時(shí)長江 張柏青 趙 謙 鄭 雯

（山東檢驗(yàn)檢疫局 山東 266001）

0 引言

隨著移動(dòng)互聯(lián)和云計(jì)算技術(shù)的迅猛發(fā)展，3G/4GLTE/WiFi網(wǎng)絡(luò)日臻成熟和穩(wěn)定，智能終端廣泛使用，任何人、在任何地點(diǎn)、使用任何終端、任何方式實(shí)現(xiàn)沒有邊界的協(xié)同辦公環(huán)境已成為一種趨勢(shì)，以數(shù)據(jù)、音頻和視頻為主要載體的移動(dòng)辦公系統(tǒng)具備移動(dòng)終端（3G移動(dòng)辦公上網(wǎng)卡、筆記本、平板電腦及智能手機(jī)等）與應(yīng)用數(shù)據(jù)分離，移動(dòng)辦公終端與應(yīng)用有機(jī)融合，實(shí)現(xiàn)遠(yuǎn)程移動(dòng)辦公、檢驗(yàn)檢疫結(jié)果登記、下達(dá)放行指令，視頻交流與業(yè)務(wù)協(xié)同互動(dòng)。

1 移動(dòng)辦公系統(tǒng)面臨的信息安全風(fēng)險(xiǎn)分析

由于移動(dòng)辦公要經(jīng)過 3G無線網(wǎng)絡(luò)與內(nèi)部網(wǎng)連接，內(nèi)網(wǎng)的信息和數(shù)據(jù)完整性、一致性，交互應(yīng)用的可靠性和安全性是一個(gè)重要問題。移動(dòng)辦公系統(tǒng)面臨的信息安全風(fēng)險(xiǎn)主要包括VPDN接入安全風(fēng)險(xiǎn)：VPDN AAA認(rèn)證服務(wù)器存在操作系統(tǒng)平臺(tái)的系統(tǒng)漏洞、應(yīng)用漏洞和安全配置等問題。智能終端的安全風(fēng)險(xiǎn)：根據(jù)IBM《2011年安全趨勢(shì)和風(fēng)險(xiǎn)報(bào)告》提供的數(shù)據(jù)，移動(dòng)設(shè)備被漏洞攻擊在2011年增加了19%，手機(jī)病毒和后門程序可以竊取用戶敏感信息時(shí)有發(fā)生。云計(jì)算的主要安全威脅：云計(jì)算服務(wù)推動(dòng)了Internet的Web化趨勢(shì)，多客戶、虛擬化、動(dòng)態(tài)、業(yè)務(wù)邏輯服務(wù)復(fù)雜、用戶參與等Web2.0廣泛應(yīng)用，Web安全漏洞和云服務(wù)的特點(diǎn)面臨著網(wǎng)絡(luò)安全新挑戰(zhàn)。內(nèi)部的數(shù)據(jù)泄漏和濫用：單位內(nèi)部的重要數(shù)據(jù)和業(yè)務(wù)應(yīng)用處于云服務(wù)的IT系統(tǒng)中，如何避免云計(jì)算環(huán)境中多客戶共存帶來的潛在風(fēng)險(xiǎn)，成為云計(jì)算環(huán)境下用戶的面臨著的安全挑戰(zhàn)。虛擬化服務(wù)的安全威脅：傳統(tǒng)的 IDS、安全審計(jì)產(chǎn)品不可識(shí)別虛擬化環(huán)境下的各種安全漏洞。虛擬桌面和虛擬應(yīng)用的安全威脅：虛擬機(jī)被惡意訪問和修改的風(fēng)險(xiǎn)依然存在。

因此，必須建立一套以網(wǎng)絡(luò)通信、區(qū)域邊界、云計(jì)算環(huán)境、安全管控中心為基礎(chǔ)的信息安全平臺(tái)，在此平臺(tái)上建成一個(gè)穩(wěn)定、可靠的移動(dòng)辦公系統(tǒng)，兼容各種應(yīng)用系統(tǒng)和終端，智慧質(zhì)檢提供一個(gè)安全的可信可控可管移動(dòng)應(yīng)用環(huán)境。

2 移動(dòng)辦公系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)

按照 GB/17859要求，移動(dòng)辦公系統(tǒng)是在安全管理中心支持下由通信網(wǎng)絡(luò)、區(qū)域邊界和云計(jì)算環(huán)境組成的可信、可控、可管安全平臺(tái)?；诳尚庞?jì)算的移動(dòng)辦公系統(tǒng)技術(shù)架構(gòu)如圖 1所示?？尚牛横槍?duì)移動(dòng)辦公系統(tǒng)計(jì)算資源（軟硬件）構(gòu)建保護(hù)環(huán)境，對(duì)計(jì)算資源進(jìn)行保護(hù)?？煽兀横槍?duì)移動(dòng)辦公系統(tǒng)信息資源（數(shù)據(jù)及應(yīng)用）以訪問控制為核心，實(shí)行用戶按策略規(guī)則訪問信息資源。可管：保證資源安全強(qiáng)調(diào)最小權(quán)限管理，不許設(shè)超級(jí)用戶。

圖1 移動(dòng)辦公系統(tǒng)技術(shù)架構(gòu)

移動(dòng)終端用戶設(shè)置APN信息請(qǐng)求接入3G VPDN專網(wǎng)，內(nèi)部三A認(rèn)證服務(wù)器對(duì)其手機(jī)號(hào)、手機(jī)卡信息、用戶名和密碼進(jìn)行強(qiáng)身份認(rèn)證+復(fù)合身份認(rèn)證方式，即通過機(jī)器指紋、指紋等生物特征和CA key等認(rèn)證方式接入云計(jì)算平臺(tái)，實(shí)現(xiàn)安全認(rèn)證、網(wǎng)絡(luò)可用。利用虛擬化技術(shù)對(duì)服務(wù)器等硬件資源進(jìn)行整合，組建基于A/S架構(gòu)的跨平臺(tái)跨終端的計(jì)算模式，實(shí)現(xiàn)了基于云計(jì)算，統(tǒng)一部署、集中管理、可控可管、安全可用的移動(dòng)辦公系統(tǒng)。在云計(jì)算平臺(tái)上發(fā)布電腦桌面和應(yīng)用軟件，部署業(yè)務(wù)系統(tǒng)的資源，認(rèn)證通過后獲得訪問安全專區(qū)的權(quán)限，安全專區(qū)邊界防火墻通過端口映射將CITRIX認(rèn)證服務(wù)器發(fā)布出去。使用人員通過各種終端設(shè)備在通過CITRIX認(rèn)證服務(wù)器的認(rèn)證后，獲得CITRIX提供的虛擬桌面資源。利用面向應(yīng)用層面的身份認(rèn)證、業(yè)務(wù)系統(tǒng)使用過程快照記錄和應(yīng)用安全審計(jì)體系，實(shí)現(xiàn)了信息安全的過程控制和事后的可追溯。

2.1 網(wǎng)絡(luò)通信系統(tǒng)

通信網(wǎng)絡(luò)子系統(tǒng)通過對(duì)通信數(shù)據(jù)包的保密性和完整性進(jìn)行保護(hù)，確保其在傳輸過程中不會(huì)被非授權(quán)竊聽和篡改，使得數(shù)據(jù)在傳輸過程中的安全得到了保障。移動(dòng)辦公系統(tǒng)采用如圖 2所示的多運(yùn)營商3G VPDN接入方式，采用3G虛擬撥號(hào)專網(wǎng)（VPDN）線路，實(shí)現(xiàn)移動(dòng)辦公3G網(wǎng)絡(luò)與互聯(lián)網(wǎng)的有效隔離。在移動(dòng)終端上，可以通過APN設(shè)置來選擇VPDN線路。電信運(yùn)營商3G VPDN專網(wǎng)通過專用的APN域名接入并進(jìn)行3A認(rèn)證，包括3G SIM卡信息認(rèn)證和帳號(hào)用戶名等多項(xiàng)身份認(rèn)證，根據(jù)手機(jī)號(hào)碼和移動(dòng)終端的 IP地址區(qū)分不同的電信運(yùn)營商的VPDN專線，經(jīng)過區(qū)域邊界接入到內(nèi)部云計(jì)算數(shù)據(jù)中心。

圖2 多運(yùn)營商3GVPDN接入示意圖

VPDN采用的安全技術(shù)措施主要包括：（1）獨(dú)立 APN：在基站接入層面通過給每個(gè)用戶部門設(shè)立獨(dú)立的APN，實(shí)現(xiàn)不同用戶部門通過無限數(shù)據(jù)通訊接入。（2）L2TP/GRE鏈路加密：提供L2TP/GRE兩種方式的鏈路加密協(xié)議，保障鏈路的安全性。（3）AAA認(rèn)證：通過專門的AAA認(rèn)證中心，對(duì)智能終端進(jìn)行鑒權(quán)和認(rèn)證。（4）帳號(hào)和USIM卡綁定：將遠(yuǎn)端用戶撥號(hào)的帳號(hào)和USIM卡綁定，實(shí)現(xiàn)特定帳號(hào)只能在特定卡上進(jìn)行撥號(hào)，實(shí)現(xiàn)特定卡號(hào)分配特定IP地址。

2.2 云計(jì)算系統(tǒng)

移動(dòng)辦公系統(tǒng)采用應(yīng)用交付設(shè)計(jì)理念，應(yīng)用服務(wù)器虛擬化、應(yīng)用、網(wǎng)絡(luò)虛擬化和桌面虛擬化等組成云計(jì)算平臺(tái)，如圖3所示。發(fā)布的應(yīng)用系統(tǒng)部署在云計(jì)算中心，實(shí)現(xiàn)數(shù)據(jù)應(yīng)用與終端分離，用戶按需獲得內(nèi)部移動(dòng)辦公虛擬化資源，滿足應(yīng)用系統(tǒng)和桌面等辦公資源跨平臺(tái)遷移。

圖3 云計(jì)算部署環(huán)境

云計(jì)算環(huán)境包括三個(gè)部分：（1）利用一體化交換技術(shù)（Fcoe）整合多種網(wǎng)絡(luò)資源，實(shí)現(xiàn)跨平臺(tái)資源調(diào)度的虛擬化網(wǎng)絡(luò)。（2）利用服務(wù)器虛擬化（Vmware）技術(shù)實(shí)現(xiàn)服務(wù)器和存儲(chǔ)端的虛擬化，底層硬件服務(wù)器為CISCO UCS刀片式服務(wù)器，利用虛擬化技術(shù)VMWARE將物理服務(wù)器虛擬成多個(gè)邏輯服務(wù)器，提供高性能的網(wǎng)絡(luò)、存儲(chǔ)和計(jì)算資源。（3）利用桌面虛擬化技術(shù)（CTRIX）實(shí)現(xiàn)桌面虛擬化，具有用戶虛擬桌面發(fā)布和用戶操作軟件的虛擬發(fā)布功能。由于移動(dòng)用戶最終得到的是個(gè)遠(yuǎn)程桌面的鏡像，移動(dòng)終端與虛擬桌面之間的 3G專網(wǎng)上并無真實(shí)數(shù)據(jù)傳輸，用戶端的病毒、木馬不會(huì)被傳播到安全區(qū)域的虛擬桌面，移動(dòng)終端不會(huì)保留真實(shí)數(shù)據(jù)，從網(wǎng)絡(luò)層面和數(shù)據(jù)層面都保證了系統(tǒng)的安全性。

2.3 區(qū)域邊界系統(tǒng)

通過部署在區(qū)域邊界上安全網(wǎng)關(guān)、防火墻、網(wǎng)閘等全方位地對(duì)網(wǎng)絡(luò)實(shí)行安全保護(hù)，控制移動(dòng)辦公系統(tǒng)對(duì)內(nèi)部局域網(wǎng)的訪問，保證共享資源的可信連接，如圖4所示。在內(nèi)網(wǎng)與移動(dòng)辦公系統(tǒng)之間設(shè)置專門網(wǎng)閘對(duì)網(wǎng)絡(luò)進(jìn)行隔離，只有符合TCP80端口的流量才會(huì)穿越網(wǎng)閘，實(shí)現(xiàn)數(shù)據(jù)單向擺渡，傳到內(nèi)網(wǎng)，其它流量一律不允許從移動(dòng)辦公系統(tǒng)穿越到內(nèi)網(wǎng)。

圖4 區(qū)域邊界安全策略

將移動(dòng)辦公系統(tǒng)按不同功能劃分 3G網(wǎng)絡(luò)通信區(qū)和內(nèi)網(wǎng)的云計(jì)算數(shù)據(jù)中心，這兩個(gè)區(qū)域通過物理隔離網(wǎng)閘進(jìn)行單向數(shù)據(jù)擺渡，保證內(nèi)部資源不被暴露。采用SSL VPN設(shè)備，在移動(dòng)終端和業(yè)務(wù)應(yīng)用服務(wù)間進(jìn)行數(shù)據(jù)再加密。用戶使用CITRIX移動(dòng)終端客戶端請(qǐng)求接入，虛擬化服務(wù)器根據(jù)用戶密碼對(duì)客戶端進(jìn)行驗(yàn)證，驗(yàn)證通過分配給客戶端一個(gè)虛擬桌面。用戶將通過虛擬桌面從網(wǎng)閘獲取內(nèi)部業(yè)務(wù)系統(tǒng)資源。

在虛擬化平臺(tái)上部署防病毒系統(tǒng)Deep Security，與VMware vSphere無縫集成。通過VMware提供的vShield API，無需在虛擬機(jī)上安裝防病毒客戶端程序，即可實(shí)現(xiàn)虛擬環(huán)境下防病毒、防火墻、虛擬補(bǔ)丁功能。VMware平臺(tái)由5臺(tái)物理服務(wù)器構(gòu)成，在5臺(tái)ESX Server上安裝部署DS，如圖5所示。每臺(tái)虛擬機(jī)上安裝防病毒軟件，更新病毒碼和啟用預(yù)設(shè)掃描資源占有率大約在60%-70%左右，部署DS其占有率僅為20%左右。

圖5 服務(wù)器虛擬化安裝DS

2.4 安全管理中心系統(tǒng)

通過認(rèn)證、授權(quán)、審計(jì)、實(shí)施訪問控制策略，實(shí)現(xiàn)對(duì)區(qū)域邊界系統(tǒng)、對(duì)通信網(wǎng)絡(luò)和云計(jì)算環(huán)境的集中管理和信息系統(tǒng)的行為審計(jì)。在3G無線接入和安全認(rèn)證的基礎(chǔ)上，使用VPDN專線接入方式+SSL VPN加密和接入網(wǎng)關(guān)，將移動(dòng)辦公終端的唯一的機(jī)器特征與使用人員的生物特征、CA認(rèn)證相結(jié)合，形成 3G增強(qiáng)型的身份鑒別和認(rèn)證接入平臺(tái)。實(shí)現(xiàn)人機(jī)合一，專人、專機(jī)專網(wǎng)、專用，通過桌面虛擬化軟件，建立應(yīng)用發(fā)布服務(wù)器的虛擬桌面和應(yīng)用邏輯，提供安全可靠移動(dòng)辦公應(yīng)用平臺(tái)。

SSL VPN支持與生物識(shí)別指紋認(rèn)證，接入認(rèn)證方式為用戶名+口令+生物識(shí)別指紋識(shí)別.支持雙因素認(rèn)證，可以通過用戶名+口令+生物識(shí)別指紋識(shí)別+數(shù)字證書（或USBkey）實(shí)現(xiàn)更高級(jí)別的認(rèn)證。認(rèn)證方式如圖6所示。

將指紋識(shí)別技術(shù)、數(shù)字證書等技術(shù)通過虛擬化技術(shù)實(shí)現(xiàn)，增強(qiáng)系統(tǒng)的不可抵賴性。根據(jù)不同的應(yīng)用場景，提供不同組合方式的身份驗(yàn)證模式。模式 1（訪問終端不固定，在辦公室或家中，使用PC、平板電腦或手機(jī)），認(rèn)證方式：用戶名+密碼+機(jī)器指紋。模式2（訪問終端固定），認(rèn)證方式：數(shù)字證書Ukey+機(jī)器指紋。模式3（訪問終端固定），認(rèn)證方式：用戶名+密碼+指紋認(rèn)證+綁定硬件特征碼。

審計(jì)功能可以監(jiān)控移動(dòng)辦公系統(tǒng)敏感數(shù)據(jù)的操作，對(duì)重要應(yīng)用系統(tǒng)的變更操作、鼠標(biāo)移動(dòng)和擊鍵信息進(jìn)行屏幕錄像，特定用戶、應(yīng)用和服務(wù)器進(jìn)行監(jiān)控，對(duì)錄像文件進(jìn)行數(shù)字簽名保證安全。

3 總結(jié)

本文提出的移動(dòng)辦公系統(tǒng)技術(shù)架構(gòu)滿足了可信可控可管的技術(shù)要求，由管理中心、網(wǎng)絡(luò)通信、區(qū)域邊界和云計(jì)算環(huán)境等組成的信息安全平臺(tái)保證了移動(dòng)辦公系統(tǒng)的穩(wěn)定可靠運(yùn)行。隨著移動(dòng)終端性能不斷提升，私有云、公有云逐步建設(shè)，基于WEB2.0技術(shù)的在線應(yīng)用的發(fā)展，應(yīng)用交付的范圍和內(nèi)容都將快速增大和豐富，移動(dòng)辦公也將從輔助辦公手段發(fā)展成常規(guī)甚至主要辦公方式。

[1]張應(yīng)福.黃鵬.陳超.云計(jì)算技術(shù)及其在下一代數(shù)據(jù)中心建設(shè)中的應(yīng)用.《通信與信息技術(shù)》2011年第1期

[2]許志敏.白克壯.服務(wù)器虛擬化技術(shù)在數(shù)據(jù)中心的應(yīng)用探索.《2010年第二十四界全國計(jì)算機(jī)信息管理學(xué)術(shù)研討會(huì)》（會(huì)議論文）

[3]范君.應(yīng)用交付網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)與研究.《計(jì)算機(jī)與數(shù)字工程》2010年第12期

[4]嚴(yán)麗云，鐘偉彬，李蓉蓉，張凌. 基于應(yīng)用虛擬化的智能終端關(guān)鍵技術(shù)研究. 電信科學(xué)，2012，（5）：9-13.