安全移動辦公解決方案簡析

趙 波

(中國聯合網絡通信有限公司吉林省分公司 長春130021)

1 概述

移動辦公也稱移動OA，是指以安全訪問為前提，利用手機、PDA或筆記本電腦等移動終端通過互聯網或無線網絡訪問企、事業單位辦公系統，實現訪問內網信息、處理公務的功能應用。與傳統辦公系統相比，移動辦公擺脫了時間和場所的局限，隨時隨地處理公務，管理效率明顯提高。

鑒于移動辦公的使用方式，企、事業單位私密信息將在服務于全社會、開放、公眾性的互聯網或無線通信網絡上傳輸與使用，信息安全性至關重要。

實現移動辦公通常從以下4個方面考慮信息安全問題。

（1）內網信息的安全保護

OA系統涉及企、事業單位的整體概況、發展戰略、財務狀況、經營現狀等眾多私密信息，如不能有效保護，裸露于開放、公眾性的互聯網及無線通信網絡上，會被非法用戶或競爭對手侵入，危害極大。

（2）信息傳輸的安全性

OA系統借助公用通信網絡訪問內網信息，處理公務，開放、公眾性的網絡極易發生監聽傳輸數據、入侵數據庫、竊取有關資料等事件，如私密信息在網絡傳輸過程中沒有受到有效保護，一旦被竊取或篡改，危害同樣是巨大的。

（3）員工身份識別與安全登錄

OA系統根據使用單位內部管理職能和管理權限的不同，針對不同員工授予不同使用權限。由于移動辦公人員在登錄OA系統時,其使用的網絡環境和終端比較復雜,如網吧、公用計算機等，基于傳統用戶名/密碼方式的身份認證與授權,極有可能造成身份信息的泄露,增加他人非法訪問OA系統的可能。如何保證移動辦公人員在授權范圍內使用OA系統，準確鑒別身份信息，防止他人或被木馬軟件傷害是安全移動辦公系統的關鍵。

（4）信息的不可抵賴性

據權威機構調查顯示，約70%的泄密事件來自于內部。OA系統承載著企、事業單位眾多關鍵和私密信息。日常工作中，各部門確認、會簽信息不斷，各系統間信息交互頻繁，而在此種環境下，又不可能像傳統紙質文件一樣有簽字、蓋章的痕跡，一旦出現問題，無法跟蹤，更無法追究責任。為此，安全移動辦公系統需建立信息使用與傳輸的抗抵賴機制。

2 安全移動辦公的技術使用與解決方案

目前,安全移動辦公的技術使用與解決方案主要有3種。

2.1 方案一：虛擬專網移動辦公

該方案是運用 VPN（virtual private network，虛擬網)技術,在公眾通信網絡上建立專用網絡實現移動辦公的應用。之所以稱之為虛擬網，是因為VPN網絡中任意兩用戶間的數據傳輸不是通過傳統通信網絡中端到端的物理鏈路實現，而是通過架構在公用通信網絡（如Internet等）之上的邏輯鏈路與邏輯網絡實現。其主要功能是通過隧道(tunnel)或虛電路(virtual circuit)實現網絡互聯，支持用戶安全管理，對網絡實施監控、故障診斷等。由于企、事業單位的私密信息是在專用通信網絡上傳輸與使用的，VPN防御能力強、安全性高，適用于政府、企業、事業單位總部與分支機構內部聯網以及商業合作伙伴之間的網絡互聯。

（1）主要特點

· 建網快速方便：VPN網絡內的任意用戶，只要通過數據專線接入Internet后做相關配置即可。

· 投資少、風險小、節約成本：由于VPN中大量的網絡管理及維護工作由通信運營商負責，節省了建設傳統獨立網絡的投資，減少了企業自身運營及使用成本。

· 網絡安全、可靠：通過在公用通信網絡上建立邏輯隧道，使用網絡層加密技術，有效防御了網絡數據被修改和盜用，保證了用戶數據的安全性及完整性。

（2）不足之處

用戶必須在固定地點、固定場所使用，無法與目前豐富的網絡應用兼容，發展空間受限。

2.2 方案二：無線接入移動辦公

針對終端不同，安全防御技術與方案也不同。

（1）“筆記本＋無線網卡”方式

這種方式的移動辦公是利用VPN防火墻技術，將企、事業單位的內網與無線通信網絡隔離，用戶通過賬號/密碼、“筆記本電腦+無線網卡（GPRS、CDMA、WCDMA）”終端，借助客戶端軟件，穿過VPN防火墻訪問企業內網，實現公文辦理、庫存查詢、客戶資料查詢等一般性功能。其主要特點是軟件開發工作量少，客戶端界面友好、信息量大，接入簡單、易行；不足之處是終端（筆記本、無線網卡）攜帶不方便，公眾場所待機時間短，安全性較低。

（2）手機智能客戶端程序方式

這種方式是基于推送 (push)技術依靠GPRS、CDMA、WCDMA移動通信網絡傳輸數據，通過安全鏈接將客戶應用服務器上的內容（數據）請求推送到客戶手機端，實現隨時隨地移動辦公應用。其主要特點是支持推送辦公、安全性高、速度快、功能強大、界面友好；不足之處是只支持特定的終端，建設成本與使用成本較高。

無線接入移動辦公解決方案的便利性和廣普性，使其適合于對信息安全要求不高的任何企、事業單位與個人。

2.3 方案三：“SSL VPN網關+數字證書”移動辦公

該方案是通過SSLVPN（securitysocketlayervirtualprivate network，安全套接字層虛擬私有網）安全認證網關設備與數字證書技術相結合，透過互聯網、無線通信網絡實現移動辦公應用。

SSL VPN安全認證網關是基于數字證書和SSL技術實現的獨立安全系統，該系統可有效解決數據訪問與傳輸中的身份認證、安全傳輸和訪問內網信息的合法性問題。該設備布置在企、事業單位的內網，是內網與公用通信網絡互聯的惟一的通信接口設備。

移動辦公人員通過數字證書，透過互聯網或無線通信網絡遠程登錄OA系統，完成移動辦公終端與SSL VPN安全網關的雙向認證，根據用戶身份給予相應授權，實施訪問控制，建立安全通道，訪問內網信息。同時,為防止事后信息抵賴，移動辦公人員在向系統提交敏感數據及行為操作時需要進行數字簽名，由SSL VPN安全網關代理并進行簽名驗證、數據解密，再把數據傳給相應的后臺業務系統進行處理。

（1）主要特點

·技術先進、安全、方便：數字證書是承載證書使用者私密信息的電子性文檔,它是由權威公正的第三方機構（即CA中心）簽發。其核心加密技術可以對網絡上傳輸的信息進行加密和解密、數字簽名和簽名驗證，確保網上傳遞信息的機密性、完整性、不可抵賴性。使用數字證書后，即使發送的信息被他人截獲，甚至丟失了個人賬戶、密碼等信息，竊取者也無法破解和使用。

鑒于數字證書與SLL VPN安全網關設備組合的安全性、易用性,本方案可支持多網絡、多終端、多用戶使用，安全、方便。

·投資少、節約成本、建網快：CA認證中心簽發數字證書，互聯網、無線通信網絡的建設與維護全部由專業機構和通信運營商負責，SSL VPN安全網關、OA系統也是由專業廠家研究、生產與維護的，使用者只要投資建設必要的OA系統，購置SSL VPN設備即可。一般情況下，設備到貨即可開通使用，節約運營與使用成本。

·系統功能可擴展性強：數字證書技術在保障安全移動辦公系統有效解決網絡身份驗證，信息傳輸的機密性、完整性和用戶行為的不可抵賴性等網絡安全問題的同時,為網絡購物、安全支付預訂等電子商務性應用提供了可能，符合消費趨向，發展空間巨大。

（2）不足之處

目前,數字證書的存儲有3種形式：安全SD卡或安全 SIM卡、USB Key介質、電子性文檔，前兩種形式需硬件配合，而市場上與其相適配硬件的廣普性不充分；各CA認證中心簽發數字證書的互為兼容性等不夠，用戶認知度低。

綜合以上方案，結合目前市場需求及技術實現，“數字證書+SSL VPN設備”模式是安全移動辦公的最佳解決方案。

3 吉林聯通安全移動辦公解決方案與創新點

鑒于手機移動辦公即“手機終端+內置數字證書+安全SD卡或安全SIM卡”模式對手機終端要求較高、安全SD卡或安全SIM卡廣普性不夠，且受網絡環境及終端屏幕大小等條件限制，實際操作存在諸多不便因素。為此，吉林聯通采用“電腦+數字證書+SSL VPN設備”模式組建安全移動辦公系統。

3.1 系統結構

吉林聯通“電腦+數字證書+SSL VPN”模式的安全移動辦公系統采用4層架構體系：終端接入層、業務處理層、安全支撐層和系統應用層，如圖1所示，吉林聯通安全移動辦公網絡的拓撲如圖2所示。

·終端接入層：使用安全移動辦公系統的用戶和終端，包括用戶、上網終端（電腦、上網本、電腦+上網卡）和USB Key（存儲數字證書的硬件）終端。

·業務處理層：使用系統用戶的信息登記、數字證書簽發、USB Key終端發放、寬帶上網等必要使用條件的登記、受理與準備。

· 安全支撐層：以CA認證技術為核心，以SSL VPN為保護，以統一支付平臺為應用的安全技術支撐系統。

· 系統應用層：用戶計劃訪問的內網信息系統及網絡應用，如企業OA系統、ERP系統、經營分析系統、營業系統、網絡繳費、支付預訂等網站。

· 吉林聯通DCN（data communication network）：吉林聯通覆蓋全省業務、營業、計費、網管數據傳輸、多媒體通信、企業內部管理等系統的傳輸通道和通信控制平臺，承載公司全部核心業務和企業信息系統的網絡。企業員工主要是透過公用通信網訪問該網信息。

·SSL VPN安全接入網關設備：實現用戶透過公網訪問吉林聯通DCN網內信息的安全防御設備,該設備置于吉林省聯通公司辦公大樓與公司DCN接口處,以串行方式連接。

· 吉林數字證書簽發審批機構：中國聯通集團公司與CA中心下設并授權的吉林數字證書審批機構RA（registration authority），該機構負責證書申請者的信息錄入、審核以及證書發放等工作，并對已發放的證書實施管理職能，是中國聯通根CA證書發放、管理的延伸機構。

· 吉林聯通支付預訂網站（http://www.webjilin.com）：吉林聯通公司自主研發建設網上交易系統的Web展示，該系統運用CA技術，以USB Key終端承載數字證書為網絡身份識別，以第三方數字簽名為交易依據，以“數字證書+密碼”的雙重保護機制為用戶提供中國聯通固話、寬帶、手機、小靈通等業務繳費，網絡沖印，鮮花、蛋糕、電子卡幣訂購等安全電子交易服務。

· 用戶使用終端：“臺式（筆記本）電腦、臺式（筆記本）電腦+3G上網卡或3G上網本”+USB Key終端。

·用戶接入網絡：有線互聯網 ADSL、FTTx，無線網絡 WLAN、WCDMA、CDMA、TD-SCDMA 等公用通信網絡。

3.2 數字證書存儲模式的選擇

數字證書分文件證書及USB Key兩種存儲模式。

（1）文件證書模式

該模式是指數字證書以電子文件形式存儲在電腦中，用戶通過互聯網或無線網絡訪問網絡辦公外網地址后，系統提示用戶文件證書存儲的具體位置或在瀏覽器中選擇所要使用的證書，由已安裝的證書控件自動讀出證書中的用戶信息，將用戶信息傳給SSL VPN設備客戶端，SSL VPN客戶端自動與SSL VPN設備進行用戶信息校驗，校驗無誤后，便在用戶與網絡辦公系統間架設了一條安全通道，用戶可以通過這條通道訪問內網信息并在辦公系統中進行操作。

由于文件證書是存儲在電腦硬盤中的，可被復制，安全性相對較低。另外，文件證書在受理、制作過程中，一般由指定管理員集中受理、制作和發放，不便于用戶隨時申請、隨時獲得。

（2）USB Key模式

該模式是指數字證書存儲于安全硬件介質中，該硬件大小及外形如U盤，帶有USB接口，所以也被稱之為USB Key介質。

該模式下用戶登錄移動辦公系統時，首先將存有用戶證書的USB Key插入電腦USB口，輸入USB Key保護密碼，訪問網絡辦公外網地址，證書控件與SSL VPN客戶端配合自動完成用戶信息校驗，建立用戶與企、事業單位網絡辦公系統的安全通道，用戶在安全通道內登錄辦公系統，處理公務。

由于證書是存儲在USB Key中的，不能被復制，并有USB Key密碼保護，所以安全級別很高。吉林聯通任意營業廳均可辦理數字證書的申請與硬件發放、掛失、補辦等手續，方便、簡單，見表1。

綜合以上分析，吉林聯通采用USB Key硬件終端存儲安全移動辦公的數字證書，業務名稱定為E盾，終端名稱定為 IPASS(I PASS)。

3.3 使用方法及流程

3.3.1 使用條件

·具備接入互聯網條件：用戶到中國聯通營業廳申辦寬帶接入、移動辦公業務，申請數字證書，獲取IPASS硬件終端。本方案支持 ADSL、FTTx、WLAN、WCDMA、CDMA、TD-SCDMA 等網絡接入。

·上網硬件終端：電腦、電腦+上網卡或上網本等。

3.3.2 方法及流程

根據網絡與終端的不同，提供兩種接入網、4種使用終端的選擇與使用。

（1）通過有線FTTx或ADSL方式接入互聯網

在該場景下，用戶以“臺式（筆記本）電腦+USB Key”為接入終端，以FTTx或ADSL為寬帶接入,通過互聯網登錄企業內網，處理公務。具體使用流程如下：

·電腦開機，登錄互聯網；

·在USB口上插入IPASS終端,輸入終端保護密碼；

·下載并安裝數字證書及客戶端軟件(僅第一次使用時)。

吉林聯通IPASS終端除可實現安全移動辦公外，還具有網上繳費，鮮花、蛋糕、機票、酒店預訂，數碼沖印，文件箱等功能。為此IPASS客戶端軟件打開后有多種選擇，這里僅以移動辦公、聯通業務網上繳費為例說明，如圖3和圖4所示。

選擇1：安全移動辦公。點擊IPASS客戶端軟件中移動辦公按鈕,認證、確認用戶身份，通過后進入吉林聯通辦公自動化系統，瀏覽信息、處理公務。

選擇2：在輸入USB Key終端保護密碼后,點擊IPASS客戶端軟件中的繳費按鈕，登錄聯通業務繳費頁面，繳費支付。

（2）通過無線 WLAN或 WCDMA（CDMA/TD-SCDMA）接入互聯網

在該場景下，用戶是使用“臺式（筆記本）電腦+3G上網卡+IPASS終端”或“上網本+IPASS終端”登錄互聯網。上網后其使用流程，如在電腦上插入IPASS終端，通過IPASS客戶端軟件調用數字證書識別用戶身份，使用專用SSL VPN隧道加密技術對數據傳輸的加密，進入吉林聯通DCN，登錄企業OA系統等操作與FTTx或ADSL接入場景相同，只是在寬帶接入層面是無線網絡。

表1 數字證書存儲模式的對比分析

3.4 創新點

本方案在提供安全登錄OA系統，實現移動辦公外，還具有可對數字證書認證技術的用戶身份進行識別，具有數據傳輸的安全性、完整性，行為的不可抵賴性等特點，在IPASS終端中內置了吉林聯通員工個人資金賬號及私密信息，在網絡支付預訂、中國聯通業務網上繳費等方面進行了擴展性嘗試，效果良好。

3.4.1 建設統一支付平臺，實施用戶資金管理

該平臺邏輯結構分為業務層、支撐層和接口層，如圖5所示。

·業務層：負責資金賬戶的管理、充值及支付等業務邏輯及管理。

·支撐層：支撐省統一支付平臺的業務運營，包括業務流程管理、系統維護管理、計費和對賬管理、統計分析、日志管理等。

·接口層：作為業務接入子系統，接口層是統一支付平臺與各業務系統的接口，主要包括與集團級統一支付平臺的接口，與營業系統、電子交易系統、CA接口、其他預留系統等業務的接口。

3.4.2 建設網上交易系統實現商戶、用戶、產品管理與展示

支付預訂網站（http://www.webjilin.com）是吉林聯通網上交易系統的Web展現，該系統除提供店鋪管理、產品發布、商品搜索、用戶注冊、在線訂購、訂單管理、支付和配送管理、在線支付等外，還提供用戶賬戶管理、資金管理、統計分析、資金明細、消費明細、郵費計算等功能，使用戶可自行建立屬于自己的網上店鋪或商城。同時，后臺通過Web界面實施管理的方式操作方便、實用，如商品發布、商品維護、訂單處理、資金管理等操作。

操作系統：Windows Server 2003；

數據庫：Oracle 9i；

開發工具：java+jsp；

通信協議：TCP/IP Socket。

3.4.3 統一支付平臺與主要應用系統邊界的劃分

（1）與中國聯通營業系統邊界的劃分

·業務管理：營業受理系統負責提供用戶資金賬戶開戶、銷戶、變更的受理功能和受理界面，向統一支付平臺發出用戶資金賬戶現金充值的請求。統一支付平臺負責用戶資金賬戶的管理和維護，營業系統提供與統一支付平臺之間的對賬、結算和充值功能接口，支持統一充值繳費業務的實現。

·用戶：營業系統用戶是指營業受理窗口管理的后付費業務用戶，統一支付平臺用戶是指使用用戶資金賬戶的用戶。

·賬戶：后付費業務賬戶是指營業受理系統的業務賬戶，用戶資金賬戶是指統一支付平臺的用戶賬戶。

·接口：包括用戶資金賬戶的開戶、銷戶、變更等接口，用戶資金賬戶的現金充值接口，后付費用戶賬單查詢、充值/繳費（用戶資金賬戶繳費）、銷賬等接口，用戶資金賬戶鑒權、扣費接口，對賬和充值接口。

（2）與電子交易系統邊界的劃分

·業務管理：網上交易系統負責維護業務賬戶余額，統一支付平臺管理的用戶資金賬戶是網上交易系統業務賬戶資金來源之一，網上交易系統為統一支付平臺提供余額查詢接口和充值接口。

·用戶：網上交易系統的用戶是指網上交易系統的業務用戶，統一支付平臺的用戶是指使用資金賬戶的用戶。

·賬戶：網上交易系統賬戶是指網上交易系統的業務賬戶，用戶資金賬戶是指統一支付平臺的資金賬戶。

·接口：網上交易系統需為統一支付平臺提供余額查詢、充值、對賬等接口。

3.4.4 用戶資金賬戶的繳費與充值統一支付平臺提供網銀、營業廳現金、聯通一卡充（10011）IVR語音3種繳費與充值服務。

3.4.5 舉例

IPASS用戶交費流程說明，如圖6所示。流程描述如下。

·用戶登錄Web頁面發起交費請求。

·Web向統一支付平臺發送相關信息，統一支付平臺向網上交易系統發起IPASS用戶資金賬戶賬單查詢請求；

·網上交易系統向統一支付平臺、統一支付平臺向Web網站分別返回賬單查詢響應。

·IPASS用戶資金賬號的賬單信息通過Web展示給用戶；

·用戶向Web發起資金賬號付費請求；

·Web向統一支付平臺發起資金賬號付費請求，統一支付平臺對用戶身份等相關信息進行鑒權、扣款，并向網上交易系統發出用戶資金賬號的銷賬請求；

·網上交易向統一支付平臺返回用戶銷賬響應信息；

·統一支付平臺向Web網站返回交費響應信息；

·Web網站向用戶展示交費成功信息。