針對虛擬化移動辦公,本文首先把移動辦公系統分成五個部分:移動終端、移動通信網絡、移動接入區、安全隔離、企業信息網,并對每個部分進行分析;其次,主要從虛擬專用網絡、身份認證、數據傳輸、系統機制等方面提出詳細的安全控制方案;最后,對本文的主要內容進行總結。本文的創新點:一、詳細地介紹了十種認證方式,并給出了推薦;二、提出并分析了五種系統安全機制方案。
　　1、引言
　　為了使用戶能夠隨時隨地的進行信息交流,利用移動終端易攜帶、隨時上網的特點,將辦公系統完全移植到移動終端,可以很大的提高工作效率和工作水平,有效地進行科學管理,增大企業的競爭力。移動辦公實現后,工作人員可以直接通過手機處理公文、查看信息、收看郵件和通知等。這種新的辦公模式打破了傳統辦公存在的各種缺陷和問題,逐漸成為未來辦公的發展趨勢。實現這種新的辦公模式,必須有一種新的技術,打破傳統辦公的各種缺陷及存在的問題,使各種應用完全移植到智能終端,而不改變人們的使用習慣。
　　應用虛擬化技術的出現,使得移動辦公得以實現,但是同時又面臨著安全方面的問題,一旦智能終端丟失或是內部數據被截獲,都會使企業面臨無法估計的損失。因此,移動辦公的安全成為企業更加關注的問題。
　　2、虛擬化移動辦公的原理及架構
　　2.1 應用虛擬化
　　應用虛擬化的基本原理:分離應用程序的計算和顯示邏輯,即界面抽象化,而不用在用戶端安裝軟件。當用戶訪問虛擬化后的應用時,用戶端計算機只需把用戶端人機交互數據傳送給服務器端,由服務器端為用戶開設獨立的會話來運行應用程序的計算邏輯,并把處理后的顯示邏輯傳送回用戶端,從而使得用戶獲得如同在本地運行應用程序一樣的體驗感受。
 
 
　　虛擬化移動辦公的核心思想是將應用系統盡可能完整地從移動終端中分離出來。移動終端不需要安裝任何應用軟件,而是在移動應用發布平臺的服務器上安裝虛擬化軟件和各種辦公軟件。所有數據都在應用發布平臺上運行和處理,移動終端只顯示應用運行的界面和屏幕刷新的方式,而移動終端也僅向平臺發送鍵盤、鼠標的操作信息。
　　2.2 虛擬化移動辦公的架構
　　如圖1所示,我們將虛擬化移動辦公架構分成五個部分:移動終端、移動通信網絡、移動接入區、安全隔離、企業信息網網。
　　(1)移動終端:移動終端處于企業辦公區域之外,企業無法對移動用戶或終端進行控制,因此,終端設備很容易受到病毒、木馬等攻擊,數據容易丟失,安全性比較低。
　　(2)移動通信網絡:根據網絡架構、協議及網絡標示的特點,選擇安全可靠的移動接入方式,對移動通信網絡采取必要的安全措施,可保證穩定可靠傳輸服務、減少安全風險、防止對企業安全接入及應用系統的攻擊。
　　(3)移動接入區:接入域包括防火墻、交換機、應用發布服務器、網關、設備認證管理、鑒別評估系統、監控管理、應用代理等。企業辦公之外的終端都不能直接與內部域直接建立通信,都必須與移動接入域先建立通信,再由接入域代理通信。一旦發生惡意的攻擊,也只能威脅到接入域中的設備,造成的損失很小。
　　(4)安全隔離:網閘控制移動接入區與企業內網的網絡通信,移動接入區的應用服務器不能與企業應用系統服務器直接進行通信,而是通過網閘對B/S應用通道進行HTTP協議剝離和內容過濾,實現移動接入區和企業信息網之間的數據安全交換。
　　(5)企業信息網:企業信息網的設備包括路由器、服務器、應用系統、存儲設備、數據等。由于企業的所有核心系統和數據都在企業內部域中,所以對此部分的安全性要求最高。為了實現以上移動辦公架構的安全設計,下面主要從移動終端、移動通信網絡、認證方式、數據傳輸安全、系統機制五個方面探討移動辦公的安全控制方案。
　　3、安全控制方案
　　3.1 網絡安全
　　除了通過防火墻、網閘等硬件設備保證網絡的安全外,還可建立虛擬專用網提高企業數據傳輸的安全性。
　　虛擬專用網(VPDN)技術:又稱為虛擬專用撥號網,是VPN業務的一種。它通過在公用網中建立數字加密的虛擬專用隧道,達到與租用專線聯網相當的專用通訊效果,并與單位內部網絡相同的虛擬網(VPN)連接。獲得身份認證的用戶可以通過VPDN訪問單位內部網,而公用網上未經許可的用戶則無法訪問。流動辦公人員的電腦以任何物理通信線路連接公用網后可用VPDN方式與單位內部網聯網。
　　通過使用VPN技術,減少了企業信息被泄漏、竊取和篡改的安全風險,防止了對企業應用系統的攻擊,提高了企業的可管理性,是一種有效的網絡安全隔離措施。
　　3.2 身份認證
　　移動終端的認證方式有很多,如手機綁定、用戶名密碼、手機硬件特征碼等,了進一步提高移動終端的安全性,也可將多種認證方式進行組合認證。
　　3.2.1 手機綁定
　　手機綁定是指手機串碼和SIM卡的卡號綁定的用戶,只能在綁定的手機上使用,機卡分離后不能使用。如果手機丟失,服務端則將手機串碼從白名單中刪除。
　　3.2.2 用戶名密碼
　　用戶名密碼是指用戶賬戶與密碼都固定的保存在后臺服務器中。當用戶登錄系統時,輸入自己的用戶名和密碼,系統通過核對用戶輸入的用戶名、密碼與系統內已有的合法用戶信息是否匹配,來驗證用戶的身份。
　　用戶名密碼驗證的安全是依賴于數據庫和認證函數的安全性,一旦數據庫中存儲的注冊信息和認證函數被攻擊或泄露,則后果不堪設想。
　　3.2.3 動態口令認證
　　動態口令認證是根據專門的算法生成一個不可預測的隨機數字組合,每個密碼只能使用一次,每次使用的密碼由動態令牌產生。當啟用短信認證功能后,移動辦公人員通過瀏覽器接入請求認證時,網關會發一條包含隨機序列號的短信到該用戶手機。只要輸入手機短信中正確的序列號,就可以安全地訪問公司的內部資源。
　　3.2.4 CA數字證書認證
　　CA數字證書安裝在移動客戶端和服務器端,由CA簽發和管理,采用非對稱算法保證信息加密性、完整性、不可抵賴性,是進行身份驗證的一種權威性電子文檔。
　　3.2.5 USBKey方式
　　USBK ey方式是將移動用戶的安全策略存儲在類似U盤的USBKey(又名DKEY)中。移動客戶端安裝好客戶端軟件后,只需要插入DKEY,輸入自己的密碼就可以完成接入,這樣就解決了客戶端配置難的問題,實現了零配置,如同使用銀行取款機一樣安全方便。
　　3.2.6 終端加密卡
　　安全智能TF卡是用于對PDA、智能終端數據進行安全處理的TF卡,與終端配合工作。
　　安全智能TF卡經國家密碼管理局安全審查通過,配用SM1算法。安全TF卡提供的主要密碼服務包括:
　　(1)用于存儲個人數字身份證書和簽名私鑰,為移動終端提供數字簽名、簽名驗證和數據加解密等密碼服務;
　　(2)用于實現SM1算法和密鑰管理,為移動終端提供基于SM1算法的數據加解密服務。
　　智能手機/PDA終端配備了安全智能TF卡,安裝安全客戶端軟件后,將具備以下功能:用戶識別功能、信息安全存儲功能、密碼學運算功能、信息加解密封裝、SM1密鑰協商。
　　3.2.7 硬件特征碼認證
　　硬件特征碼就是手機固有的串號,VPN客戶端連接成功前,需要通過安全檢查程序對客戶機進行安全檢查。通過安全檢查程序,完成對客戶機硬件信息的提取,并生成特征碼,并與VPN安全檢查服務器上保存的特征碼進行比對,只有一致時策略檢查才算通過。一個賬號可以設置對應一個硬件特征碼(即只允許一個移動終端登陸)或幾個硬件特征碼(即允許一個賬戶使用固定的幾臺終端登陸)。
　　3.2.8 SIM卡認證
　　SIM卡叫用戶識別卡,用來登記用戶的重要數據和信息,用戶的所有資料都保存在后臺服務器中。當用戶登錄系統時,輸入的SIM信息與存儲在后臺服務器中的數據進行比對,若為合法用戶才可進行下一步操作。
　　3.2.9 生物特征認證
　　生物特征認證是根據每個人獨一無二的生物特征來驗證身份的技術,一般有指紋識別、臉部特征識別等。這種技術是根據物理特征來識別每個人的身份,安全性最高,但是由于目前生物特征識別技術還不夠成熟,成本比較高,所以生物特征認證還具有較大的局限性。
　　3.2.10 混合認證
　　為了使認證體系更加的完善,可以將客戶端的認證方式進行選擇組合,最大限度地保證接入用戶的合法性和企業內網資源的安全。可將用戶名密碼、數字證書認證、USBkey認證、終端加密卡認證、硬件特征碼認證、SIM卡認證中的其中兩種或三種認證方式進行綁定。
　　通過以上對不同認證方式的分析,本文將推薦以下兩種混合認證方式:(1)用戶名、SIM卡與數字證書混合認證;(2)用戶名與終端加密卡。
　　3.3 數據傳輸安全
　　數據內容采用256位AES高強度的數據加密體制,AES(高級加密標準)是目前業內公認的最安全對稱密碼算法。傳輸線路采用SSL(安全套接層)通道加密技術。SSL技術是通過CA數字證書,在移動終端與服務器端建立一條安全的網絡傳輸通道以確保系統的整體安全。
　　3.4 系統安全控制
　　(1)分級分權管理:根據企業內部的管理形式,分為管理員和普通用戶。管理員分為超級管理員和受限管理員,不同級別的管理員角色不同,然后根據每個用戶的角色進行權限劃分,設置每個用戶能夠訪問的資源。基于分級分權的管理,為企業網絡提供了較強的安全性。
　　(2)終端訪問控制:限制用戶的系統登錄時間,只有在規定的時間內才能登錄VPN接入系統;限制系統登錄IP和接入線路IP,保證接入的安全性。
　　(3)防窮舉攻擊:允許用戶每次登錄嘗試輸入密碼為三次,若連續三次輸入密碼錯誤,系統將自動斷開與用戶的連接,防止攻擊者對用戶密碼的窮舉攻擊。
　　(4)用戶超時/過期控制:設置賬號的有效期,有效期過后,則賬號失敗,用戶無法繼續登錄;用戶如果在指定的時間未操作,則注銷該用戶。
　　(5)日志審計:移動辦公系統對用戶的操作進行記錄和嚴格的審計,保證管理員能夠實時的查看接入用戶信息、訪問的資源記錄。同時也能對日志進行分析,對非法用戶或用戶的非法操作進行告警。
　　4、結語
　　本文的重點內容是從不同的方面提出虛擬化移動辦公的安全控制方案:網絡安全控制,主要是建立虛擬專用網絡以及防火墻、網閘等安全隔離設備;移動終端安全,詳細地介紹了動態口令、數字證書、硬件特征碼、混合認證等多種認證方式;數據傳輸安全,通過AES數據加密和SSL通道加密兩種方式,保證數據傳輸的安全;系統安全機制,提出了分級分權管理、終端訪問控制、防窮舉攻擊、用戶超時/過期控制、日志審計,并分別對其進行介紹。
　　通過本文的安全控制方案,解決了企業移動辦公的安全性問題,提高了企業的辦公效率,同時也促進了更多行業領域對虛擬化移動辦公的利用。