证可追溯五大底层问题，打开跨政企、跨行业空间数据合规流通的壁垒。 后续迭代我判断有三个明确方向： 一是软硬深度一体化，将 GEO 空间校验逻辑原生内置 TEE 固件，弱化应用层适配成本，实现可信定位开箱即用； 二是隐私计算轻量化迭代，适配更多复杂空间拓扑算子密态改造，支撑更大规模跨主体空间数据协同； 三是可信 GEO 标准化体系成型，明确不同场景下 TEE 部署要求、密码算法选型、存证溯源规范、匿名管控边界，形成可复用、可审计的行业落地范式。 长远来看，可信 GEO 会成为数字城市、数据要素流通、属地监管、数字支付等领域的基础可信基础设施，硬件可信 + 密码学融合模式，是 GEO 摆脱安全短板、规模化合规落地的必然路径。

记者：感谢罗工带来的深度技术分享，最后您对从事 GEO 安全落地的技术从业者有什么建议？

罗长才：很多从业者容易把密码学、TEE 当成纯安全领域知识，割裂看待与 GEO 业务的关联。我的两点实操建议：第一，先吃透 GEO 业务全链路数据流，找准采集、传输、计算、存储、共享每个环节真实风险点，再针对性匹配 TEE、各类密码方案，避免过度加密、无效改造；第二，兼顾理论安全性与工程落地可行性，不能只追求算法强度，必须综合算力、改造成本、兼容性、运维复杂度做平衡设计。空间信息安全不是单一技术堆叠，只有懂 GEO 业务、懂硬件可信、懂密码工程，才能做出真正可落地、可规模化的可信 GEO 解决方案。

专访结语

本次专访完整厘清了 TEE、非对称加密、密态计算、环签名、哈希算法五大技术对 GEO 系统分层赋能逻辑，从源头可信采集、传输加密、隐私运算、匿名确权、防篡改存证构建完整安全闭环，同时客观剖析落地瓶颈与演进方向。随着数据合规监管持续收紧，以硬件可信为根基、密码学为手段的可信 GEO 架构，将成为地理空间技术规模化商用的核心底层支撑，为空间数据要素安全流通提供可落地的技术范式。