移動安全接入平臺的安全機(jī)制研究

【摘要】貴州電網(wǎng)移動安全接入平臺旨在整合并監(jiān)控企業(yè)移動應(yīng)用接入通道，解決本地接入安全和移動終端安全，強(qiáng)化對移動終端和接入方式的全面監(jiān)控，確保遠(yuǎn)程/移動訪問不會損害企業(yè)內(nèi)部應(yīng)用系統(tǒng)的安全性，實(shí)現(xiàn)移動終端接入的信息安全全程管控，為實(shí)現(xiàn)應(yīng)用系統(tǒng)的移動信息化奠定基礎(chǔ)。

【關(guān)鍵詞】移動平臺；企業(yè)應(yīng)用；信息安全

1.引言

同傳統(tǒng)互聯(lián)網(wǎng)一樣，移動互聯(lián)網(wǎng)也面臨著新形式所帶來的種種安全問題。移動互聯(lián)網(wǎng)及其聯(lián)網(wǎng)設(shè)備時刻受到來自于內(nèi)部和外部的各種攻擊，移動網(wǎng)絡(luò)的安全問題已經(jīng)不容忽視，通過移動終端泄露各種個人隱私及商業(yè)機(jī)密的問題也隨之而來。因此必須加強(qiáng)企業(yè)移動應(yīng)用的安全保證措施，才能使個人和企業(yè)的數(shù)據(jù)安全得到保證。

2.概述

從實(shí)踐的角度來看，完整的安全措施應(yīng)包括管理制度和技術(shù)實(shí)施兩大方面，技術(shù)上的安全措施又可分為：網(wǎng)絡(luò)安全性、主機(jī)安全性、操作安全性和報文安全性。

移動安全接入平臺從技術(shù)的角度出發(fā)，通過對企業(yè)應(yīng)用環(huán)境的資產(chǎn)、威脅和脆弱性進(jìn)行分析，將整個安全架構(gòu)通過以下具體的安全保障措施來構(gòu)建：入網(wǎng)審核、身份認(rèn)證、安全加密和權(quán)限管理。

實(shí)踐證明，這種思路為企業(yè)移動應(yīng)用提供了形式多樣的技術(shù)手段和多重保障機(jī)制，有效地保障了企業(yè)的網(wǎng)絡(luò)安全和數(shù)據(jù)安全，值得借鑒。

3.企業(yè)移動應(yīng)用發(fā)展現(xiàn)狀

3.1 企業(yè)應(yīng)用向移動領(lǐng)域發(fā)展的新趨勢

目前，企業(yè)應(yīng)用向移動領(lǐng)域的擴(kuò)展呈現(xiàn)了一片興旺的勢頭，這完全得益于最新數(shù)字通信與網(wǎng)絡(luò)技術(shù)的突破性發(fā)展，并呈現(xiàn)如下新趨勢：

（1）移動終端智能化趨勢凸現(xiàn)

以手機(jī)、平板電腦為代表的移動互聯(lián)網(wǎng)設(shè)備，隨著硬件和軟件性能不斷提升，其操作系統(tǒng)越來越體現(xiàn)出“智能化”的趨勢。

（2）傳統(tǒng)2G網(wǎng)絡(luò)向3G跨越

與傳統(tǒng)的2G和2.5G網(wǎng)絡(luò)相比，3G 網(wǎng)絡(luò)帶寬與傳統(tǒng)的寬帶相比已相差無幾，因此諸多應(yīng)用不再受到帶寬限制。

（3）技術(shù)創(chuàng)新催生出全新的使用體驗(yàn)

新的硬件技術(shù)和新特性的使用，導(dǎo)致用戶從使用體驗(yàn)到使用習(xí)慣上發(fā)生了巨大改變。例如：電容屏的大規(guī)模普及應(yīng)用。與PC相比，移動終端的這種全新的用戶體驗(yàn)是不可替代的。

這些變化和趨勢，及大地引發(fā)了企業(yè)對移動應(yīng)用的需求。

3.2 企業(yè)移動應(yīng)用面臨的新挑戰(zhàn)

隨著云計算的興起，企業(yè)移動應(yīng)用逐步向“云”進(jìn)行發(fā)展，比如：HTML 5和虛擬桌面。

HTML 5是W3C組織推薦的下一代HTML標(biāo)準(zhǔn)，目標(biāo)是取代1999年所制定的HTML 4.01和XHTML 1.0標(biāo)準(zhǔn)。通過HTML 5網(wǎng)頁，企業(yè)用戶可以充分利用移動終端的瀏覽器（如Safari或IE）和網(wǎng)絡(luò)連接能力，來訪問企業(yè)服務(wù)，并實(shí)現(xiàn)“一次開發(fā)，跨平臺共享”的目的。

虛擬桌面或桌面虛擬化（即VDI）是由VMWare、Citrix、Microsoft和Oracle等幾家廠商提出的云計算解決方案。在桌面虛擬化中，桌面實(shí)體脫離用戶，向后臺集中，終端泛I/O化，終端設(shè)備完全只是負(fù)責(zé)傳輸鍵盤和鼠標(biāo)操作信息，相應(yīng)的處理與響應(yīng)都在后臺的服務(wù)器上進(jìn)行。

桌面虛擬化可以擴(kuò)展為“移動云計算”解決方案。即通過桌面虛擬化，平板電腦和手機(jī)等類型的廋客戶端也能夠以一種簡單的安全機(jī)制遠(yuǎn)程連接至虛擬桌面?！耙苿釉朴嬎恪蓖黄屏颂摂M桌面硬件終端上的限制，從而將云計算擴(kuò)展到了移動互聯(lián)網(wǎng)。

虛擬桌面等技術(shù)的出現(xiàn)，試圖從一定程度上解決當(dāng)前本地代碼開發(fā)（iOS開發(fā)、Android開發(fā)）的弊端，然而它的提出并非為企業(yè)移動應(yīng)用而生，而是作為企業(yè)的“云計算”解決方案的一個組成部分，效果還難以讓人滿意，主要表現(xiàn)在以下兩個方面：

（1）用戶體驗(yàn)方面

這主要表現(xiàn)在兩個方面：第一，由于移動終端設(shè)備屏幕尺寸的限制，需要對移動客戶端界面進(jìn)行必要的定制，而這兩種解決方案都不在客戶端部署代碼，定制化界面也就無從談起；第二，移動終端觸摸屏的標(biāo)準(zhǔn)輸入方案采用了虛擬鍵盤輸入，因此所帶來的一系列問題也沒有在這兩種方案中得到很好的解決。

（2）安全方面

一般情況下，虛擬桌面是以SSL VPN方式接入企業(yè)內(nèi)網(wǎng)。由于VDI只是將桌面圖片推送到用戶的終端上，數(shù)據(jù)的處理和保存都是在后臺進(jìn)行，所以虛擬桌面可在一定程度上保證企業(yè)數(shù)據(jù)的安全。但不要忘記，移動終端是通過互聯(lián)網(wǎng)訪問虛擬桌面的，只要黑客通過種種手段攻破VPN防火墻的保護(hù)，企業(yè)內(nèi)網(wǎng)就會暴露在沒有任何安全保障的互聯(lián)網(wǎng)中，從而導(dǎo)致巨大的安全隱患。例如，黑客可以通過互聯(lián)網(wǎng)輕易嗅探、竊取到企業(yè)內(nèi)部的核心機(jī)密，甚至篡改企業(yè)數(shù)據(jù)。

（3）性能方面

在傳統(tǒng)的桌面中，用戶很少遇到性能問題。但在虛擬桌面中，由于桌面圖像位于數(shù)據(jù)中心，爭奪網(wǎng)絡(luò)資源及基礎(chǔ)資源的沖突始終存，導(dǎo)致性能低下，響應(yīng)緩慢。以Citrix Xendesktop為例，在終端掃描一張高清圖片，在不使用壓縮和不調(diào)整帶寬限制的情況下，物理機(jī)僅需要5秒左右，而虛擬機(jī)需要20分鐘左右。

4.移動安全接入平臺中的安全機(jī)制

移動應(yīng)用在使用多種終端帶來便利的同時，也增加了遠(yuǎn)程移動辦公的不可控性，為企業(yè)網(wǎng)絡(luò)帶來了安全隱患，例如極易導(dǎo)致信息的泄露。

移動安全接入平臺通過對企業(yè)移動應(yīng)用環(huán)境進(jìn)行分析，針對不同威脅采用了以下的防御方式。

4.1 企業(yè)APN

在移動安全接入平臺中，移動終端被強(qiáng)制要求通過企業(yè)APN來訪問系統(tǒng)。終端用戶需要經(jīng)過準(zhǔn)入申請和準(zhǔn)入審核才可接入網(wǎng)絡(luò)，移動終端對企業(yè)內(nèi)網(wǎng)的訪問是完全可控的。

4.2 身份認(rèn)證

移動安全接入平臺對客戶端的身份進(jìn)行認(rèn)證，使用了多重技術(shù)手段最大限度地保證系統(tǒng)不會被惡意人員進(jìn)入或權(quán)限不被濫用，降低資產(chǎn)脆弱性。具體包括設(shè)備SIM卡串號和IMEI綁定、密碼驗(yàn)證、動態(tài)口令驗(yàn)證幾項(xiàng)。一旦設(shè)備綁定完成，該用戶的注冊賬戶、設(shè)備IMEI和SIM卡串號將綁定到一起，任一信息不符用戶都將無法登入平臺。此外，用戶在登錄平臺時需要輸入動態(tài)口令。動態(tài)口令每次都會隨機(jī)生成，客戶端不會進(jìn)行緩存，并以短信的方式發(fā)送到用戶的手機(jī)。動態(tài)口令只在指定時間內(nèi)有效，一旦失效只能再次請求新的動態(tài)口令。平臺管理人員可以指定動態(tài)口令的有效時間，并隨時查詢動態(tài)口令的生成情況及有效狀態(tài)。

4.3 數(shù)據(jù)加密

數(shù)據(jù)的保密性要求我們對于企業(yè)中敏感數(shù)據(jù)進(jìn)行必要的加密和訪問控制。

移動安全接入對用戶敏感數(shù)據(jù)，例如用戶密碼、證書及密鑰進(jìn)行加密處理。此外，對于緩存在客戶端的企業(yè)機(jī)密數(shù)據(jù)，包括移動辦公系統(tǒng)中的各種內(nèi)部文檔、組織結(jié)構(gòu)和企業(yè)通訊錄，也進(jìn)行了加密處理。

4.4 傳輸加密

對于在網(wǎng)絡(luò)中傳輸?shù)臄?shù)據(jù)，移動安全接入平臺也提供了相應(yīng)的安全加密措施，包括客戶端與平臺之間的各種消息報文、交易信息和表單數(shù)據(jù)。對于這些高敏感數(shù)據(jù)，移動接入平臺提供了一種“非對稱加密+對稱加密”的復(fù)合網(wǎng)絡(luò)傳輸加密機(jī)制。

顧名思義，對稱加密算法，即加密與解密用的是同一把秘鑰；而非對稱加密算法，加密與解密用的是不同的秘鑰。

顯然，非對稱加密比對稱加密有著更高的安全性。因?yàn)閷τ趯ΨQ加密，由于加密與解密的秘鑰是同一把，通信的一方必須將秘鑰和密文都傳遞過去，對方才能解密。而非對稱加密則不然，只需傳遞密文與用于解密的公鑰，對方即可解密，用于加密的私鑰由己方保留不必傳遞給對方。目前公認(rèn)的觀點(diǎn)認(rèn)為：只要鑰匙的長度足夠長，使用非對稱加密的信息永遠(yuǎn)不可能被解破。

當(dāng)然，由于非對稱加密對CPU計算性能的依賴很大，在使用相同秘鑰的情況下，非對稱加密的運(yùn)算速度比對稱密碼也要慢許多。此外，非對稱加密長度能夠加密的信息的長度往往受限于密鑰長度。

因此，鑒于二者各自的特點(diǎn)，移動安全接入平臺將二者取長補(bǔ)短，結(jié)合起來使用，極大地保障了移動安全接入平臺在網(wǎng)絡(luò)中的傳輸?shù)臄?shù)據(jù)安全性和完整性。

4.5 訪問控制

對于移動安全接入平臺系統(tǒng)來講，訪問控制主要是基于角色進(jìn)行訪問的控制?；诮巧L問控制也是在信息系統(tǒng)中使用比較廣泛的訪問控制機(jī)制。用戶在通過了平臺的身份認(rèn)證后，只能看到相應(yīng)權(quán)限下才能查看數(shù)據(jù)，以及使用相應(yīng)權(quán)限才可操作的功能。

5.結(jié)論

信息安全對企業(yè)移動信息化而言，至關(guān)重要。貴州電網(wǎng)移動安全接入平臺的整體安全架構(gòu)，為企業(yè)移動應(yīng)用提供形式多樣的技術(shù)手段和多重保障機(jī)制。其“入網(wǎng)審核、身份認(rèn)證、安全加密、權(quán)限控制”四重安全保障的思路，值得借鑒。

參考文獻(xiàn)

[1]GB/T20984-2007，信息技術(shù)信息安全風(fēng)險評估規(guī)范[S].

[2]GB/T 18336-2001信息技術(shù)安全技術(shù)信息技術(shù)安全性評估準(zhǔn)則（idt ISO/IEC 15408：1999）[S].

[3]GB/T 19716-2005信息技術(shù)信息安全管理實(shí)用規(guī)則（ISO/IEC 17799：2000，MOD）[S].

[4]楊宏焱.企業(yè)級iOS應(yīng)用開發(fā)實(shí)戰(zhàn)[M].北京：機(jī)械工業(yè)出版社，2013.

[5]楊宏焱.iPhone/iPad企業(yè)移動應(yīng)用開發(fā)秘籍[M].北京：海洋版社，2013.

[6]佚名.虛擬桌面介紹[EB/OL].http：//www.virtualclient.cn/DesktopIndex.aspx？id=85.

作者簡介：譚馳（1982—），男，中級工程師，主要從事貴州電網(wǎng)公司信息化項(xiàng)目建設(shè)工作。