1、引言
為了使用戶能夠隨時隨地的進行信息交流,利用移動終端易攜帶、隨時上網(wǎng)的特點,將辦公系統(tǒng)完全移植到移動終端,可以很大的提高工作效率和工作水平,有效地進行科學管理,增大企業(yè)的競爭力。移動辦公實現(xiàn)后,工作人員可以直接通過手機處理公文、查看信息、收看郵件和通知等。這種新的辦公模式打破了傳統(tǒng)辦公存在的各種缺陷和問題,逐漸成為未來辦公的發(fā)展趨勢。實現(xiàn)這種新的辦公模式,必須有一種新的技術(shù),打破傳統(tǒng)辦公的各種缺陷及存在的問題,使各種應用完全移植到智能終端,而不改變?nèi)藗兊氖褂昧晳T。
應用虛擬化技術(shù)的出現(xiàn),使得移動辦公得以實現(xiàn),但是同時又面臨著安全方面的問題,一旦智能終端丟失或是內(nèi)部數(shù)據(jù)被截獲,都會使企業(yè)面臨無法估計的損失。因此,移動辦公的安全成為企業(yè)更加關(guān)注的問題。
2、虛擬化移動辦公的原理及架構(gòu)
2.1 應用虛擬化
應用虛擬化的基本原理:分離應用程序的計算和顯示邏輯,即界面抽象化,而不用在用戶端安裝軟件。當用戶訪問虛擬化后的應用時,用戶端計算機只需把用戶端人機交互數(shù)據(jù)傳送給服務(wù)器端,由服務(wù)器端為用戶開設(shè)獨立的會話來運行應用程序的計算邏輯,并把處理后的顯示邏輯傳送回用戶端,從而使得用戶獲得如同在本地運行應用程序一樣的體驗感受。
虛擬化移動辦公的核心思想是將應用系統(tǒng)盡可能完整地從移動終端中分離出來。移動終端不需要安裝任何應用軟件,而是在移動應用發(fā)布平臺的服務(wù)器上安裝虛擬化軟件和各種辦公軟件。所有數(shù)據(jù)都在應用發(fā)布平臺上運行和處理,移動終端只顯示應用運行的界面和屏幕刷新的方式,而移動終端也僅向平臺發(fā)送鍵盤、鼠標的操作信息。
2.2 虛擬化移動辦公的架構(gòu)
如圖1所示,我們將虛擬化移動辦公架構(gòu)分成五個部分:移動終端、移動通信網(wǎng)絡(luò)、移動接入?yún)^(qū)、安全隔離、企業(yè)信息網(wǎng)網(wǎng)。
(1)移動終端:移動終端處于企業(yè)辦公區(qū)域之外,企業(yè)無法對移動用戶或終端進行控制,因此,終端設(shè)備很容易受到病毒、木馬等攻擊,數(shù)據(jù)容易丟失,安全性比較低。
(2)移動通信網(wǎng)絡(luò):根據(jù)網(wǎng)絡(luò)架構(gòu)、協(xié)議及網(wǎng)絡(luò)標示的特點,選擇安全可靠的移動接入方式,對移動通信網(wǎng)絡(luò)采取必要的安全措施,可保證穩(wěn)定可靠傳輸服務(wù)、減少安全風險、防止對企業(yè)安全接入及應用系統(tǒng)的攻擊。
(3)移動接入?yún)^(qū):接入域包括防火墻、交換機、應用發(fā)布服務(wù)器、網(wǎng)關(guān)、設(shè)備認證管理、鑒別評估系統(tǒng)、監(jiān)控管理、應用代理等。企業(yè)辦公之外的終端都不能直接與內(nèi)部域直接建立通信,都必須與移動接入域先建立通信,再由接入域代理通信。一旦發(fā)生惡意的攻擊,也只能威脅到接入域中的設(shè)備,造成的損失很小。
(4)安全隔離:網(wǎng)閘控制移動接入?yún)^(qū)與企業(yè)內(nèi)網(wǎng)的網(wǎng)絡(luò)通信,移動接入?yún)^(qū)的應用服務(wù)器不能與企業(yè)應用系統(tǒng)服務(wù)器直接進行通信,而是通過網(wǎng)閘對B/S應用通道進行HTTP協(xié)議剝離和內(nèi)容過濾,實現(xiàn)移動接入?yún)^(qū)和企業(yè)信息網(wǎng)之間的數(shù)據(jù)安全交換。
(5)企業(yè)信息網(wǎng):企業(yè)信息網(wǎng)的設(shè)備包括路由器、服務(wù)器、應用系統(tǒng)、存儲設(shè)備、數(shù)據(jù)等。由于企業(yè)的所有核心系統(tǒng)和數(shù)據(jù)都在企業(yè)內(nèi)部域中,所以對此部分的安全性要求最高。為了實現(xiàn)以上移動辦公架構(gòu)的安全設(shè)計,下面主要從移動終端、移動通信網(wǎng)絡(luò)、認證方式、數(shù)據(jù)傳輸安全、系統(tǒng)機制五個方面探討移動辦公的安全控制方案。
3、安全控制方案
3.1 網(wǎng)絡(luò)安全
除了通過防火墻、網(wǎng)閘等硬件設(shè)備保證網(wǎng)絡(luò)的安全外,還可建立虛擬專用網(wǎng)提高企業(yè)數(shù)據(jù)傳輸?shù)陌踩浴?/p>
虛擬專用網(wǎng)(VPDN)技術(shù):又稱為虛擬專用撥號網(wǎng),是VPN業(yè)務(wù)的一種。它通過在公用網(wǎng)中建立數(shù)字加密的虛擬專用隧道,達到與租用專線聯(lián)網(wǎng)相當?shù)膶S猛ㄓ嵭Ч?并與單位內(nèi)部網(wǎng)絡(luò)相同的虛擬網(wǎng)(VPN)連接。獲得身份認證的用戶可以通過VPDN訪問單位內(nèi)部網(wǎng),而公用網(wǎng)上未經(jīng)許可的用戶則無法訪問。流動辦公人員的電腦以任何物理通信線路連接公用網(wǎng)后可用VPDN方式與單位內(nèi)部網(wǎng)聯(lián)網(wǎng)。
通過使用VPN技術(shù),減少了企業(yè)信息被泄漏、竊取和篡改的安全風險,防止了對企業(yè)應用系統(tǒng)的攻擊,提高了企業(yè)的可管理性,是一種有效的網(wǎng)絡(luò)安全隔離措施。
3.2 身份認證
移動終端的認證方式有很多,如手機綁定、用戶名密碼、手機硬件特征碼等,了進一步提高移動終端的安全性,也可將多種認證方式進行組合認證。
3.2.1 手機綁定
手機綁定是指手機串碼和SIM卡的卡號綁定的用戶,只能在綁定的手機上使用,機卡分離后不能使用。如果手機丟失,服務(wù)端則將手機串碼從白名單中刪除。
3.2.2 用戶名密碼
用戶名密碼是指用戶賬戶與密碼都固定的保存在后臺服務(wù)器中。當用戶登錄系統(tǒng)時,輸入自己的用戶名和密碼,系統(tǒng)通過核對用戶輸入的用戶名、密碼與系統(tǒng)內(nèi)已有的合法用戶信息是否匹配,來驗證用戶的身份。
用戶名密碼驗證的安全是依賴于數(shù)據(jù)庫和認證函數(shù)的安全性,一旦數(shù)據(jù)庫中存儲的注冊信息和認證函數(shù)被攻擊或泄露,則后果不堪設(shè)想。
3.2.3 動態(tài)口令認證
動態(tài)口令認證是根據(jù)專門的算法生成一個不可預測的隨機數(shù)字組合,每個密碼只能使用一次,每次使用的密碼由動態(tài)令牌產(chǎn)生。當啟用短信認證功能后,移動辦公人員通過瀏覽器接入請求認證時,網(wǎng)關(guān)會發(fā)一條包含隨機序列號的短信到該用戶手機。只要輸入手機短信中正確的序列號,就可以安全地訪問公司的內(nèi)部資源。
3.2.4 CA數(shù)字證書認證
CA數(shù)字證書安裝在移動客戶端和服務(wù)器端,由CA簽發(fā)和管理,采用非對稱算法保證信息加密性、完整性、不可抵賴性,是進行身份驗證的一種權(quán)威性電子文檔。
3.2.5 USBKey方式
USBK ey方式是將移動用戶的安全策略存儲在類似U盤的USBKey(又名DKEY)中。移動客戶端安裝好客戶端軟件后,只需要插入DKEY,輸入自己的密碼就可以完成接入,這樣就解決了客戶端配置難的問題,實現(xiàn)了零配置,如同使用銀行取款機一樣安全方便。
3.2.6 終端加密卡
安全智能TF卡是用于對PDA、智能終端數(shù)據(jù)進行安全處理的TF卡,與終端配合工作。
安全智能TF卡經(jīng)國家密碼管理局安全審查通過,配用SM1算法。安全TF卡提供的主要密碼服務(wù)包括:
(1)用于存儲個人數(shù)字身份證書和簽名私鑰,為移動終端提供數(shù)字簽名、簽名驗證和數(shù)據(jù)加解密等密碼服務(wù);
(2)用于實現(xiàn)SM1算法和密鑰管理,為移動終端提供基于SM1算法的數(shù)據(jù)加解密服務(wù)。
智能手機/PDA終端配備了安全智能TF卡,安裝安全客戶端軟件后,將具備以下功能:用戶識別功能、信息安全存儲功能、密碼學運算功能、信息加解密封裝、SM1密鑰協(xié)商。
3.2.7 硬件特征碼認證
硬件特征碼就是手機固有的串號,VPN客戶端連接成功前,需要通過安全檢查程序?qū)蛻魴C進行安全檢查。通過安全檢查程序,完成對客戶機硬件信息的提取,并生成特征碼,并與VPN安全檢查服務(wù)器上保存的特征碼進行比對,只有一致時策略檢查才算通過。一個賬號可以設(shè)置對應一個硬件特征碼(即只允許一個移動終端登陸)或幾個硬件特征碼(即允許一個賬戶使用固定的幾臺終端登陸)。
3.2.8 SIM卡認證
SIM卡叫用戶識別卡,用來登記用戶的重要數(shù)據(jù)和信息,用戶的所有資料都保存在后臺服務(wù)器中。當用戶登錄系統(tǒng)時,輸入的SIM信息與存儲在后臺服務(wù)器中的數(shù)據(jù)進行比對,若為合法用戶才可進行下一步操作。
3.2.9 生物特征認證
生物特征認證是根據(jù)每個人獨一無二的生物特征來驗證身份的技術(shù),一般有指紋識別、臉部特征識別等。這種技術(shù)是根據(jù)物理特征來識別每個人的身份,安全性最高,但是由于目前生物特征識別技術(shù)還不夠成熟,成本比較高,所以生物特征認證還具有較大的局限性。
3.2.10 混合認證
為了使認證體系更加的完善,可以將客戶端的認證方式進行選擇組合,最大限度地保證接入用戶的合法性和企業(yè)內(nèi)網(wǎng)資源的安全?蓪⒂脩裘艽a、數(shù)字證書認證、USBkey認證、終端加密卡認證、硬件特征碼認證、SIM卡認證中的其中兩種或三種認證方式進行綁定。
通過以上對不同認證方式的分析,本文將推薦以下兩種混合認證方式:(1)用戶名、SIM卡與數(shù)字證書混合認證;(2)用戶名與終端加密卡。
3.3 數(shù)據(jù)傳輸安全
數(shù)據(jù)內(nèi)容采用256位AES高強度的數(shù)據(jù)加密體制,AES(高級加密標準)是目前業(yè)內(nèi)公認的最安全對稱密碼算法。傳輸線路采用SSL(安全套接層)通道加密技術(shù)。SSL技術(shù)是通過CA數(shù)字證書,在移動終端與服務(wù)器端建立一條安全的網(wǎng)絡(luò)傳輸通道以確保系統(tǒng)的整體安全。
3.4 系統(tǒng)安全控制
(1)分級分權(quán)管理:根據(jù)企業(yè)內(nèi)部的管理形式,分為管理員和普通用戶。管理員分為超級管理員和受限管理員,不同級別的管理員角色不同,然后根據(jù)每個用戶的角色進行權(quán)限劃分,設(shè)置每個用戶能夠訪問的資源;诜旨壏謾(quán)的管理,為企業(yè)網(wǎng)絡(luò)提供了較強的安全性。
(2)終端訪問控制:限制用戶的系統(tǒng)登錄時間,只有在規(guī)定的時間內(nèi)才能登錄VPN接入系統(tǒng);限制系統(tǒng)登錄IP和接入線路IP,保證接入的安全性。
(3)防窮舉攻擊:允許用戶每次登錄嘗試輸入密碼為三次,若連續(xù)三次輸入密碼錯誤,系統(tǒng)將自動斷開與用戶的連接,防止攻擊者對用戶密碼的窮舉攻擊。
(4)用戶超時/過期控制:設(shè)置賬號的有效期,有效期過后,則賬號失敗,用戶無法繼續(xù)登錄;用戶如果在指定的時間未操作,則注銷該用戶。
(5)日志審計:移動辦公系統(tǒng)對用戶的操作進行記錄和嚴格的審計,保證管理員能夠?qū)崟r的查看接入用戶信息、訪問的資源記錄。同時也能對日志進行分析,對非法用戶或用戶的非法操作進行告警。
4、結(jié)語
本文的重點內(nèi)容是從不同的方面提出虛擬化移動辦公的安全控制方案:網(wǎng)絡(luò)安全控制,主要是建立虛擬專用網(wǎng)絡(luò)以及防火墻、網(wǎng)閘等安全隔離設(shè)備;移動終端安全,詳細地介紹了動態(tài)口令、數(shù)字證書、硬件特征碼、混合認證等多種認證方式;數(shù)據(jù)傳輸安全,通過AES數(shù)據(jù)加密和SSL通道加密兩種方式,保證數(shù)據(jù)傳輸?shù)陌踩?系統(tǒng)安全機制,提出了分級分權(quán)管理、終端訪問控制、防窮舉攻擊、用戶超時/過期控制、日志審計,并分別對其進行介紹。
通過本文的安全控制方案,解決了企業(yè)移動辦公的安全性問題,提高了企業(yè)的辦公效率,同時也促進了更多行業(yè)領(lǐng)域?qū)μ摂M化移動辦公的利用。
核心關(guān)注:拓步ERP系統(tǒng)平臺是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應用,蘊涵了豐富的ERP管理思想,集成了ERP軟件業(yè)務(wù)管理理念,功能涉及供應鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理,全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域,是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請注明出處:拓步ERP資訊網(wǎng)http://www.ezxoed.cn/
本文網(wǎng)址:http://www.ezxoed.cn/html/support/11121512274.html