移動安全接入平臺的安全機制研究

【摘要】貴州電網移動安全接入平臺旨在整合并監控企業移動應用接入通道，解決本地接入安全和移動終端安全，強化對移動終端和接入方式的全面監控，確保遠程/移動訪問不會損害企業內部應用系統的安全性，實現移動終端接入的信息安全全程管控，為實現應用系統的移動信息化奠定基礎。

【關鍵詞】移動平臺；企業應用；信息安全

1.引言

同傳統互聯網一樣，移動互聯網也面臨著新形式所帶來的種種安全問題。移動互聯網及其聯網設備時刻受到來自于內部和外部的各種攻擊，移動網絡的安全問題已經不容忽視，通過移動終端泄露各種個人隱私及商業機密的問題也隨之而來。因此必須加強企業移動應用的安全保證措施，才能使個人和企業的數據安全得到保證。

2.概述

從實踐的角度來看，完整的安全措施應包括管理制度和技術實施兩大方面，技術上的安全措施又可分為：網絡安全性、主機安全性、操作安全性和報文安全性。

移動安全接入平臺從技術的角度出發，通過對企業應用環境的資產、威脅和脆弱性進行分析，將整個安全架構通過以下具體的安全保障措施來構建：入網審核、身份認證、安全加密和權限管理。

實踐證明，這種思路為企業移動應用提供了形式多樣的技術手段和多重保障機制，有效地保障了企業的網絡安全和數據安全，值得借鑒。

3.企業移動應用發展現狀

3.1 企業應用向移動領域發展的新趨勢

目前，企業應用向移動領域的擴展呈現了一片興旺的勢頭，這完全得益于最新數字通信與網絡技術的突破性發展，并呈現如下新趨勢：

（1）移動終端智能化趨勢凸現

以手機、平板電腦為代表的移動互聯網設備，隨著硬件和軟件性能不斷提升，其操作系統越來越體現出“智能化”的趨勢。

（2）傳統2G網絡向3G跨越

與傳統的2G和2.5G網絡相比，3G 網絡帶寬與傳統的寬帶相比已相差無幾，因此諸多應用不再受到帶寬限制。

（3）技術創新催生出全新的使用體驗

新的硬件技術和新特性的使用，導致用戶從使用體驗到使用習慣上發生了巨大改變。例如：電容屏的大規模普及應用。與PC相比，移動終端的這種全新的用戶體驗是不可替代的。

這些變化和趨勢，及大地引發了企業對移動應用的需求。

3.2 企業移動應用面臨的新挑戰

隨著云計算的興起，企業移動應用逐步向“云”進行發展，比如：HTML 5和虛擬桌面。

HTML 5是W3C組織推薦的下一代HTML標準，目標是取代1999年所制定的HTML 4.01和XHTML 1.0標準。通過HTML 5網頁，企業用戶可以充分利用移動終端的瀏覽器（如Safari或IE）和網絡連接能力，來訪問企業服務，并實現“一次開發，跨平臺共享”的目的。

虛擬桌面或桌面虛擬化（即VDI）是由VMWare、Citrix、Microsoft和Oracle等幾家廠商提出的云計算解決方案。在桌面虛擬化中，桌面實體脫離用戶，向后臺集中，終端泛I/O化，終端設備完全只是負責傳輸鍵盤和鼠標操作信息，相應的處理與響應都在后臺的服務器上進行。

桌面虛擬化可以擴展為“移動云計算”解決方案。即通過桌面虛擬化，平板電腦和手機等類型的廋客戶端也能夠以一種簡單的安全機制遠程連接至虛擬桌面。“移動云計算”突破了虛擬桌面硬件終端上的限制，從而將云計算擴展到了移動互聯網。

虛擬桌面等技術的出現，試圖從一定程度上解決當前本地代碼開發（iOS開發、Android開發）的弊端，然而它的提出并非為企業移動應用而生，而是作為企業的“云計算”解決方案的一個組成部分，效果還難以讓人滿意，主要表現在以下兩個方面：

（1）用戶體驗方面

這主要表現在兩個方面：第一，由于移動終端設備屏幕尺寸的限制，需要對移動客戶端界面進行必要的定制，而這兩種解決方案都不在客戶端部署代碼，定制化界面也就無從談起；第二，移動終端觸摸屏的標準輸入方案采用了虛擬鍵盤輸入，因此所帶來的一系列問題也沒有在這兩種方案中得到很好的解決。

（2）安全方面

一般情況下，虛擬桌面是以SSL VPN方式接入企業內網。由于VDI只是將桌面圖片推送到用戶的終端上，數據的處理和保存都是在后臺進行，所以虛擬桌面可在一定程度上保證企業數據的安全。但不要忘記，移動終端是通過互聯網訪問虛擬桌面的，只要黑客通過種種手段攻破VPN防火墻的保護，企業內網就會暴露在沒有任何安全保障的互聯網中，從而導致巨大的安全隱患。例如，黑客可以通過互聯網輕易嗅探、竊取到企業內部的核心機密，甚至篡改企業數據。

（3）性能方面

在傳統的桌面中，用戶很少遇到性能問題。但在虛擬桌面中，由于桌面圖像位于數據中心，爭奪網絡資源及基礎資源的沖突始終存，導致性能低下，響應緩慢。以Citrix Xendesktop為例，在終端掃描一張高清圖片，在不使用壓縮和不調整帶寬限制的情況下，物理機僅需要5秒左右，而虛擬機需要20分鐘左右。

4.移動安全接入平臺中的安全機制

移動應用在使用多種終端帶來便利的同時，也增加了遠程移動辦公的不可控性，為企業網絡帶來了安全隱患，例如極易導致信息的泄露。

移動安全接入平臺通過對企業移動應用環境進行分析，針對不同威脅采用了以下的防御方式。

4.1 企業APN

在移動安全接入平臺中，移動終端被強制要求通過企業APN來訪問系統。終端用戶需要經過準入申請和準入審核才可接入網絡，移動終端對企業內網的訪問是完全可控的。

4.2 身份認證

移動安全接入平臺對客戶端的身份進行認證，使用了多重技術手段最大限度地保證系統不會被惡意人員進入或權限不被濫用，降低資產脆弱性。具體包括設備SIM卡串號和IMEI綁定、密碼驗證、動態口令驗證幾項。一旦設備綁定完成，該用戶的注冊賬戶、設備IMEI和SIM卡串號將綁定到一起，任一信息不符用戶都將無法登入平臺。此外，用戶在登錄平臺時需要輸入動態口令。動態口令每次都會隨機生成，客戶端不會進行緩存，并以短信的方式發送到用戶的手機。動態口令只在指定時間內有效，一旦失效只能再次請求新的動態口令。平臺管理人員可以指定動態口令的有效時間，并隨時查詢動態口令的生成情況及有效狀態。

4.3 數據加密

數據的保密性要求我們對于企業中敏感數據進行必要的加密和訪問控制。

移動安全接入對用戶敏感數據，例如用戶密碼、證書及密鑰進行加密處理。此外，對于緩存在客戶端的企業機密數據，包括移動辦公系統中的各種內部文檔、組織結構和企業通訊錄，也進行了加密處理。

4.4 傳輸加密

對于在網絡中傳輸的數據，移動安全接入平臺也提供了相應的安全加密措施，包括客戶端與平臺之間的各種消息報文、交易信息和表單數據。對于這些高敏感數據，移動接入平臺提供了一種“非對稱加密+對稱加密”的復合網絡傳輸加密機制。

顧名思義，對稱加密算法，即加密與解密用的是同一把秘鑰；而非對稱加密算法，加密與解密用的是不同的秘鑰。

顯然，非對稱加密比對稱加密有著更高的安全性。因為對于對稱加密，由于加密與解密的秘鑰是同一把，通信的一方必須將秘鑰和密文都傳遞過去，對方才能解密。而非對稱加密則不然，只需傳遞密文與用于解密的公鑰，對方即可解密，用于加密的私鑰由己方保留不必傳遞給對方。目前公認的觀點認為：只要鑰匙的長度足夠長，使用非對稱加密的信息永遠不可能被解破。

當然，由于非對稱加密對CPU計算性能的依賴很大，在使用相同秘鑰的情況下，非對稱加密的運算速度比對稱密碼也要慢許多。此外，非對稱加密長度能夠加密的信息的長度往往受限于密鑰長度。

因此，鑒于二者各自的特點，移動安全接入平臺將二者取長補短，結合起來使用，極大地保障了移動安全接入平臺在網絡中的傳輸的數據安全性和完整性。

4.5 訪問控制

對于移動安全接入平臺系統來講，訪問控制主要是基于角色進行訪問的控制。基于角色訪問控制也是在信息系統中使用比較廣泛的訪問控制機制。用戶在通過了平臺的身份認證后，只能看到相應權限下才能查看數據，以及使用相應權限才可操作的功能。

5.結論

信息安全對企業移動信息化而言，至關重要。貴州電網移動安全接入平臺的整體安全架構，為企業移動應用提供形式多樣的技術手段和多重保障機制。其“入網審核、身份認證、安全加密、權限控制”四重安全保障的思路，值得借鑒。

參考文獻

[1]GB/T20984-2007，信息技術信息安全風險評估規范[S].

[2]GB/T 18336-2001信息技術安全技術信息技術安全性評估準則（idt ISO/IEC 15408：1999）[S].

[3]GB/T 19716-2005信息技術信息安全管理實用規則（ISO/IEC 17799：2000，MOD）[S].

[4]楊宏焱.企業級iOS應用開發實戰[M].北京：機械工業出版社，2013.

[5]楊宏焱.iPhone/iPad企業移動應用開發秘籍[M].北京：海洋版社，2013.

[6]佚名.虛擬桌面介紹[EB/OL].http：//www.virtualclient.cn/DesktopIndex.aspx？id=85.

作者簡介：譚馳（1982—），男，中級工程師，主要從事貴州電網公司信息化項目建設工作。