移动应用系统安全管理平台解决专项方案概述.doc

移动应用系统安全管理平台方案概述1.1. 系统建设背景近日，。无线都市规划出台增进了。无线应用系统迅速发展。因而，作为各种无线应用系统核心基本安全管理问题，也变得越来越重要，对无线应用系统安全管理方面建设具备时间急迫性。，Comodo，Gucci 和花期银行等国际公司无线应用都相继发生了一系列安全事故。这些安全事故都导致了巨大经济损失。我市各单位无线应用系统（特别是政务系统和办公系统）中数据往往都是需要保密，一旦泄露后果不堪设想。此外，各单位应用系统离散独立建设和管理，会带来巨大建设、管理成本，导致资源挥霍。例如，某单位如果不使用独立物理专线，无线应用性能也许会难以接受；但是，如果建设将为这个单位带来巨额专线使用费用，且容易浮现专线资源挥霍。综合政府无线都市规划规定和各单位实际建设无线应用系统遇到问题，本项目将重点解决我市各种无线应用系统统一安全管理和网络资源统筹优化问题，其重点目的是在不变化各单位已有无线应用系统构造和物理联网基本上，建立基于SSL VPN移动应用安全管理平台，在逻辑和应用层面上将各单位移动应用系统纳入一种安全使用范畴，在移动应用系统各层面和核心节点上提供完善防护和管理机制，最大限度保障顾客数据安全；同步，提供一种统一VPN MSC客户端来实现顾客单点登陆管理，简化顾客操作环节，以及减少各单位离散管理带来安全隐患。1.2. 项目建设基本分析随着智能手机、平板电脑等移动设备浮现，移动互联网这一新兴事物蓬勃发展，移动平台正式进入大众市场。固然，在这一发展过程中，也会遭遇某些成长难题，例如安全问题和营收模式等。但是无论如何，移动互联网时代正在来临。依照知名风投公司KPCB(Kleiner Perkins Caufield & Byers)发布移动互联网趋势报告显示：全球ipad/iphone/ipod合计销售量达到7500万台，而Android系统移动平台更是达到2亿台；智能手机和平板电脑销售量已经超过了笔记本和台式机销量。在这个背景下，国内移动互联网顾客已经达到世界首位，移动互联网促使国内社交网络加速向移动网络发展，移动商务和移动广告突飞猛进，移动政务开始流行。随着信息技术不断发展，特别是改革开放以来，整个社会信息化水平迅速提高，各级政府部门也在不断地加快推动办公自动化和电子政务领域建设，整个国家以及各单位政务解决实时性和简洁性都大大提高。可是，老式办公和政务系统只能守在电脑旁才干进行操作，而领导寻常工作需要经常外出（例如，下基层、外出开会与报告工作、视察与验收建设项目等），因而，为理解决这个突出矛盾，突破国内政务解决时间和空间局限性，基于移动互联网移动办公和政务系统在国内开始普及。在此背景下，本项目建设基本重要是各单位移动应用系统（涉及移动办公和移动政务系统等）。当前，我市移动应用系统包括重要基本资源涉及：（一） 各单位数据中心政府数据中心机房提供电子政务和办公系统网络接入，机房配备有OLTP和OLAP数据服务器、双路市电、UPS、柴油发电机、精密空调、消防、视频监控等多项保障办法。当前，各单位数据中心机房已为移动电子政务和办公应用提供了良好数据支持和管理机制。（二） 中间服务器中间件服务器是位于数据中心和应用软件客户端之间通用服务，通过将复杂移动通信合同和移动信息化应用解决技术封装起来，为公司、政府移动信息化建设提供一套原则化、简朴开发环境和应用服务。它重要用于实现与原有PC 应用系统无缝整合与迅速布置，从而完毕对原有应用系统移动化。当前，我市移动应用系统中间件服务器重要是用于封装数据提取操作和信息解决操作，大体涉及三种方式： 基于HTTP/Socket/SOAP/RMI等网络合同持久化框架如hibernate、myBatis等。长处是可以迅速生成SQL查询语句并得到查询成果。缺陷是对海量数据解决性能局限性。 网页提取与解析。这种方式优势是单位原有Web应用系统无需改造，就能转变为手机客户端可以辨认终端数据，从而完毕业务系统迅速、安全地移动化。 缺陷是速度上会比用HTTP/Socket/SOAP/RMI查询语句直接传播方式慢。 WebService。Web Service是一种应用组件,它逻辑性为其她应用程序提供数据与服务.各应用程序通过网络合同和规定某些原则数据格式（Http，XML，Soap)来访问Web Service,通过Web Service内部执行得到所需成果.Web Service可以执行从简朴祈求到复杂商务解决任何功能。其长处是跨平台，支持复杂数据和业务传递，且容易实现加密传播。缺陷是对服务器性能规定较高，消耗大。（三） 移动应用终端当前xx市移动应用系统手机终端既涉及C/S 模式也有B/S模式。（四） 其他可运用资源xx云计算中心：当前，xx云计算资源可以提供基于X86 64位主流解决器搭建云计算服务平台，提供无限CPU LicensesMS SQL Server公司版数据库环境，云计算资源可动态扩容。CA认证中心：xx省数字证书认证管理中心是全省统一数字证书认证服务机构，提供电子签名信任服务、可信网站服务、安全电子邮件服务、时间认证服务、电子签章系统服务、电子证据保全系统服务，可实现网上业务身份验证，保证信息保密性、完整性和网上行为抗抵赖性。综上所述，当前xx有关单位以各自职能和业务为核心建成了一批与电子政务和办公有关移动应用系统，大多数部门实现了随时随处办公，挣脱了物理网络限制，节约了办公费用，提高了工作效率。但是，由于这些系统离散性，导致它们普遍存在安全隐患，并且网络资源使用成本高，无法进行统筹优化。基于这个因素，研究如何运用各部门已有移动应用资源，建立移用应用系统安全管理平台，为各单位移动应用系统提供统一、透明安全管理和网络性能优化服务具备十分重要现实意义和时间急迫性。1.3. 总体架构设计依照系统建设规定，本系统设计中将遵循如下原则：1 遵从性符合我省移动都市有关政策，为实现移动都市提供保障和支撑。2 安全性全面、统一地对我市重要政府和企事业单位移动应用系统进行安全防护和管理，抵抗各种恶意入侵和非法信息窃取，规范顾客访问及使用，保证重要信息流通。3 可用性避免重复建设和对原有系统改建导致挥霍。保证原有系统加入安全管理平台后，各项功能正常运营，并保证业务迅速恢复。4 可管理性通过最小管理承担，达到最大管理效能。保证提供完善安全审计报告。5 性能在不明显增长各单位无线应用系统投入正本和变化物理网络构造前提下，优化网络资源，减少各无线应用系统响应时间。在以上四大原则基本上，本系统总体架构需要满足在尽量不变化各部门原有移动应用系统和物理网络构造基本上，运用VPN原理，在逻辑层面上对各部门应用系统进行安全防护和管理，重要涉及：统一VPN MSC（Mobile Smart Client）智能客户端、智能单点VPN入口管理、无线传播安全管理、接入安全管理、VPN内网联接及网间加速。系统总体架构图如下：图一：系统总体架构图1.4. 各功能模块简介（一） VPN MSC智能客户终端本系统VPN MSC 智能客户端是将VPN客户机原理和MSC技术相接结合。MSC（Mobile Smart Client）跨平台移动智能客户端，涉及一套开发语言和覆盖所有手机平台客户端虚拟机，可以支持Windows phone、iOS、Android、Symbian（涉及symbian S603、Symbian S605、Symbian3）、Linux、Blackberry、Ophone、Brew、Wap、xHtml等。它采用一种介于C/S构造和B/S构造之间网络构造模式，集C/S和B/S优势于一身，可屏蔽手机终端差别性，具备多终端支持能力和业务迅速更新能力。本系统VPN MSC智能客户终端构造如下所示：图二：VPN MSC智能客户终端构造图顾客访问控制层通过手机号、密码、手机设备串号多重绑定对顾客身份进行判断,看与否有资格接入移动应用VPN。业务层重要用于支撑顾客对各自移动应用系统业务使用，重要涉及： 智能映射：当顾客获准进入移动应用VPN，智能映射模块可以透明地协助顾客进入各自部门移动应用系统。例如，旅游局顾客可以通过VPN MSC直接进入旅游局建立移动应用系统。 统一界面呈现机制：基于MSC特性，统一界面呈现机制可以在统一风格窗口中同步支持各部门原有系统C/S和B/S顾客端界面。 政务解决提示：当顾客浮现紧急政务需要解决时，VPN MSC终端将提示顾客及时解决。 智能升级：当有新版本程序时，终端会自动接受服务器发来推送（PUSH）并建议安装升级。安全支撑层用于各部门移动应用系统在客户端安全管理与控制，重要涉及：SSL VPN 通信管理：SSL VPN通信管理是VPN MSC客户端核心核心，由于iOS浏览器不支持第三方插件，特别是PKI插件，以及基于本安全管理系统特殊客户群考虑，本项目必要专门开发集成SSL VPN客户端，以支持跨平台SSL VPN安全通信。VPN(Virtual Private Network)，即虚拟专用网，是指运用开放公共网络资源建立私有传播通路，将远程分支机构，商业伙伴，移动办公人员等连接起来，并且提供安全端到端数据通信一种技术。它有两层含义：第一，它是“虚拟”，即顾客事实上并不存在一种独立专用网络，既不需要建设或租用专线，也不需要装备专用设备，而是架构在公用网络服务商所提供网络平台，如Internet、ATM、Frame Relay等之上逻辑网络，顾客数据在逻辑链路中传播；第二，它是“专用”，相对于“公用”来说，它强调私有性和安全可靠性。SSL 是一种在套接层上安全合同，它支持数据全程加密传播，是远程顾客访问敏感数据最安全、最简朴解决途径，与IPSec相比，SSL VPN布置更加简朴、以便。本项目SSL VPN通信管理模块需要研究如何通过建立SSL记录子合同、握手子合同和PKI体系，解决客户终端对如下功能支持： 身份认证：基于握手合同和PKI体系，实现VPN MSC客户终端和VPN入口服务器之间互相身份认证。PKI体系中CA可以运用xx省数字证书认证管理中心提供发证和证书管理服务。 通信数据加密：实现VPN MSC客户端和VPN入口服务器之间加密算法，密钥协商与管理，和数据加密传播。 通信数据完整性检查：研究应用PKI中数字签名或MAC技术，对信息内容进行检测，防止被篡改。 不可否认：研究如何运用数字签名和收条技术实现数据和文献发送方不可否认性。不可否认性可以证明消息发送方是唯一也许发送者，发送者不能否认发送过消息。不可否认性一种特性是采用公钥技术，当使用公钥技术时，发送方用私钥产生一种数字签名随消息一起发送，接受方用发送者公钥来验证数字签名。由于在理论上只有发送者才唯一拥有私钥，也只有发送者才也许产生该数字签名，因此只要数字签名通过验证，发送者就不能否认曾发送过该消息。SKIP密钥管理：密钥管理技术重要任务是保证在公用数据网上安全地传递密钥而不被窃取。本项目实用SKIPDiffie-Hellman演算法则，在网络上传播密钥。同步，本项目需要支持动态密钥更新，也就是在通信过程中，数据流被划提成一种个数据块，每一种数据块都使用不同密钥加密，这可以保证万一袭击者半途截取了某些通信数据流和相应密钥后，也不会危及到所有别的通信信息安全。APN接入管理：实现自动接入移动运营商提供物理专线。存储安全服务：提供移动设备本地加密数据库和云存储服务（运用xx市云计算中心）。手机加密数据库需要实现不可拷贝，可以通过本系统内置防盗系统远程销毁。移动防毒软件接口：用于建议、提示顾客安装移动设备防病毒软件，例如symtantec等。移动设备防盗：是本项目嵌入VPN MSC智能客户终端一款防盗子系统。它隐藏地存在于移动设备中，顾客一旦在客户端启动，将实现如下功能： 移动设备被非法挪动时，会大音量报警。 关机、拔出耳机或USB延长线时进行大音量报警。 定位手机使用位置。 可远程发送隐蔽指令对移动设备本地加密数据库进行删除和屏蔽特定顾客进入移动应用系统VPN。（二） 传播过程安全管理图三展示了VPN MSC 和VPN入口服务器数据安全通信总体方略。SSL使用公开密钥体制和X.509数字证书技术保护信息传播机密性和完整性。SSL安全功能组件涉及三某些：认证(在连接两端对服务器或同步对服务器和客户端进行验证)，加密(对通信进行加密，只有通过加密双方才干互换信息并互相辨认)，完整性检查(进行信息内容检测，防止被篡改)。图三：VPN MSC 客户端与VPN入口服务器之间数据安全通信管理重要涉及如下几种重要阶段：1) 认证阶段：一方面客户端在TCP建立后向VPN入口服务器发送握手祈求，VPN入口服务器作出相应。然后VPN MSC客户端将规定身份认证，服务器端将发送自己X. 509 数字证书来让客户端对其进行认证并同步发送密钥互换信息。然后，VPN服务器会发出认证规定给客户端，客户端响应祈求并发送数字证书和密钥互换信息给VPN入口服务器。如果认证不成功，将取消握手操作。2) 协商阶段：VPN MSC 客户端与VPN入口服务器之间握手成功后，双方将协商拟定用于加密本次会话过程一组密码套件和要使用对称密钥。（认证和协商阶段将拟定合同版本、会话标记、压缩和加密算法）3) 数据通信阶段：双方使用协商加密算法和加密密钥进行秘密通信。4) 访问控制：VPN入口服务器访问控制模块将依照身份证书中手机号，通过VPN服务器，为顾客找到其所在部门移动应用系统并建立连接。5) 安全防护：涉及病毒数据防护、防穷举防护、垃圾数据袭击防护。6) 数据检查：双向检查来自客户端和VPN服务器数据完整性。（三） VPN 服务器VPN服务器在本项目中重要负责逻辑连接各单位移动应用服务器，并管理数据加密传入与传出。在本项目中，需要提供一台基于Windows NT或Windows ServerVPN服务器，它拥有一种公用IP地址。客户端在成功通过入口服务器和内外防火墙后与VPN服务器进行连接，然后通过VPN服务器与各单位移动应用服务器进行通信。此外，将VPN服务器和顾客事件采集器与关联器进行连接。顾客事件采集器和关联器可以进行顾客事件规格化,过滤,合并,关联,存贮,监控和管理操作。这样一来，通过VPN服务器上软硬件结合，可以对顾客操作进行严格审计和报警，保证管理员和高档顾客可以查看以往操作日记，也可以对日记分析，查看系统与否曾遭到袭击。（四） 安全隔离网闸用安全隔离网闸进行物理隔离。本项目中，安全隔离网闸在网路间进行安全适度信息互换是在网络之间不存在链路层连接状况下进行。安全隔离网闸直接解决网络间应用层数据，运用存储转发办法进行应用数据互换，在互换同步，相应用数据进行各种安全检查。（五） CDN（Content Delivery Network）网间加速在本系统覆盖网络范畴内，做CDN网间加速。其基本思路是尽量避开互联网上有也许影响数据传播速度和稳定性瓶颈和环节，使内容传播更快、更稳定。通过在网络各处放置节点服务器，在既有互联网基本之上，构建一层智能虚拟网络，CDN系统可以实时地依照网络流量和各节点连接、负载状况以及到顾客距离和响应时间等综合信息将顾客祈求重新导向离顾客近来服务节点上。1.5. 总结移动应用系统安全管理平台研发，将成功实当前移动应用系统各层面、各核心节点上统一安全防护和管理，同步一体化管理平台也为在避免每个单位都拉一条专线状况下，明显提高各单位移动应用系统网络性能，最大化运用既有网络资源，提供了有效解决途径。在安全面：1) 客户端安全管理，涉及： SSL VPN客户端支持。专用SSL VPN客户端彻底解决了普通SSL VPN直接使用浏览器而引入各种浏览器安全漏洞。 基于PKI体系，构建了完善加密、解密、身份认证以及完整性与不可否认性检查等安全防护与管理机制。 支持动态密钥更新机制。 APN接入管理帮顾客自动接入物理专线。 存储安全服务，实现本地移动设备数据库加密管理和不可拷贝特性，以及在移动设备遗失后远程销毁能力。 内置、隐藏移动设备防盗子系统。一旦设立运营，将在手机被非法移动，插拔USB和电源，以及关机时进行大音量报警；在偷盗者不懂得状况下定位手机位置；在确认无法找回移动设备状况下，远程接受指令来删除VPN MSC客户端和本地移动设备数据库。2) 无线传播过程安全管理，涉及： SSL VPN加密传播管理。 支持顾客密码和电子证书双重身份认证。 完善访问控制机制，为顾客智能地找到所在单位移动应用系统。 安全防护机制支持防病毒袭击、垃圾数据袭击和穷举袭击。 提供独立专线进行数据通信。3) VPN网络逻辑保护 拥有SSL VPN和PKI保护。 安全隔离网闸进行物理隔离。在网络性能优化方面重要是通过独立专线和CDN网间加速来进行保障。本移动应用系统安全管理平台解决方案重要特色在于：1) 整个平台可以迅速、简洁进行布置，安装。2) 本解决方案不需要对各部门原有系统、联网构造、组织架构进行调节，就可以将原用系统纳入安全管理平台。因而，它可以最大限度运用既有资源（涉及原有移动应用系统、单位已建设好网络、xx省CA中心和xx市云计算中心等），避免了重复建设挥霍，节约了改建成本。3) 安全管理和保护覆盖了移动应用系统各个层面和核心节点。4) SSL VPN和PKI结合技术比老式VPN IPSec技术简朴、可靠，解决了IPSec密钥管理过于复杂问题。VPN MSC智能客户端和VPN 入口服务器之间可以互相身份认证，提高了联机通信安全性。VPN入口服务器避免了VPN服务器被直接袭击，减少了黑客入侵机会。5) SSL VPN、防火墙和安全隔离网闸结合可以有效隔离病毒、蠕虫和木马，保证了各单位应用服务器安全。安全管理平台中数据完全在应用层传播数据，保证病毒、蠕虫、木马无法直接袭击应用服务器。6) 采用网间加速技术，最大限度地消除网络传播瓶颈。7) 强大日记审计技术。在VPN服务器上可以对顾客操作进行严格审计和报警，保证管理员和高档顾客可以查看以往操作日记。同步也可以对日记分析，查看系统与否曾遭到袭击。8) 可以跨各种移动设备平台同步支持C/S和B/S应用。