面向移動互聯網的智能終端安全監管平臺研究

王永建　楊建華　牛輝奇

摘要：為了解決移動互聯網中智能終端的安全問題，借鑒傳統安全方案，設計了智能終端的安全監管平臺，通過對其部署方式的研究以及主要功能模塊的設計，為移動互聯網安全問題的監管提供研究思路。

關鍵詞：移動互聯網 智能終端 保密通信 MTSP

1 引言

移動互聯網由互聯網、無線網絡、智能終端構成[1]。隨著云計算、RFID、生物識別、APP等技術的發展和智能終端的迅速普及，基于移動互聯網的新的商業模式和應用服務不斷涌現[2]?；谥悄芙K端的應用越來越豐富，例如掌上購物、在線訂票、網上約車、移動支付、手機一卡通、位置服務等[3]。因此，智能終端的安全性越來越來重要，國家相關部門高度重視，出臺了一系列規定。

2015年1月，中共中央辦公廳、國家保密局等下發了《普通手機使用保密守則》，對黨政領導干部、涉密崗位手機使用作出具體要求[4]。目前，在中紀委等政府重要單位已完成保密手機應用推廣。

2015年7月，四總部下發了《關于進一步規范基層工作指導和管理秩序若干規定》。明確在符合保密要求的前提下，軍隊人員在課外活動時間、休息日、節假日等個人支配的時間，可以使用手機（含智能手機），可以通過個人移動終端使用互聯網[5]。

但是，基于智能終端發生的個人隱私泄露、移動支付詐騙等問題仍十分嚴重，智能終端的安全問題亟待解決，本文從安全監管的角度進行了探究。

2 研究現狀

目前終端保密的方式主要分為三類：保密通信、雙獨立域、MTM（Mobile Terminal Management，移動終端管理），如表1所示：

表1中，三類方式側重不同，適用于不同的對象，三類功能既可單獨部署，也可組合構成安全方案。

3 方案研究

本文在保密通信與MTM相結合的基礎上，探究一種MTSP（Mobile Terminal Supervision Platform，移動終端監管平臺）。

3.1 部署方式

本文中的系統部署分為外網區域、安全防護區域、內網區域三部分，如圖1所示。

（1）外網區域

實現智能終端通過有線網絡或者無線網絡訪問接入。

（2）安全防護區域

1）網絡隔離設備：用于隔離辦公網內部區域和接入區域，控制從安全防護區域對內部網絡的訪問，并提供網絡監控和審計功能[9]。

2）防火墻：用于實現對移動用戶訪問內部業務的細粒度控制，通過一體化集成的網絡入侵防御功能，對移動終端可能引入的可疑代碼和入侵行為進行過濾和阻斷[10]，并通過不同物理網絡接口和隔離技術將系統劃分為不同的安全區域。

3）移動安全管理中心：基本組件是身份認證模塊，主要實現對安全終端接入的身份認證，同時實現對安全區域邊界內的各功能日志上報及策略下發的工作[11]。

4）安全接入網關：部署在安全防護區域和互聯網區域之間，實現兩大區域的邊界隔離，同時為移動用戶提供加強身份鑒別（基于安全終端TF硬件加密證書認證）、訪問控制和傳輸通道保護（基于SSL VPN）[12]。

（3）內部區域

為用戶提供專門的服務應用。

3.2 功能設計

MTSP主要功能模塊分為：移動設備管理、移動應用管理、移動內容管理、上網行為審計。

（1）移動設備管理

1）實時定位設備，了解設備歷史位置信息。通過管理后臺，管理員可隨時了解設備的實時位置，同時可查看以前任何時間段的設備位置。

2）遠程擦除設備，恢復出廠設置。當設備出現丟失或被盜情況時，管理員可備份設備數據，并擦除設備至出廠設置。

3）獲取詳細設備信息。通過管理后臺，可了解設備的各類詳細信息，包括安裝的移動應用、短信、聯系人、通話記錄、流量記錄、設備基本信息、設備位置等。

4）獲取設備的移動應用信息。設備安裝的所有移動應用，都可以通過管理后臺得到全面的了解，包括應用調用的權限、應用的版本，所占空間等。

5）遠程鎖定設備。當設備丟失時，可通過管理后臺遠程鎖定設備，即使知道密碼也無法進入，保證了設備中信息的安全。

6）遠程解鎖設備。當用戶忘記密碼，管理員可在后臺遠程強制幫助解鎖，并提醒用戶重新設置達到系統要求的密碼強度的新密碼。

7）設備硬件控制。MTSP提供對移動終端設備攝像頭、藍牙、Wi-Fi、USB網絡共享、GPS、VPN、藍牙掃描、開起熱點功能、USB存儲模式、麥克風、云服務和備份服務、截屏的控制能力，管理員可根據實際情況下發策略，禁用這其中的部分或全部功能。

8）給設備發送消息。當需要給用戶發送通知或消息時，管理員可在后臺通過短信、推送、E-mail三種方式發送給指定用戶。

（2）移動應用管理

1）應用分發。各級別管理員可通過后臺分發通用應用或專屬安全應用到用戶設備，并可給不同的單位分發不同的指定的應用。

2）應用靜默安裝、卸載、升級。對于指定設備，在完成同平臺的適配后，管理后臺可做到靜默安裝、卸載、升級指定應用，設備無法卸載后臺要求必須安裝的應用。

3）應用黑白名單控制。管理員可設置應用的黑白名單，并可指定特定的設備按照此黑白名單進行應用的控制和管理。設置應用黑名單后，已安裝該應用的用戶會被強制卸載，未安裝該應用的相關用戶無法安裝黑名單中的應用。設置應用白名單后，用戶只能安裝白名單中的應用以及管理員推送的安全應用，其余應用均無法安裝到設備上。

4）應用統計。管理后臺可對所有管控設備中的應用進行基本信息和數據的詳細統計，供管理員決策黑白名單使用。

5）應用統一登入權限。管理后臺提供唯一的應用登錄入口，只有經過系統認證的用戶才能下載安裝應用。同時，所有的安全應用都擁有統一的登入系統，保證安全應用的安全。

6）應用數據保護。所有的安全應用數據應受到全面的保護，實現應用數據與外界的安全隔離，保證安全應用數據的絕對安全。同時，在設備違反了相關安全管理策略時，后臺將自動移除設備中移動應用的所有數據，并卸載所有專用應用程序。

（3）移動內容管理

1）文檔瀏覽限制。重要文檔可以通過管理后臺分發給用戶設備，用戶可通過“文檔管理”辦公應用瀏覽并下載到“文檔管理”控制的本地存儲空間，同時，此空間將存儲下載的郵件附件。用戶瀏覽后臺分發的文檔、存儲空間的文檔、郵件附件時，只能通過辦公應用“文檔瀏覽器”打開，而其他應用無法打開。

2）郵件內容拷貝和附件轉發控制。通過后臺可以設置郵件內容是否可以拷貝，所有包括含有附件的郵件只能轉發給內部用戶。

3）安全沙箱。用戶設備具備安全工作區域，存儲企業應用、文檔、郵件、消息等企業數據，個人數據完全隔離在沙箱之外[13]。所有沙箱內安全應用中的內容可以互通，沙箱外的內容可拷貝進入沙箱內容，但沙箱內的數據無法拷貝出沙箱。

（4）上網行為管控與審計

1）上網網址黑名單。實現對管控用戶移動終端訪問網頁的網址黑名單功能，即被列入黑名單中的網址控制用戶無法訪問。

2）上網網址白名單。實現對管控用戶移動終端訪問網頁的網址白名單功能，即當開啟白名單功能后，用戶只能訪問白名單中的網址，其他網址均無法訪問。

3）上網行為審計。實現對管控用戶移動終端上網行為的記錄，并提供審計功能。

4 結束語

本文針對移動互聯網中智能終端的安全問題，從構建安全監管平臺的角度進行了探究。移動互聯網安全是個比較大的概念，安全問題涉及到諸多方面，例如物理安全、網絡安全、數據安全、系統安全、應用安全等，本文研究的僅僅是其中一個環節。另外，用戶規范的操作方式和良好的使用習慣對安全也很重要，隨著可信計算、量子計算等新技術的不斷涌現，該領域下一步的研究將側重新技術和新的解決方案。

參考文獻：

[1] 王永建，趙志明，陳汝君，等. 面向移動互聯網的電梯安全監管系統設計[J]. 電信快報， 2016（8）： 9-12.

[2] 陳鵬. 物聯網RFID技術與云計算數據傳輸的安全性分析[J]. 物聯網技術， 2014（7）： 91-92.

[3] 馬虹. 城市一卡通與移動支付的整合與創新應用[J]. 金卡工程， 2016（1）： 12-14.

[4] 中央保密委員會辦公室、國家保密局. 普通手機使用保

密守則[EB/OL]. （2015-03-21）[2016-09-19]. http：//www.

360doc.com/content/15/0321/17/9851038_456961287.shtml.

[5] 徐東磊，郭晨. 智能手機和互聯網使用放開給部隊思想政治教育帶來的沖擊與對策[J]. 政工學刊， 2015（12）： 54-56.

[6] 張建珍. 通過通信信道加密提升云計算數據的安全性[J]. 智能計算機與應用， 2015（2）： 38-39.

[7] 王群. 基于安全域的信息安全防護體系研究[J]. 信息網絡安全， 2015（9）： 206-210.

[8] 周廣為. 基于Android平臺的移動終端統一管理客戶端的設計與實現[D]. 西安： 西安電子科技大學， 2013.

[9] 鐘能，張志勇，閆連山，等. 面向工控網絡的區域隔離系統設計與實現[J]. 微電子學與計算機， 2014（10）： 90-93.

[10] 何霈. 嵌入式入侵防御系統的研究與實現[D]. 南京： 南京航空航天大學， 2009.

[11] 江永俊. 移動終端安全接入可信認證技術的研究及實現[D]. 北京： 華北電力大學， 2015.

[12] 劉會議. 移動互聯網中身份認證技術的研究[D]. 濟南： 山東大學， 2014.

[13] 王文韜，周志洪，李建華，等. 智能IC卡密碼算法檢測系統實現[J]. 信息安全與通信保密， 2015（5）： 117-120. ★