移動安全接入平臺的安全機制

陳姣 周智勛

【摘要】 隨著智能移動終端以及移動互聯網的飛速發展，電網企業營銷、辦公、生產等傳統業務范圍也在不斷向移動終端進行擴展，如何保證電力企業移動終端遠程接入電力信息內網時的信息安全成為電力企業移動信息化過程中亟待解決的問題。本文首先分析企業移動應用的現狀，針對電力企業移動安全接入的業務需求，以及電力信息安全的特殊要求，討論并分析了南方電網移動安全接入平臺的安全實現機制。系統從網絡傳輸安全、終端安全、應用安全三個方面入手，研究并解決移動終端接入過程的信息安全問題；對各種移動終端采取了有針對性的安全策略以提升移動終端安全性，采用網絡隔離和高強度的數據加密/解密接口保證內網的應用的安全。

【關鍵詞】 移動終端 安全接入 APN SSL VPN

引言

目前，隨著移動互聯網的發展，在南方電網公司已經存在一批移動應用，如移動辦公、ITSM、基建作業、營銷作業和電力搶修等。但由于各項業務終端和通信網絡的不安全性，為企業內網安全帶來了巨大的風險，主要體現在以下三個方面：

（1）移動終端自身的安全性問題。由于移動終端接入電力信息內網后可能處于“一機兩網”的狀態，即同時連接Internet 和電力信息內網， 同時由于移動終端缺乏保護終端數據文件的有效手段，因此存在電力信息內網敏感信息泄露等安全隱患。

（2）通信過程中的安全性問題。在移動終端接入電力信息內網的過程中，以及在接入后數據的傳輸過程中，數據傳輸鏈路都面臨著被攻擊干擾、破壞、截獲數據、篡改數據等威脅。

（3）營銷終端的訪問控制問題。移動終端一經成功接入電力信息內網后就被看作是電力信息內部可信的用戶來使用電力信息內網的資源，一旦終端被挾持，將會給整個電力信息內網帶來不可控制的風險威脅。

因此必須加強企業移動應用的安全保證措施，才能使個人和企業的數據安全得到保證。

概述

從實踐的角度來看，終端接入企業內網的問題通常涉及三個部分：傳輸通道的安全、內網應用的安全和終端設備的安全。這三個方面任何一方面出現問題，都將導致遠程接入過程的不安全。而傳統的基于 APN 專網的接入方案都只關注于傳輸通道的安全，雖然在某個方面上保證了遠程接入的數據傳輸安全，但缺乏對整個接入過程的完整保護，無法保證移動終端在接入內網應用時的安全。

移動安全接入平臺從技術的角度出發，通過對企業應用環境的資產、威脅和脆弱性進行分析，將整個安全架構在網絡傳輸安全、終端安全、應用安全之上，以多種技術手段和多重保障機制，有效地保障企業的網絡安全和數據安全。

一、企業移動應用發展現狀

4G 加速進入生活，智能手機和平板已經成為我們生活中不可或缺的產品。甚至在工作中，移動設備也是我們重要的工具和伙伴，越來越多的人們在工作中使用移動設備。

針對企業員工進行的一項調查數據顯示，62%的員工日常工作中使用智能手機，56%的員工使用平板電腦。

使用移動設備進行辦公已經成為一種全新的工作方式。這種工作方式形式靈活，不受時間地點限制，辦公效率得到提升，同時節省了企業的辦公成本。

與此同時，移動設備易攜帶、易丟失、個人消費應用和企業應用混用等特點，導致 IT支持部門非常擔心由此帶來的安全風險。這些風險包括：

（1）數據安全。智能終端易于攜帶、容易丟失，會導致敏感商業信息的泄漏，對數據安全構成極大威脅，給企業帶來法規遵從的風險。此外， 移動終端易被他人非授權使用，產生拷貝、下載或打印企業內部敏感資料的風險。

（2）網絡安全。由于自攜帶設備的特殊性，智能終端經常在不安全網絡和企業網絡之間來回切換，因此更容易遭受木馬或病毒的侵害，從而將病毒或木馬自動傳播至企業網絡，對內部網絡安全構成極大威脅。

（3）應用安全。相當一部分移動設備來自于員工， 而非企業。員工可以任意下載和安裝消費類應用，這極大地降低系統的可靠性，引入了安全風險，造成企業數據丟失或設備功能失效。

南方電網為解決移動設備在企業辦公中存在的安全問題，早在 2010 年就實施了自己的移動安全接入平臺，并建立了《南方電網遠程移動安全接入平臺技術規范》，對企業如何進行移動信息化以及移動安全方面做出了積極探索。

二、移動安全接入平臺中的安全機制

本文將從網絡傳輸安全、終端安全、應用安全三個方面介紹移動安全接入平臺的安全機制。

2.1網絡傳輸安全

網絡傳輸安全通過以下技術手段來保證。

2.1.1 APN 技術

APN（Anywhere Private Network）是解決以動態 IP 接入Internet的局域網之間的互聯，并以較低成本接入，以較低通信成本提供較高性能以及可靠的網絡專網的計算機網絡技術。

在移動安全接入平臺中，移動終端被強制要求通過企業APN 來訪問系統。終端用戶需要經過準入申請和準入審核才可接入網絡，移動終端對企業內網的訪問是完全可控的。

2.1.2設備綁定

UDID，是用于區分設備的 GUID 唯一編碼。由于操作系統廠商的限制，獲取設備物理編碼（IMEI）變得不可能。因此移動安全接入平臺根據一定的編碼規則及設備的物理特性為每一臺設備生成一個唯一的 UDID 碼，用于識別移動終端。同時將該編碼和特定用戶進行綁定。

移動安全平臺支持對入網設備的 MDN（手機號） 和UDID 進行綁定。針對首次入網的設備，系統將要求用戶對該設備進行綁定。綁定是基于向該用戶發送認證碼短信來進行的，而用戶接收短信的手機號信息來自于平臺登錄數據庫，而短信的發送完全是由企業管理人員手動操作的。只有經過設備綁定的用戶，才會被系統準入。

一旦設備綁定完成，該用戶的注冊賬戶和該設備的UUID 將綁定到一起，任一信息不符用戶都將無法登入平臺。從而最大限度地保證設備不被挾持和濫用，降低資產脆弱性。

此外，平臺可對終端設備進行管理，如用戶的移動終端不慎遺失，管理人員可通過管理后臺的禁止該設備的登錄。

2.1.3身份認證

此外，用戶在登錄內網應用之前，需要進行身份認證。平臺認證的措施包括用戶密碼和動態口令。動態口令每次都會隨機生成，客戶端不會進行緩存，并以短信的方式發送到設備所綁定的手機上。

動態口令只在指定時間內有效，一旦失效只能再次請求新的動態口令。平臺管理人員可以指定動態口令的有效時間，并隨時查詢動態口令的生成情況及有效狀態。

2.1.4信息傳輸加密

對于在網絡中傳輸的數據，移動安全接入平臺也提供了相應的安全加密措施，包括客戶端與平臺之間的各種消息報文、交易信息和表單數據。對于這些高敏感數據，移動接入平臺提供了一種“非對稱加密+對稱加密”的復合網絡傳輸加密機制。

顧名思義，對稱加密算法，即加密與解密用的是同一把秘鑰；而非對稱加密算法，加密與解密用的是不同的秘鑰。

顯然，非對稱加密比對稱加密有著更高的安全性。因為對于對稱加密，由于加密與解密的秘鑰是同一把，通信的一方必須將秘鑰和密文都傳遞過去，對方才能解密。而非對稱加密則不然，只需傳遞密文與用于解密的公鑰，對方即可解密，用于加密的私鑰由己方保留不必傳遞給對方。目前公認的觀點認為：只要鑰匙的長度足夠長，使用非對稱加密的信息永遠不可能被解破。

當然，由于非對稱加密對 CPU 計算性能的依賴很大，在使用相同秘鑰的情況下，非對稱加密的運算速度比對稱密碼也要慢許多。此外，非對稱加密長度能夠加密的信息的長度往往受限于密鑰長度。

因此，鑒于二者各自的特點，移動安全接入平臺將二者取長補短，結合起來使用，極大地保障了移動安全接入平臺在網絡中的傳輸的數據安全性和完整性。

2.2終端安全

終端安全技術包括：終端安全檢查、代碼簽名技術、MDM（移動設備管理）。

2.2.1終端安全檢查

終端安全檢查是檢查終端狀態是否合乎安全要求、用戶的行為是否合法。移動終端在訪問內網資源前，需要進行安全性檢查，不符合安全檢查策略的終端將被禁止訪問內網資源。安全檢查模塊對終端的操作系統版本、系統是否越獄、鎖屏密碼是否合規、特殊位置的磁盤文件等進行嚴格檢查。

根據檢查策略，系統在處理移動終端接入時會先檢查終端是否具備上述一項或者幾項特征參數，依據檢查結果判斷是否允許該終端與安全接入網關建立連接，徹底杜絕不健康的移動終端接入內網，確保移動終端的安全，從源頭杜絕威脅的發生。

2.2.2代碼簽名技術

代碼簽名證書為軟件開發商提供了一個理想的解決方案，使得軟件開發商能對其軟件代碼進行數字簽名。通過對代碼的數字簽名來標識軟件來源以及軟件開發者的真實身份，保證代碼在簽名之后不被惡意篡改。使用戶在下載已經簽名的代碼時，能夠有效的驗證該代碼的可信度。

移動安全接入平臺根據不同移動終端所用的平臺（iOS、Android、Windows）及平臺所對應的 app 商店，采用不同的技術對 app 進行代碼簽名，從而可讓用戶確信它來自已知來源，且自最后一次簽名之后未被修改。

2.2.3 MDM 移動設備管理

移動安全平臺通過 MDM 進行移動終端的管理。包括：

1） 移動設備訪問控制

移動設備本身的訪問控制不高，通常沒有安全保護（如使用簡單的滑動鎖）或僅有弱保護（如使用 9 點屏幕鎖）。同時， 移動設備很容遺失或被盜。MDM 通過鎖屏、清除密碼、下發策略強制加強密碼強度等遠程指令來操作設備的訪問控制。

2） 數據自毀

通過 MDM 的“遠程擦除”操作，可以強制銷毀移動設備上的所有用戶數據。防止用戶隱私或企業數據泄露。

3） 應用程序管理

對于“托管”設備，MDM 可以檢查設備上的應用安裝情況，存儲空間大小，操作系統版本以及是否越獄等狀態，一旦發現設備上安裝可疑程序，即可通過安裝在設備上的MDM 代理服務終止企業應用程序運行。

2.3應用安全

應用安全包括：應用數據加密、權限控制、企業應用商店。

2.3.1應用數據加密

數據的保密性要求我們對于企業中敏感數據進行必要的加密和訪問控制。

移動安全接入對用戶敏感數據，例如用戶密碼、證書及密鑰進行加密處理。此外，對于緩存在客戶端的企業機密數據，包括移動辦公系統中的各種內部文檔、組織結構和企業通訊錄，也進行了加密處理。

2.3.2權限控制

對于移動安全接入平臺系統來講，訪問控制主要是基于角色進行訪問的控制。基于角色訪問控制也是在信息系統中使用比較廣泛的訪問控制機制。用戶在通過了平臺的身份認證后，只能看到相應權限下才能查看數據，以及使用相應權限才可操作的功能。

2.3.3企業應用商店

南方電網移動安全平臺內置企業應用商店，所有移動應用終端 app 均在企業應用商店內進行發布，由企業代替操作系統廠商對應用進行管理。

同時，對于企業應用商店中的應用，可通過 MDM 進行企業應用的無線部署（OTA）或直接推送至終端桌面。通過企業應用商店這一有力工具，無疑將極大地簡化應用的安裝和升級步驟，改善用戶體驗，并保證了移動應用來源的可靠性和安全性。

三、結論

企業辦公移動化必將成為下一輪企業發展的新趨勢。于此同時，企業必將在 IT 安全和管理方面遭遇新的挑戰。南方電網移動安全接入系統是南網信息化建設中的重要組成部分。

南網移動安全平臺在分析總結企業移動應用接入現狀的基礎上，以保證移動終端接入的安全性為目標，深入研究了安全接入的關鍵技術， 從網絡傳輸安全、終端安全、應用安全三個方面入手，研究并解決移動終端接入過程的信息安全問題，有效地保障了企業的網絡安全和數據安全，極大地推動南網移動信息化和“六加一”工程的建設，符合南網“十二五”信息化規劃的遠景目標，加快南方電網網內信息資源的整合及信息的規范化、一體化建設。

參 考 文 獻

[1錢煜明.BYOD企業移動設備管理技術[J] .中興通訊技術，2013，9（6）.

[2]許麗萍.BYO來襲把握移動安全四大趨勢[J] .上海信息化，2013，（6）.

[3]孫強強.BYOD 在電力企業中的研究與應用[J] .現代計算機，2013，（4）.

[4]楊宏焱.企業級iOS應用開發實戰[M].北京：機械工業出版社，2013.

[5]楊宏焱.iPhone/iPad企業移動應用開發秘籍[M].北京：海洋版社，2013.