1、引言
為了使用戶(hù)能夠隨時(shí)隨地的進(jìn)行信息交流,利用移動(dòng)終端易攜帶、隨時(shí)上網(wǎng)的特點(diǎn),將辦公系統(tǒng)完全移植到移動(dòng)終端,可以很大的提高工作效率和工作水平,有效地進(jìn)行科學(xué)管理,增大企業(yè)的競(jìng)爭(zhēng)力。移動(dòng)辦公實(shí)現(xiàn)后,工作人員可以直接通過(guò)手機(jī)處理公文、查看信息、收看郵件和通知等。這種新的辦公模式打破了傳統(tǒng)辦公存在的各種缺陷和問(wèn)題,逐漸成為未來(lái)辦公的發(fā)展趨勢(shì)。實(shí)現(xiàn)這種新的辦公模式,必須有一種新的技術(shù),打破傳統(tǒng)辦公的各種缺陷及存在的問(wèn)題,使各種應(yīng)用完全移植到智能終端,而不改變?nèi)藗兊氖褂昧?xí)慣。
應(yīng)用虛擬化技術(shù)的出現(xiàn),使得移動(dòng)辦公得以實(shí)現(xiàn),但是同時(shí)又面臨著安全方面的問(wèn)題,一旦智能終端丟失或是內(nèi)部數(shù)據(jù)被截獲,都會(huì)使企業(yè)面臨無(wú)法估計(jì)的損失。因此,移動(dòng)辦公的安全成為企業(yè)更加關(guān)注的問(wèn)題。
2、虛擬化移動(dòng)辦公的原理及架構(gòu)
2.1 應(yīng)用虛擬化
應(yīng)用虛擬化的基本原理:分離應(yīng)用程序的計(jì)算和顯示邏輯,即界面抽象化,而不用在用戶(hù)端安裝軟件。當(dāng)用戶(hù)訪問(wèn)虛擬化后的應(yīng)用時(shí),用戶(hù)端計(jì)算機(jī)只需把用戶(hù)端人機(jī)交互數(shù)據(jù)傳送給服務(wù)器端,由服務(wù)器端為用戶(hù)開(kāi)設(shè)獨(dú)立的會(huì)話(huà)來(lái)運(yùn)行應(yīng)用程序的計(jì)算邏輯,并把處理后的顯示邏輯傳送回用戶(hù)端,從而使得用戶(hù)獲得如同在本地運(yùn)行應(yīng)用程序一樣的體驗(yàn)感受。
虛擬化移動(dòng)辦公的核心思想是將應(yīng)用系統(tǒng)盡可能完整地從移動(dòng)終端中分離出來(lái)。移動(dòng)終端不需要安裝任何應(yīng)用軟件,而是在移動(dòng)應(yīng)用發(fā)布平臺(tái)的服務(wù)器上安裝虛擬化軟件和各種辦公軟件。所有數(shù)據(jù)都在應(yīng)用發(fā)布平臺(tái)上運(yùn)行和處理,移動(dòng)終端只顯示應(yīng)用運(yùn)行的界面和屏幕刷新的方式,而移動(dòng)終端也僅向平臺(tái)發(fā)送鍵盤(pán)、鼠標(biāo)的操作信息。
2.2 虛擬化移動(dòng)辦公的架構(gòu)
如圖1所示,我們將虛擬化移動(dòng)辦公架構(gòu)分成五個(gè)部分:移動(dòng)終端、移動(dòng)通信網(wǎng)絡(luò)、移動(dòng)接入?yún)^(qū)、安全隔離、企業(yè)信息網(wǎng)網(wǎng)。
(1)移動(dòng)終端:移動(dòng)終端處于企業(yè)辦公區(qū)域之外,企業(yè)無(wú)法對(duì)移動(dòng)用戶(hù)或終端進(jìn)行控制,因此,終端設(shè)備很容易受到病毒、木馬等攻擊,數(shù)據(jù)容易丟失,安全性比較低。
(2)移動(dòng)通信網(wǎng)絡(luò):根據(jù)網(wǎng)絡(luò)架構(gòu)、協(xié)議及網(wǎng)絡(luò)標(biāo)示的特點(diǎn),選擇安全可靠的移動(dòng)接入方式,對(duì)移動(dòng)通信網(wǎng)絡(luò)采取必要的安全措施,可保證穩(wěn)定可靠傳輸服務(wù)、減少安全風(fēng)險(xiǎn)、防止對(duì)企業(yè)安全接入及應(yīng)用系統(tǒng)的攻擊。
(3)移動(dòng)接入?yún)^(qū):接入域包括防火墻、交換機(jī)、應(yīng)用發(fā)布服務(wù)器、網(wǎng)關(guān)、設(shè)備認(rèn)證管理、鑒別評(píng)估系統(tǒng)、監(jiān)控管理、應(yīng)用代理等。企業(yè)辦公之外的終端都不能直接與內(nèi)部域直接建立通信,都必須與移動(dòng)接入域先建立通信,再由接入域代理通信。一旦發(fā)生惡意的攻擊,也只能威脅到接入域中的設(shè)備,造成的損失很小。
(4)安全隔離:網(wǎng)閘控制移動(dòng)接入?yún)^(qū)與企業(yè)內(nèi)網(wǎng)的網(wǎng)絡(luò)通信,移動(dòng)接入?yún)^(qū)的應(yīng)用服務(wù)器不能與企業(yè)應(yīng)用系統(tǒng)服務(wù)器直接進(jìn)行通信,而是通過(guò)網(wǎng)閘對(duì)B/S應(yīng)用通道進(jìn)行HTTP協(xié)議剝離和內(nèi)容過(guò)濾,實(shí)現(xiàn)移動(dòng)接入?yún)^(qū)和企業(yè)信息網(wǎng)之間的數(shù)據(jù)安全交換。
(5)企業(yè)信息網(wǎng):企業(yè)信息網(wǎng)的設(shè)備包括路由器、服務(wù)器、應(yīng)用系統(tǒng)、存儲(chǔ)設(shè)備、數(shù)據(jù)等。由于企業(yè)的所有核心系統(tǒng)和數(shù)據(jù)都在企業(yè)內(nèi)部域中,所以對(duì)此部分的安全性要求最高。為了實(shí)現(xiàn)以上移動(dòng)辦公架構(gòu)的安全設(shè)計(jì),下面主要從移動(dòng)終端、移動(dòng)通信網(wǎng)絡(luò)、認(rèn)證方式、數(shù)據(jù)傳輸安全、系統(tǒng)機(jī)制五個(gè)方面探討移動(dòng)辦公的安全控制方案。
3、安全控制方案
3.1 網(wǎng)絡(luò)安全
除了通過(guò)防火墻、網(wǎng)閘等硬件設(shè)備保證網(wǎng)絡(luò)的安全外,還可建立虛擬專(zhuān)用網(wǎng)提高企業(yè)數(shù)據(jù)傳輸?shù)陌踩浴?/p>
虛擬專(zhuān)用網(wǎng)(VPDN)技術(shù):又稱(chēng)為虛擬專(zhuān)用撥號(hào)網(wǎng),是VPN業(yè)務(wù)的一種。它通過(guò)在公用網(wǎng)中建立數(shù)字加密的虛擬專(zhuān)用隧道,達(dá)到與租用專(zhuān)線聯(lián)網(wǎng)相當(dāng)?shù)膶?zhuān)用通訊效果,并與單位內(nèi)部網(wǎng)絡(luò)相同的虛擬網(wǎng)(VPN)連接。獲得身份認(rèn)證的用戶(hù)可以通過(guò)VPDN訪問(wèn)單位內(nèi)部網(wǎng),而公用網(wǎng)上未經(jīng)許可的用戶(hù)則無(wú)法訪問(wèn)。流動(dòng)辦公人員的電腦以任何物理通信線路連接公用網(wǎng)后可用VPDN方式與單位內(nèi)部網(wǎng)聯(lián)網(wǎng)。
通過(guò)使用VPN技術(shù),減少了企業(yè)信息被泄漏、竊取和篡改的安全風(fēng)險(xiǎn),防止了對(duì)企業(yè)應(yīng)用系統(tǒng)的攻擊,提高了企業(yè)的可管理性,是一種有效的網(wǎng)絡(luò)安全隔離措施。
3.2 身份認(rèn)證
移動(dòng)終端的認(rèn)證方式有很多,如手機(jī)綁定、用戶(hù)名密碼、手機(jī)硬件特征碼等,了進(jìn)一步提高移動(dòng)終端的安全性,也可將多種認(rèn)證方式進(jìn)行組合認(rèn)證。
3.2.1 手機(jī)綁定
手機(jī)綁定是指手機(jī)串碼和SIM卡的卡號(hào)綁定的用戶(hù),只能在綁定的手機(jī)上使用,機(jī)卡分離后不能使用。如果手機(jī)丟失,服務(wù)端則將手機(jī)串碼從白名單中刪除。
3.2.2 用戶(hù)名密碼
用戶(hù)名密碼是指用戶(hù)賬戶(hù)與密碼都固定的保存在后臺(tái)服務(wù)器中。當(dāng)用戶(hù)登錄系統(tǒng)時(shí),輸入自己的用戶(hù)名和密碼,系統(tǒng)通過(guò)核對(duì)用戶(hù)輸入的用戶(hù)名、密碼與系統(tǒng)內(nèi)已有的合法用戶(hù)信息是否匹配,來(lái)驗(yàn)證用戶(hù)的身份。
用戶(hù)名密碼驗(yàn)證的安全是依賴(lài)于數(shù)據(jù)庫(kù)和認(rèn)證函數(shù)的安全性,一旦數(shù)據(jù)庫(kù)中存儲(chǔ)的注冊(cè)信息和認(rèn)證函數(shù)被攻擊或泄露,則后果不堪設(shè)想。
3.2.3 動(dòng)態(tài)口令認(rèn)證
動(dòng)態(tài)口令認(rèn)證是根據(jù)專(zhuān)門(mén)的算法生成一個(gè)不可預(yù)測(cè)的隨機(jī)數(shù)字組合,每個(gè)密碼只能使用一次,每次使用的密碼由動(dòng)態(tài)令牌產(chǎn)生。當(dāng)啟用短信認(rèn)證功能后,移動(dòng)辦公人員通過(guò)瀏覽器接入請(qǐng)求認(rèn)證時(shí),網(wǎng)關(guān)會(huì)發(fā)一條包含隨機(jī)序列號(hào)的短信到該用戶(hù)手機(jī)。只要輸入手機(jī)短信中正確的序列號(hào),就可以安全地訪問(wèn)公司的內(nèi)部資源。
3.2.4 CA數(shù)字證書(shū)認(rèn)證
CA數(shù)字證書(shū)安裝在移動(dòng)客戶(hù)端和服務(wù)器端,由CA簽發(fā)和管理,采用非對(duì)稱(chēng)算法保證信息加密性、完整性、不可抵賴(lài)性,是進(jìn)行身份驗(yàn)證的一種權(quán)威性電子文檔。
3.2.5 USBKey方式
USBK ey方式是將移動(dòng)用戶(hù)的安全策略存儲(chǔ)在類(lèi)似U盤(pán)的USBKey(又名DKEY)中。移動(dòng)客戶(hù)端安裝好客戶(hù)端軟件后,只需要插入DKEY,輸入自己的密碼就可以完成接入,這樣就解決了客戶(hù)端配置難的問(wèn)題,實(shí)現(xiàn)了零配置,如同使用銀行取款機(jī)一樣安全方便。
3.2.6 終端加密卡
安全智能TF卡是用于對(duì)PDA、智能終端數(shù)據(jù)進(jìn)行安全處理的TF卡,與終端配合工作。
安全智能TF卡經(jīng)國(guó)家密碼管理局安全審查通過(guò),配用SM1算法。安全TF卡提供的主要密碼服務(wù)包括:
(1)用于存儲(chǔ)個(gè)人數(shù)字身份證書(shū)和簽名私鑰,為移動(dòng)終端提供數(shù)字簽名、簽名驗(yàn)證和數(shù)據(jù)加解密等密碼服務(wù);
(2)用于實(shí)現(xiàn)SM1算法和密鑰管理,為移動(dòng)終端提供基于SM1算法的數(shù)據(jù)加解密服務(wù)。
智能手機(jī)/PDA終端配備了安全智能TF卡,安裝安全客戶(hù)端軟件后,將具備以下功能:用戶(hù)識(shí)別功能、信息安全存儲(chǔ)功能、密碼學(xué)運(yùn)算功能、信息加解密封裝、SM1密鑰協(xié)商。
3.2.7 硬件特征碼認(rèn)證
硬件特征碼就是手機(jī)固有的串號(hào),VPN客戶(hù)端連接成功前,需要通過(guò)安全檢查程序?qū)蛻?hù)機(jī)進(jìn)行安全檢查。通過(guò)安全檢查程序,完成對(duì)客戶(hù)機(jī)硬件信息的提取,并生成特征碼,并與VPN安全檢查服務(wù)器上保存的特征碼進(jìn)行比對(duì),只有一致時(shí)策略檢查才算通過(guò)。一個(gè)賬號(hào)可以設(shè)置對(duì)應(yīng)一個(gè)硬件特征碼(即只允許一個(gè)移動(dòng)終端登陸)或幾個(gè)硬件特征碼(即允許一個(gè)賬戶(hù)使用固定的幾臺(tái)終端登陸)。
3.2.8 SIM卡認(rèn)證
SIM卡叫用戶(hù)識(shí)別卡,用來(lái)登記用戶(hù)的重要數(shù)據(jù)和信息,用戶(hù)的所有資料都保存在后臺(tái)服務(wù)器中。當(dāng)用戶(hù)登錄系統(tǒng)時(shí),輸入的SIM信息與存儲(chǔ)在后臺(tái)服務(wù)器中的數(shù)據(jù)進(jìn)行比對(duì),若為合法用戶(hù)才可進(jìn)行下一步操作。
3.2.9 生物特征認(rèn)證
生物特征認(rèn)證是根據(jù)每個(gè)人獨(dú)一無(wú)二的生物特征來(lái)驗(yàn)證身份的技術(shù),一般有指紋識(shí)別、臉部特征識(shí)別等。這種技術(shù)是根據(jù)物理特征來(lái)識(shí)別每個(gè)人的身份,安全性最高,但是由于目前生物特征識(shí)別技術(shù)還不夠成熟,成本比較高,所以生物特征認(rèn)證還具有較大的局限性。
3.2.10 混合認(rèn)證
為了使認(rèn)證體系更加的完善,可以將客戶(hù)端的認(rèn)證方式進(jìn)行選擇組合,最大限度地保證接入用戶(hù)的合法性和企業(yè)內(nèi)網(wǎng)資源的安全�？蓪⒂脩�(hù)名密碼、數(shù)字證書(shū)認(rèn)證、USBkey認(rèn)證、終端加密卡認(rèn)證、硬件特征碼認(rèn)證、SIM卡認(rèn)證中的其中兩種或三種認(rèn)證方式進(jìn)行綁定。
通過(guò)以上對(duì)不同認(rèn)證方式的分析,本文將推薦以下兩種混合認(rèn)證方式:(1)用戶(hù)名、SIM卡與數(shù)字證書(shū)混合認(rèn)證;(2)用戶(hù)名與終端加密卡。
3.3 數(shù)據(jù)傳輸安全
數(shù)據(jù)內(nèi)容采用256位AES高強(qiáng)度的數(shù)據(jù)加密體制,AES(高級(jí)加密標(biāo)準(zhǔn))是目前業(yè)內(nèi)公認(rèn)的最安全對(duì)稱(chēng)密碼算法。傳輸線路采用SSL(安全套接層)通道加密技術(shù)。SSL技術(shù)是通過(guò)CA數(shù)字證書(shū),在移動(dòng)終端與服務(wù)器端建立一條安全的網(wǎng)絡(luò)傳輸通道以確保系統(tǒng)的整體安全。
3.4 系統(tǒng)安全控制
(1)分級(jí)分權(quán)管理:根據(jù)企業(yè)內(nèi)部的管理形式,分為管理員和普通用戶(hù)。管理員分為超級(jí)管理員和受限管理員,不同級(jí)別的管理員角色不同,然后根據(jù)每個(gè)用戶(hù)的角色進(jìn)行權(quán)限劃分,設(shè)置每個(gè)用戶(hù)能夠訪問(wèn)的資源�；诜旨�(jí)分權(quán)的管理,為企業(yè)網(wǎng)絡(luò)提供了較強(qiáng)的安全性。
(2)終端訪問(wèn)控制:限制用戶(hù)的系統(tǒng)登錄時(shí)間,只有在規(guī)定的時(shí)間內(nèi)才能登錄VPN接入系統(tǒng);限制系統(tǒng)登錄IP和接入線路IP,保證接入的安全性。
(3)防窮舉攻擊:允許用戶(hù)每次登錄嘗試輸入密碼為三次,若連續(xù)三次輸入密碼錯(cuò)誤,系統(tǒng)將自動(dòng)斷開(kāi)與用戶(hù)的連接,防止攻擊者對(duì)用戶(hù)密碼的窮舉攻擊。
(4)用戶(hù)超時(shí)/過(guò)期控制:設(shè)置賬號(hào)的有效期,有效期過(guò)后,則賬號(hào)失敗,用戶(hù)無(wú)法繼續(xù)登錄;用戶(hù)如果在指定的時(shí)間未操作,則注銷(xiāo)該用戶(hù)。
(5)日志審計(jì):移動(dòng)辦公系統(tǒng)對(duì)用戶(hù)的操作進(jìn)行記錄和嚴(yán)格的審計(jì),保證管理員能夠?qū)崟r(shí)的查看接入用戶(hù)信息、訪問(wèn)的資源記錄。同時(shí)也能對(duì)日志進(jìn)行分析,對(duì)非法用戶(hù)或用戶(hù)的非法操作進(jìn)行告警。
4、結(jié)語(yǔ)
本文的重點(diǎn)內(nèi)容是從不同的方面提出虛擬化移動(dòng)辦公的安全控制方案:網(wǎng)絡(luò)安全控制,主要是建立虛擬專(zhuān)用網(wǎng)絡(luò)以及防火墻、網(wǎng)閘等安全隔離設(shè)備;移動(dòng)終端安全,詳細(xì)地介紹了動(dòng)態(tài)口令、數(shù)字證書(shū)、硬件特征碼、混合認(rèn)證等多種認(rèn)證方式;數(shù)據(jù)傳輸安全,通過(guò)AES數(shù)據(jù)加密和SSL通道加密兩種方式,保證數(shù)據(jù)傳輸?shù)陌踩?系統(tǒng)安全機(jī)制,提出了分級(jí)分權(quán)管理、終端訪問(wèn)控制、防窮舉攻擊、用戶(hù)超時(shí)/過(guò)期控制、日志審計(jì),并分別對(duì)其進(jìn)行介紹。
通過(guò)本文的安全控制方案,解決了企業(yè)移動(dòng)辦公的安全性問(wèn)題,提高了企業(yè)的辦公效率,同時(shí)也促進(jìn)了更多行業(yè)領(lǐng)域?qū)μ摂M化移動(dòng)辦公的利用。
核心關(guān)注：拓步ERP系統(tǒng)平臺(tái)是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴(lài)品牌。
轉(zhuǎn)載請(qǐng)注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/
本文標(biāo)題：虛擬化移動(dòng)辦公平臺(tái)的架構(gòu)及安全控制方案
本文網(wǎng)址：http://www.oesoe.com/html/support/11121512274.html
相關(guān)文章
