面向移動(dòng)互聯(lián)網(wǎng)的智能終端安全監(jiān)管平臺(tái)研究

王永建　楊建華　牛輝奇

摘要：為了解決移動(dòng)互聯(lián)網(wǎng)中智能終端的安全問(wèn)題，借鑒傳統(tǒng)安全方案，設(shè)計(jì)了智能終端的安全監(jiān)管平臺(tái)，通過(guò)對(duì)其部署方式的研究以及主要功能模塊的設(shè)計(jì)，為移動(dòng)互聯(lián)網(wǎng)安全問(wèn)題的監(jiān)管提供研究思路。

關(guān)鍵詞：移動(dòng)互聯(lián)網(wǎng) 智能終端 保密通信 MTSP

1 引言

移動(dòng)互聯(lián)網(wǎng)由互聯(lián)網(wǎng)、無(wú)線網(wǎng)絡(luò)、智能終端構(gòu)成[1]。隨著云計(jì)算、RFID、生物識(shí)別、APP等技術(shù)的發(fā)展和智能終端的迅速普及，基于移動(dòng)互聯(lián)網(wǎng)的新的商業(yè)模式和應(yīng)用服務(wù)不斷涌現(xiàn)[2]。基于智能終端的應(yīng)用越來(lái)越豐富，例如掌上購(gòu)物、在線訂票、網(wǎng)上約車、移動(dòng)支付、手機(jī)一卡通、位置服務(wù)等[3]。因此，智能終端的安全性越來(lái)越來(lái)重要，國(guó)家相關(guān)部門高度重視，出臺(tái)了一系列規(guī)定。

2015年1月，中共中央辦公廳、國(guó)家保密局等下發(fā)了《普通手機(jī)使用保密守則》，對(duì)黨政領(lǐng)導(dǎo)干部、涉密崗位手機(jī)使用作出具體要求[4]。目前，在中紀(jì)委等政府重要單位已完成保密手機(jī)應(yīng)用推廣。

2015年7月，四總部下發(fā)了《關(guān)于進(jìn)一步規(guī)范基層工作指導(dǎo)和管理秩序若干規(guī)定》。明確在符合保密要求的前提下，軍隊(duì)人員在課外活動(dòng)時(shí)間、休息日、節(jié)假日等個(gè)人支配的時(shí)間，可以使用手機(jī)（含智能手機(jī)），可以通過(guò)個(gè)人移動(dòng)終端使用互聯(lián)網(wǎng)[5]。

但是，基于智能終端發(fā)生的個(gè)人隱私泄露、移動(dòng)支付詐騙等問(wèn)題仍十分嚴(yán)重，智能終端的安全問(wèn)題亟待解決，本文從安全監(jiān)管的角度進(jìn)行了探究。

2 研究現(xiàn)狀

目前終端保密的方式主要分為三類：保密通信、雙獨(dú)立域、MTM（Mobile Terminal Management，移動(dòng)終端管理），如表1所示：

表1中，三類方式側(cè)重不同，適用于不同的對(duì)象，三類功能既可單獨(dú)部署，也可組合構(gòu)成安全方案。

3 方案研究

本文在保密通信與MTM相結(jié)合的基礎(chǔ)上，探究一種MTSP（Mobile Terminal Supervision Platform，移動(dòng)終端監(jiān)管平臺(tái)）。

3.1 部署方式

本文中的系統(tǒng)部署分為外網(wǎng)區(qū)域、安全防護(hù)區(qū)域、內(nèi)網(wǎng)區(qū)域三部分，如圖1所示。

（1）外網(wǎng)區(qū)域

實(shí)現(xiàn)智能終端通過(guò)有線網(wǎng)絡(luò)或者無(wú)線網(wǎng)絡(luò)訪問(wèn)接入。

（2）安全防護(hù)區(qū)域

1）網(wǎng)絡(luò)隔離設(shè)備：用于隔離辦公網(wǎng)內(nèi)部區(qū)域和接入?yún)^(qū)域，控制從安全防護(hù)區(qū)域?qū)?nèi)部網(wǎng)絡(luò)的訪問(wèn)，并提供網(wǎng)絡(luò)監(jiān)控和審計(jì)功能[9]。

2）防火墻：用于實(shí)現(xiàn)對(duì)移動(dòng)用戶訪問(wèn)內(nèi)部業(yè)務(wù)的細(xì)粒度控制，通過(guò)一體化集成的網(wǎng)絡(luò)入侵防御功能，對(duì)移動(dòng)終端可能引入的可疑代碼和入侵行為進(jìn)行過(guò)濾和阻斷[10]，并通過(guò)不同物理網(wǎng)絡(luò)接口和隔離技術(shù)將系統(tǒng)劃分為不同的安全區(qū)域。

3）移動(dòng)安全管理中心：基本組件是身份認(rèn)證模塊，主要實(shí)現(xiàn)對(duì)安全終端接入的身份認(rèn)證，同時(shí)實(shí)現(xiàn)對(duì)安全區(qū)域邊界內(nèi)的各功能日志上報(bào)及策略下發(fā)的工作[11]。

4）安全接入網(wǎng)關(guān)：部署在安全防護(hù)區(qū)域和互聯(lián)網(wǎng)區(qū)域之間，實(shí)現(xiàn)兩大區(qū)域的邊界隔離，同時(shí)為移動(dòng)用戶提供加強(qiáng)身份鑒別（基于安全終端TF硬件加密證書(shū)認(rèn)證）、訪問(wèn)控制和傳輸通道保護(hù)（基于SSL VPN）[12]。

（3）內(nèi)部區(qū)域

為用戶提供專門的服務(wù)應(yīng)用。

3.2 功能設(shè)計(jì)

MTSP主要功能模塊分為：移動(dòng)設(shè)備管理、移動(dòng)應(yīng)用管理、移動(dòng)內(nèi)容管理、上網(wǎng)行為審計(jì)。

（1）移動(dòng)設(shè)備管理

1）實(shí)時(shí)定位設(shè)備，了解設(shè)備歷史位置信息。通過(guò)管理后臺(tái)，管理員可隨時(shí)了解設(shè)備的實(shí)時(shí)位置，同時(shí)可查看以前任何時(shí)間段的設(shè)備位置。

2）遠(yuǎn)程擦除設(shè)備，恢復(fù)出廠設(shè)置。當(dāng)設(shè)備出現(xiàn)丟失或被盜情況時(shí)，管理員可備份設(shè)備數(shù)據(jù)，并擦除設(shè)備至出廠設(shè)置。

3）獲取詳細(xì)設(shè)備信息。通過(guò)管理后臺(tái)，可了解設(shè)備的各類詳細(xì)信息，包括安裝的移動(dòng)應(yīng)用、短信、聯(lián)系人、通話記錄、流量記錄、設(shè)備基本信息、設(shè)備位置等。

4）獲取設(shè)備的移動(dòng)應(yīng)用信息。設(shè)備安裝的所有移動(dòng)應(yīng)用，都可以通過(guò)管理后臺(tái)得到全面的了解，包括應(yīng)用調(diào)用的權(quán)限、應(yīng)用的版本，所占空間等。

5）遠(yuǎn)程鎖定設(shè)備。當(dāng)設(shè)備丟失時(shí)，可通過(guò)管理后臺(tái)遠(yuǎn)程鎖定設(shè)備，即使知道密碼也無(wú)法進(jìn)入，保證了設(shè)備中信息的安全。

6）遠(yuǎn)程解鎖設(shè)備。當(dāng)用戶忘記密碼，管理員可在后臺(tái)遠(yuǎn)程強(qiáng)制幫助解鎖，并提醒用戶重新設(shè)置達(dá)到系統(tǒng)要求的密碼強(qiáng)度的新密碼。

7）設(shè)備硬件控制。MTSP提供對(duì)移動(dòng)終端設(shè)備攝像頭、藍(lán)牙、Wi-Fi、USB網(wǎng)絡(luò)共享、GPS、VPN、藍(lán)牙掃描、開(kāi)起熱點(diǎn)功能、USB存儲(chǔ)模式、麥克風(fēng)、云服務(wù)和備份服務(wù)、截屏的控制能力，管理員可根據(jù)實(shí)際情況下發(fā)策略，禁用這其中的部分或全部功能。

8）給設(shè)備發(fā)送消息。當(dāng)需要給用戶發(fā)送通知或消息時(shí)，管理員可在后臺(tái)通過(guò)短信、推送、E-mail三種方式發(fā)送給指定用戶。

（2）移動(dòng)應(yīng)用管理

1）應(yīng)用分發(fā)。各級(jí)別管理員可通過(guò)后臺(tái)分發(fā)通用應(yīng)用或?qū)侔踩珣?yīng)用到用戶設(shè)備，并可給不同的單位分發(fā)不同的指定的應(yīng)用。

2）應(yīng)用靜默安裝、卸載、升級(jí)。對(duì)于指定設(shè)備，在完成同平臺(tái)的適配后，管理后臺(tái)可做到靜默安裝、卸載、升級(jí)指定應(yīng)用，設(shè)備無(wú)法卸載后臺(tái)要求必須安裝的應(yīng)用。

3）應(yīng)用黑白名單控制。管理員可設(shè)置應(yīng)用的黑白名單，并可指定特定的設(shè)備按照此黑白名單進(jìn)行應(yīng)用的控制和管理。設(shè)置應(yīng)用黑名單后，已安裝該應(yīng)用的用戶會(huì)被強(qiáng)制卸載，未安裝該應(yīng)用的相關(guān)用戶無(wú)法安裝黑名單中的應(yīng)用。設(shè)置應(yīng)用白名單后，用戶只能安裝白名單中的應(yīng)用以及管理員推送的安全應(yīng)用，其余應(yīng)用均無(wú)法安裝到設(shè)備上。

4）應(yīng)用統(tǒng)計(jì)。管理后臺(tái)可對(duì)所有管控設(shè)備中的應(yīng)用進(jìn)行基本信息和數(shù)據(jù)的詳細(xì)統(tǒng)計(jì)，供管理員決策黑白名單使用。

5）應(yīng)用統(tǒng)一登入權(quán)限。管理后臺(tái)提供唯一的應(yīng)用登錄入口，只有經(jīng)過(guò)系統(tǒng)認(rèn)證的用戶才能下載安裝應(yīng)用。同時(shí)，所有的安全應(yīng)用都擁有統(tǒng)一的登入系統(tǒng)，保證安全應(yīng)用的安全。

6）應(yīng)用數(shù)據(jù)保護(hù)。所有的安全應(yīng)用數(shù)據(jù)應(yīng)受到全面的保護(hù)，實(shí)現(xiàn)應(yīng)用數(shù)據(jù)與外界的安全隔離，保證安全應(yīng)用數(shù)據(jù)的絕對(duì)安全。同時(shí)，在設(shè)備違反了相關(guān)安全管理策略時(shí)，后臺(tái)將自動(dòng)移除設(shè)備中移動(dòng)應(yīng)用的所有數(shù)據(jù)，并卸載所有專用應(yīng)用程序。

（3）移動(dòng)內(nèi)容管理

1）文檔瀏覽限制。重要文檔可以通過(guò)管理后臺(tái)分發(fā)給用戶設(shè)備，用戶可通過(guò)“文檔管理”辦公應(yīng)用瀏覽并下載到“文檔管理”控制的本地存儲(chǔ)空間，同時(shí)，此空間將存儲(chǔ)下載的郵件附件。用戶瀏覽后臺(tái)分發(fā)的文檔、存儲(chǔ)空間的文檔、郵件附件時(shí)，只能通過(guò)辦公應(yīng)用“文檔瀏覽器”打開(kāi)，而其他應(yīng)用無(wú)法打開(kāi)。

2）郵件內(nèi)容拷貝和附件轉(zhuǎn)發(fā)控制。通過(guò)后臺(tái)可以設(shè)置郵件內(nèi)容是否可以拷貝，所有包括含有附件的郵件只能轉(zhuǎn)發(fā)給內(nèi)部用戶。

3）安全沙箱。用戶設(shè)備具備安全工作區(qū)域，存儲(chǔ)企業(yè)應(yīng)用、文檔、郵件、消息等企業(yè)數(shù)據(jù)，個(gè)人數(shù)據(jù)完全隔離在沙箱之外[13]。所有沙箱內(nèi)安全應(yīng)用中的內(nèi)容可以互通，沙箱外的內(nèi)容可拷貝進(jìn)入沙箱內(nèi)容，但沙箱內(nèi)的數(shù)據(jù)無(wú)法拷貝出沙箱。

（4）上網(wǎng)行為管控與審計(jì)

1）上網(wǎng)網(wǎng)址黑名單。實(shí)現(xiàn)對(duì)管控用戶移動(dòng)終端訪問(wèn)網(wǎng)頁(yè)的網(wǎng)址黑名單功能，即被列入黑名單中的網(wǎng)址控制用戶無(wú)法訪問(wèn)。

2）上網(wǎng)網(wǎng)址白名單。實(shí)現(xiàn)對(duì)管控用戶移動(dòng)終端訪問(wèn)網(wǎng)頁(yè)的網(wǎng)址白名單功能，即當(dāng)開(kāi)啟白名單功能后，用戶只能訪問(wèn)白名單中的網(wǎng)址，其他網(wǎng)址均無(wú)法訪問(wèn)。

3）上網(wǎng)行為審計(jì)。實(shí)現(xiàn)對(duì)管控用戶移動(dòng)終端上網(wǎng)行為的記錄，并提供審計(jì)功能。

4 結(jié)束語(yǔ)

本文針對(duì)移動(dòng)互聯(lián)網(wǎng)中智能終端的安全問(wèn)題，從構(gòu)建安全監(jiān)管平臺(tái)的角度進(jìn)行了探究。移動(dòng)互聯(lián)網(wǎng)安全是個(gè)比較大的概念，安全問(wèn)題涉及到諸多方面，例如物理安全、網(wǎng)絡(luò)安全、數(shù)據(jù)安全、系統(tǒng)安全、應(yīng)用安全等，本文研究的僅僅是其中一個(gè)環(huán)節(jié)。另外，用戶規(guī)范的操作方式和良好的使用習(xí)慣對(duì)安全也很重要，隨著可信計(jì)算、量子計(jì)算等新技術(shù)的不斷涌現(xiàn)，該領(lǐng)域下一步的研究將側(cè)重新技術(shù)和新的解決方案。

參考文獻(xiàn)：

[1] 王永建，趙志明，陳汝君，等. 面向移動(dòng)互聯(lián)網(wǎng)的電梯安全監(jiān)管系統(tǒng)設(shè)計(jì)[J]. 電信快報(bào)， 2016（8）： 9-12.

[2] 陳鵬. 物聯(lián)網(wǎng)RFID技術(shù)與云計(jì)算數(shù)據(jù)傳輸?shù)陌踩苑治鯷J]. 物聯(lián)網(wǎng)技術(shù)， 2014（7）： 91-92.

[3] 馬虹. 城市一卡通與移動(dòng)支付的整合與創(chuàng)新應(yīng)用[J]. 金卡工程， 2016（1）： 12-14.

[4] 中央保密委員會(huì)辦公室、國(guó)家保密局. 普通手機(jī)使用保

密守則[EB/OL]. （2015-03-21）[2016-09-19]. http：//www.

360doc.com/content/15/0321/17/9851038_456961287.shtml.

[5] 徐東磊，郭晨. 智能手機(jī)和互聯(lián)網(wǎng)使用放開(kāi)給部隊(duì)思想政治教育帶來(lái)的沖擊與對(duì)策[J]. 政工學(xué)刊， 2015（12）： 54-56.

[6] 張建珍. 通過(guò)通信信道加密提升云計(jì)算數(shù)據(jù)的安全性[J]. 智能計(jì)算機(jī)與應(yīng)用， 2015（2）： 38-39.

[7] 王群. 基于安全域的信息安全防護(hù)體系研究[J]. 信息網(wǎng)絡(luò)安全， 2015（9）： 206-210.

[8] 周廣為. 基于Android平臺(tái)的移動(dòng)終端統(tǒng)一管理客戶端的設(shè)計(jì)與實(shí)現(xiàn)[D]. 西安： 西安電子科技大學(xué)， 2013.

[9] 鐘能，張志勇，閆連山，等. 面向工控網(wǎng)絡(luò)的區(qū)域隔離系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn)[J]. 微電子學(xué)與計(jì)算機(jī)， 2014（10）： 90-93.

[10] 何霈. 嵌入式入侵防御系統(tǒng)的研究與實(shí)現(xiàn)[D]. 南京： 南京航空航天大學(xué)， 2009.

[11] 江永俊. 移動(dòng)終端安全接入可信認(rèn)證技術(shù)的研究及實(shí)現(xiàn)[D]. 北京： 華北電力大學(xué)， 2015.

[12] 劉會(huì)議. 移動(dòng)互聯(lián)網(wǎng)中身份認(rèn)證技術(shù)的研究[D]. 濟(jì)南： 山東大學(xué)， 2014.

[13] 王文韜，周志洪，李建華，等. 智能IC卡密碼算法檢測(cè)系統(tǒng)實(shí)現(xiàn)[J]. 信息安全與通信保密， 2015（5）： 117-120. ★