移動應用系統安全管理平臺方案概述系統建設背景近日，。。。。無線都市規劃出臺增進了。。。無線應用系統迅速發展。因而，作為各種無線應用系統核心基本—安全管理問題，也變得越來越重要，對無線應用系統安全管理方面建設具備時間急迫性。，Comodo，Gucci和花期銀行等國際公司無線應用都相繼發生了一系列安全事故。這些安全事故都導致了巨大經濟損失。我市各單位無線應用系統（特別是政務系統和辦公系統）中數據往往都是需要保密，一旦泄露后果不堪設想。此外，各單位應用系統離散獨立建設和管理，會帶來巨大建設、管理成本，導致資源揮霍。例如，某單位如果不使用獨立物理專線，無線應用性能也許會難以接受；但是，如果建設將為這個單位帶來巨額專線使用費用，且容易浮現專線資源揮霍。綜合政府無線都市規劃規定和各單位實際建設無線應用系統遇到問題，本項目將重點解決我市各種無線應用系統統一安全管理和網絡資源統籌優化問題，其重點目的是在不變化各單位已有無線應用系統構造和物理聯網基本上，建立基于SSLVPN移動應用安全管理平臺，在邏輯和應用層面上將各單位移動應用系統納入一種安全使用范疇，在移動應用系統各層面和核心節點上提供完善防護和管理機制，最大限度保障顧客數據安全；同步，提供一種統一VPNMSC客戶端來實現顧客單點登陸管理，簡化顧客操作環節，以及減少各單位離散管理帶來安全隱患。項目建設基本分析隨著智能手機、平板電腦等移動設備浮現，移動互聯網這一新興事物蓬勃發展，移動平臺正式進入大眾市場。固然，在這一發展過程中，也會遭遇某些成長難題，例如安全問題和營收模式等。但是無論如何，移動互聯網時代正在來臨。依照知名風投公司KPCB(KleinerPerkinsCaufield&Byers)發布《移動互聯網趨勢報告》顯示：全球ipad/iphone/ipod合計銷售量達到7500萬臺，而Android系統移動平臺更是達到2億臺；智能手機和平板電腦銷售量已經超過了筆記本和臺式機銷量。在這個背景下，國內移動互聯網顧客已經達到世界首位，移動互聯網促使國內社交網絡加速向移動網絡發展，移動商務和移動廣告突飛猛進，移動政務開始流行。隨著信息技術不斷發展，特別是改革開放以來，整個社會信息化水平迅速提高，各級政府部門也在不斷地加快推動辦公自動化和電子政務領域建設，整個國家以及各單位政務解決實時性和簡潔性都大大提高。可是，老式辦公和政務系統只能守在電腦旁才干進行操作，而領導尋常工作需要經常外出（例如，下基層、外出開會與報告工作、視察與驗收建設項目等），因而，為理解決這個突出矛盾，突破國內政務解決時間和空間局限性，基于移動互聯網移動辦公和政務系統在國內開始普及。在此背景下，本項目建設基本重要是各單位移動應用系統（涉及移動辦公和移動政務系統等）。當前，我市移動應用系統包括重要基本資源涉及：各單位數據中心政府數據中心機房提供電子政務和辦公系統網絡接入，機房配備有OLTP和OLAP數據服務器、雙路市電、UPS、柴油發電機、精密空調、消防、視頻監控等多項保障辦法。當前，各單位數據中心機房已為移動電子政務和辦公應用提供了良好數據支持和管理機制。中間服務器中間件服務器是位于數據中心和應用軟件客戶端之間通用服務，通過將復雜移動通信合同和移動信息化應用解決技術封裝起來，為公司、政府移動信息化建設提供一套原則化、簡樸開發環境和應用服務。它重要用于實現與原有PC應用系統無縫整合與迅速布置，從而完畢對原有應用系統移動化。當前，我市移動應用系統中間件服務器重要是用于封裝數據提取操作和信息解決操作，大體涉及三種方式：基于HTTP/Socket/SOAP/RMI等網絡合同持久化框架如hibernate、myBatis等。長處是可以迅速生成SQL查詢語句并得到查詢成果。缺陷是對海量數據解決性能局限性。網頁提取與解析。這種方式優勢是單位原有Web應用系統無需改造，就能轉變為手機客戶端可以辨認終端數據，從而完畢業務系統迅速、安全地移動化。缺陷是速度上會比用HTTP/Socket/SOAP/RMI查詢語句直接傳播方式慢。WebService。WebService是一種應用組件,它邏輯性為其她應用程序提供數據與服務.各應用程序通過網絡合同和規定某些原則數據格式（Http，XML，Soap)來訪問WebService,通過WebService內部執行得到所需成果.WebService可以執行從簡樸祈求到復雜商務解決任何功能。其長處是跨平臺，支持復雜數據和業務傳遞，且容易實現加密傳播。缺陷是對服務器性能規定較高，消耗大。移動應用終端當前xx市移動應用系統手機終端既涉及C/S模式也有B/S模式。其他可運用資源xx云計算中心：當前，xx云計算資源可以提供基于X8664位主流解決器搭建云計算服務平臺，提供無限CPULicensesMSSQLServer公司版數據庫環境，云計算資源可動態擴容。CA認證中心：xx省數字證書認證管理中心是全省統一數字證書認證服務機構，提供電子簽名信任服務、可信網站服務、安全電子郵件服務、時間認證服務、電子簽章系統服務、電子證據保全系統服務，可實現網上業務身份驗證，保證信息保密性、完整性和網上行為抗抵賴性。綜上所述，當前xx有關單位以各自職能和業務為核心建成了一批與電子政務和辦公有關移動應用系統，大多數部門實現了隨時隨處辦公，掙脫了物理網絡限制，節約了辦公費用，提高了工作效率。但是，由于這些系統離散性，導致它們普遍存在安全隱患，并且網絡資源使用成本高，無法進行統籌優化。基于這個因素，研究如何運用各部門已有移動應用資源，建立移用應用系統安全管理平臺，為各單位移動應用系統提供統一、透明安全管理和網絡性能優化服務具備十分重要現實意義和時間急迫性。總體架構設計依照系統建設規定，本系統設計中將遵循如下原則：遵從性符合我省移動都市有關政策，為實現移動都市提供保障和支撐。安全性全面、統一地對我市重要政府和企事業單位移動應用系統進行安全防護和管理，抵抗各種惡意入侵和非法信息竊取，規范顧客訪問及使用，保證重要信息流通。可用性避免重復建設和對原有系統改建導致揮霍。保證原有系統加入安全管理平臺后，各項功能正常運營，并保證業務迅速恢復。可管理性通過最小管理承擔，達到最大管理效能。保證提供完善安全審計報告。性能在不明顯增長各單位無線應用系統投入正本和變化物理網絡構造前提下，優化網絡資源，減少各無線應用系統響應時間。在以上四大原則基本上，本系統總體架構需要滿足在盡量不變化各部門原有移動應用系統和物理網絡構造基本上，運用VPN原理，在邏輯層面上對各部門應用系統進行安全防護和管理，重要涉及：統一VPNMSC（MobileSmartClient）智能客戶端、智能單點VPN入口管理、無線傳播安全管理、接入安全管理、VPN內網聯接及網間加速。系統總體架構圖如下：圖一：系統總體架構圖各功能模塊簡介VPNMSC智能客戶終端本系統VPNMSC智能客戶端是將VPN客戶機原理和MSC技術相接結合。MSC（MobileSmartClient）跨平臺移動智能客戶端，涉及一套開發語言和覆蓋所有手機平臺客戶端虛擬機，可以支持Windowsphone、iOS、Android、Symbian（涉及symbianS603、SymbianS605、Symbian3）、Linux、Blackberry、Ophone、Brew、Wap、xHtml等。它采用一種介于C/S構造和B/S構造之間網絡構造模式，集C/S和B/S優勢于一身，可屏蔽手機終端差別性，具備多終端支持能力和業務迅速更新能力。本系統VPNMSC智能客戶終端構造如下所示：圖二：VPNMSC智能客戶終端構造圖顧客訪問控制層通過手機號、密碼、手機設備串號多重綁定對顧客身份進行判斷,看與否有資格接入移動應用VPN。業務層重要用于支撐顧客對各自移動應用系統業務使用，重要涉及：智能映射：當顧客獲準進入移動應用VPN，智能映射模塊可以透明地協助顧客進入各自部門移動應用系統。例如，旅游局顧客可以通過VPNMSC直接進入旅游局建立移動應用系統。統一界面呈現機制：基于MSC特性，統一界面呈現機制可以在統一風格窗口中同步支持各部門原有系統C/S和B/S顧客端界面。政務解決提示：當顧客浮現緊急政務需要解決時，VPNMSC終端將提示顧客及時解決。智能升級：當有新版本程序時，終端會自動接受服務器發來推送（PUSH）并建議安裝升級。安全支撐層用于各部門移動應用系統在客戶端安全管理與控制，重要涉及：SSLVPN通信管理：SSLVPN通信管理是VPNMSC客戶端核心核心，由于iOS瀏覽器不支持第三方插件，特別是PKI插件，以及基于本安全管理系統特殊客戶群考慮，本項目必要專門開發集成SSLVPN客戶端，以支持跨平臺SSLVPN安全通信。VPN(VirtualPrivateNetwork)，即虛擬專用網，是指運用開放公共網絡資源建立私有傳播通路，將遠程分支機構，商業伙伴，移動辦公人員等連接起來，并且提供安全端到端數據通信一種技術。它有兩層含義：第一，它是“虛擬”，即顧客事實上并不存在一種獨立專用網絡，既不需要建設或租用專線，也不需要裝備專用設備，而是架構在公用網絡服務商所提供網絡平臺，如Internet、ATM、FrameRelay等之上邏輯網絡，顧客數據在邏輯鏈路中傳播；第二，它是“專用”，相對于“公用”來說，它強調私有性和安全可靠性。SSL是一種在套接層上安全合同，它支持數據全程加密傳播，是遠程顧客訪問敏感數據最安全、最簡樸解決途徑，與IPSec相比，SSLVPN布置更加簡樸、以便。本項目SSLVPN通信管理模塊需要研究如何通過建立SSL記錄子合同、握手子合同和PKI體系，解決客戶終端對如下功能支持：身份認證：基于握手合同和PKI體系，實現VPNMSC客戶終端和VPN入口服務器之間互相身份認證。PKI體系中CA可以運用xx省數字證書認證管理中心提供發證和證書管理服務。通信數據加密：實現VPNMSC客戶端和VPN入口服務器之間加密算法，密鑰協商與管理，和數據加密傳播。通信數據完整性檢查：研究應用PKI中數字簽名或MAC技術，對信息內容進行檢測，防止被篡改。不可否認：研究如何運用數字簽名和收條技術實現數據和文獻發送方不可否認性。不可否認性可以證明消息發送方是唯一也許發送者，發送者不能否認發送過消息。不可否認性一種特性是采用公鑰技術，當使用公鑰技術時，發送方用私鑰產生一種數字簽名隨消息一起發送，接受方用發送者公鑰來驗證數字簽名。由于在理論上只有發送者才唯一擁有私鑰，也只有發送者才也許產生該數字簽名，因此只要數字簽名通過驗證，發送者就不能否認曾發送過該消息。SKIP密鑰管理：密鑰管理技術重要任務是保證在公用數據網上安全地傳遞密鑰而不被竊取。本項目實用SKIPDiffie-Hellman演算法則，在網絡上傳播密鑰。同步，本項目需要支持動態密鑰更新，也就是在通信過程中，數據流被劃提成一種個"數據塊"，每一種"數據塊"都使用不同密鑰加密，這可以保證萬一襲擊者半途截取了某些通信數據流和相應密鑰后，也不會危及到所有別的通信信息安全。APN接入管理：實現自動接入移動運營商提供物理專線。存儲安全服務：提供移動設備本地加密數據庫和云存儲服務（運用xx市云計算中心）。手機加密數據庫需要實現不可拷貝，可以通過本系統內置防盜系統遠程銷毀。移動防毒軟件接口：用于建議、提示顧客安裝移動設備防病毒軟件，例如symtantec等。移動設備防盜：是本項目嵌入VPNMSC智能客戶終端一款防盜子系統。它隱藏地存在于移動設備中，顧客一旦在客戶端啟動，將實現如下功能：移動設備被非法挪動時，會大音量報警。關機、拔出耳機或USB延長線時進行大音量報警。定位手機使用位置。可遠程發送隱蔽指令對移動設備本地加密數據庫進行刪除和屏蔽特定顧客進入移動應用系統VPN。傳播過程安全管理圖三展示了VPNMSC和VPN入口服務器數據安全通信總體方略。SSL使用公開密鑰體制和X.509數字證書技術保護信息傳播機密性和完整性。SSL安全功能組件涉及三某些：認證(在連接兩端對服務器或同步對服務器和客戶端進行驗證)，加密(對通信進行加密，只有通過加密雙方才干互換信息并互相辨認)，完整性檢查(進行信息內容檢測，防止被篡改)。圖三：VPNMSC客戶端與VPN入口服務器之間數據安全通信管理重要涉及如下幾種重要階段：認證階段：一方面客戶端在TCP建立后向VPN入口服務器發送握手祈求，VPN入口服務器作出相應。然后VPNMSC客戶端將規定身份認證，服務器端將發送自己X.509數字證書來讓客戶端對其進行認證并同步發送密鑰互換信息。然后，VPN服務器會發出認證規定給客戶端，客戶端響應祈求并發送數字證書和密鑰互換信息給VPN入口服務器。如果認證不成功，將取消握手操作。協商階段：VPNMSC客戶端與VPN入口服務器之間握手成功后，雙方將協商擬定用于加密本次會話過程一組密碼套件和要使用對稱密鑰。（認證和協商階段將擬定合同版本、會話標記、壓縮和加密算法）數據通信階段：雙方使用協商加密算法和加密密鑰進行秘密通信。訪問控制：VPN入口服務器訪問控制模塊將依照身份證書中手機號，通過VPN服務器，為顧客找到其所在部門移動應用系統并建立連接。安全防護：涉及病毒數據防護、防窮舉防護、垃圾數據襲擊防護。數據檢查：雙向檢查來自客戶端和VPN服務器數據完整性。VPN服務器VPN服務器在本項目中重要負責邏輯連接各單位移動應用服務器，并管理數據加密傳入與傳出。在本項目中，需要提供一臺基于WindowsNT或WindowsServerVPN服務器，它擁有一種公用IP地址。客戶端在成功通過入口服務器和內外防火墻后與VPN服務器進行連接，然后通過VPN服務器與各單位移動應用服務器進行通信。此外，將VPN服務器和顧客事件采集器與關聯器進行連接。顧客事件采集器和關聯器可以進行顧客事件規格化,過濾,合并,關聯,存貯,監控和管理操作。這樣一來，通過VPN服務器上軟硬件結合，可以對顧客操作進行嚴格審計和報警，保證管理員和高檔顧客可以查看以往操作日記，也可以對日記分析，查看系統與否曾遭到襲擊。安全隔離網閘用安全隔離網閘進行物理隔離。本項目中，安全隔離網閘在網路間進行安全適度信息互換是在網絡之間不存在鏈路層連接狀況下進行。安全隔離網閘直接解決網絡間應用層數據，運用存儲轉發辦法進行應用數據互換，在互換同步，相應用數據進行各種安全檢查。CDN（ContentDeliveryNetwork）網間加速在本系統覆蓋網絡范疇內，做CDN網間加速。其基本思路是盡量避開互聯網上有也許影響數據傳播速度和穩定性瓶頸和環節，使內容傳播更快、更穩定。通過在網絡各處放置節點服務器，在既有互聯網基本之上，構建一層智能虛擬網絡，CDN系統可以實時地依照網絡流量和各節點連接、負載狀況以及到顧客距離和響應時間等綜合信息將顧客祈求重新導向離顧客近來服務節點上。總結移動應用系統安全管理平臺研發，將成功實當前移動應用系統各層面、各核心節點上統一安全防護和管理，同步一體化管理平臺也為在避免每個單位都拉一條專線狀況下，明顯提高各單位移動應用系統網絡性能，最大化運用既有網絡資源，提供了有效解決途徑。在安全面：客戶端安全管理，涉及：SSLVPN客戶端支持。專用SSLVPN客戶端徹底解決了普通SSLVPN直接使用瀏覽器而引入各種瀏覽器安全漏洞。基于PKI體系，構建了完善加密、解密、身份認證以及完整性與不可否認性檢查等安全防護與管理機制。支持動態密鑰更新機制。APN接入管理幫顧客自動接入物理專線。存儲安全服務，實現本地移動設備數據庫加密管理和不可拷貝特性，以及在移動設備遺失后遠程銷毀能力。內置、隱藏移動設備防盜子系統。一旦設立運營，將在手機被非法移動，插拔USB和電源，以及關機時進行大音量報警；在偷盜者不懂得狀況下定位手機位置；在確認無法找回移動設備狀況下，遠程接受指令來刪除VPNMSC客