移动应用系统安全管理平台解决方案概述1

1移动应用系统安全管理平台方案概述1.1.系统建设背景近日，。。。。无线城市规划的出台促进了。。。无线应用系统快速发展。因此，作为各种无线应用系统的核心基础—安全管理问题，也变得越来越重要，对无线应用系统安全管理方面的建设具有时间紧迫性。2011年，Comodo,Gucci和花期银行等国际公司的无线应用都相继发生了一系列安全事故。这些安全事故都造成了巨大的经济损失。我市各单位的无线应用系统（特别是政务系统和办公系统）中的数据往往都是需要保密的，一旦泄露后果不堪设想。此外，各单位应用系统的离散独立建设和管理，会带来巨大的建设、管理成本，造成资源浪费。例如，某单位如果不使用独立物理专线，无线应用的性能可能会难以接受；但是，如果建设将为这个单位带来巨额的专线使用费用，且容易出现专线资源的浪费。综合政府无线城市规划的要求和各单位实际建设无线应用系统遇到的问题，本项目将重点解决我市各种无线应用系统的统一安全管理和网络资源统筹优化问题，其重点目标是在不改变各单位已有无线应用系统结构和物理联网的基础上，建立基于SSLVPN的移动应用安全管理平台，在逻辑和应用层面上将各单位移动应用系统纳入一个安全的使用范围，在移动应用系统各层面和关键节点上提供完善的防护和管理机制，最大限度的保障用户数据安全；同时，提供一个统一的VPNMSC客户端来实现用户的单点登陆管理，简化用户的操作步骤，以及降低各单位离散管理带来的安全隐患。1.2.项目建设基础分析随着智能手机、平板电脑等移动设备的出现，移动互联网这一新兴事物蓬勃发展，移动平台正式进入大众市场。当然，在这一发展过程中，也会遭遇一些成长的难题，比如安全问题和营收模式等。不过无论如何，移动互联网时代正在来临。根据2011年知名风投公司KPCB(KleinerPerkinsCaufield&Byers)发布的《移动互联网趋势报告》显示：全球ipad/iphone/ipod累计销售量达到7500万台，而Android系统移动平台更是达到2亿台；智能手机和平板电脑的销售量已经超过了笔记本和台式机的销量。在这个背景下，我国的移动互联网用户已经达到世界首位，移动互联网促使我国社交网络加速向移动网络发展，移动商务和移动广告突飞猛进，移动政务开始流行。随着信息技术的不断发展，特别是改革开放以来，整个社会的信息化水平迅速提升，各级政府部门也在不断地加快推进办公自动化和电子政务领域的建设，整个国家以及各单位的政务处理实时性和简洁性都大大提高。可是，传统的办公和政务系统只能守在电脑旁才能进行操作，而领导的日常工作需要经常外出（例如，下基层、外出开会与汇报工作、视察与验收建设项目等），因此，为了解决这个突出矛盾，突破我国政务处理的时间和空间局限性，基于移动互联网的移动办公和政务系统在我国开始普及。在此背景下，本项目的建设基础主要是各单位的移动应用系统（包括移动办公和移动政务系统等）。目前，我市2移动应用系统包含的主要基础资源包括：（一）各单位数据中心政府数据中心机房提供电子政务和办公系统的网络接入，机房配置有OLTP和OLAP数据服务器、双路市电、UPS、柴油发电机、精密空调、消防、视频监控等多项保障措施。目前，各单位数据中心机房已为移动电子政务和办公应用提供了良好的数据支持和管理机制。（二）中间服务器中间件服务器是位于数据中心和应用软件客户端之间的通用服务，通过将复杂的移动通信协议和移动信息化应用处理技术封装起来，为企业、政府的移动信息化建设提供一套标准化、简单的开发环境和应用服务。它主要用于实现与原有的PC应用系统的无缝整合与快速部署，从而完成对原有应用系统的移动化。目前，我市移动应用系统的中间件服务器主要是用于封装数据提取操作和信息处理操作，大体包括三种方式：基于HTTP/Socket/SOAP/RMI等网络协议的持久化框架如hibernate、myBatis等。优点是可以快速生成SQL查询语句并得到查询结果。缺点是对海量数据处理的性能不足。网页提取与解析。这种方式的优势是单位原有的Web应用系统无需改造，就能转变为手机客户端可以识别的终端数据，从而完成业务系统的快速、安全地移动化。缺陷是速度上会比用HTTP/Socket/SOAP/RMI的查询语句直接传输方式慢。WebService。WebService是一个应用组件,它逻辑性的为其他应用程序提供数据与服务.各应用程序通过网络协议和规定的一些标准数据格式（Http，XML，Soap)来访问WebService,通过WebService内部执行得到所需结果.WebService可以执行从简单的请求到复杂商务处理的任何功能。其优点是跨平台，支持复杂数据和业务的传递，且容易实现加密传输。缺点是对服务器性能要求较高，消耗大。（三）移动应用终端目前xx市移动应用系统的手机终端既包括C/S模式也有B/S模式。（四）其它可利用资源xx云计算中心：目前，xx云计算资源可以提供基于X8664位主流处理器搭建的云计算服务平台，提供无限CPULicenses的MSSQLServer2008企业版数据库环境，云计算资源可动态扩容。CA认证中心：xx省数字证书认证管理中心是全省统一的数字证书认证服务机构，提供电子签名信任服务、可信网站服务、安全电子邮件服务、时间认证服务、电子签章系统服务、电子证据保全系统服务，可实现网上业务的身份验证，确保信息的保密性、完整性和网上行为的抗抵赖性。综上所述，当前xx相关单位以各自职能和业务为核心建成了一批与电子政务和办公相关的移动应用系统，大多数部门实现了随时随地办公，摆脱了物理网络的限制，节省了办公费用，提高了工作效率。但是，由于这些系统的离散3性，导致它们普遍存在安全隐患，而且网络资源使用成本高，无法进行统筹优化。基于这个原因，研究如何利用各部门已有的移动应用资源，建立移用应用系统安全管理平台，为各单位的移动应用系统提供统一的、透明的安全管理和网络性能优化服务具有十分重要的现实意义和时间的紧迫性。1.3.总体架构设计根据系统建设的要求，本系统设计中将遵循以下原则：1．遵从性符合我省移动城市相关政策，为实现移动城市提供保障和支撑。2．安全性全面、统一地对我市主要政府和企事业单位的移动应用系统进行安全防护和管理，抵御各种恶意入侵和非法信息窃取，规范用户的访问及使用，保证重要信息流通。3．可用性避免重复建设和对原有系统改建造成的浪费。保证原有系统加入安全管理平台后，各项功能的正常运行，并确保业务的快速恢复。4．可管理性通过最小的管理负担，达到最大的管理效能。确保提供完善的安全审计报告。5．性能在不显著增加各单位无线应用系统投入正本和改变物理网络结构的前提下，优化网络资源，减少各无线应用系统的响应时间。在以上四大原则的基础上，本系统总体架构需要满足在尽量不改变各部门原有移动应用系统和物理网络结构的基础上，利用VPN原理，在逻辑层面上对各部门应用系统进行安全防护和管理，主要包括：统一的VPNMSC（MobileSmartClient）智能客户端、智能单点VPN入口管理、无线传输安全管理、接入安全管理、VPN内网联接及网间加速。系统总体架构图如下：GPRS/WCDMA专用VPN入口独立物理专线移动应用VPN单位一：移动电子政务和办公系统苹果手机苹果平板其它手机与平板VPNMSC智能客户端无线信号基站无线传输过程安全管理独立物理专线SSLVPN加密传输身份认证访问控制攻击防护数据检查防火墙入口服务器接入安全管理备用内部服务器内网防火墙安全隔离网闸物理隔离………单位n：移动电子政务和办公系统VPN服务器云计算中心InternetSSLVPN加密传输Android手机Android平板移动应用安全管理平台（CDN加速）安全审计图一：系统总体架构图41.4.各功能模块介绍（一）VPNMSC智能客户终端本系统的VPNMSC智能客户端是将VPN客户机原理和MSC技术相接结合。MSC（MobileSmartClient）跨平台移动智能客户端，包括一套开发语言和覆盖所有手机平台的客户端虚拟机，可以支持Windowsphone、iOS、Android、Symbian（包括symbianS603、SymbianS605、Symbian3）、Linux、Blackberry、Ophone、Brew、Wap、xHtml等。它采用一种介于C/S结构和B/S结构之间的网络结构模式，集C/S和B/S的优势于一身，可屏蔽手机终端的差异性，具有多终端支持能力和业务的快速更新能力。本系统VPNMSC智能客户终端的结构如下所示:安全支撑层移动客户端系统平台SSLVPN通信管理用户访问控制层（手机号+手机设备串号+密码）WindowsPhone、iOS、Android、Symbian、Linux、Blackberry、Ophone、Brew、Wap、xHtml客户端虚拟机中间语言接口业务层统一界面展现机制政务处理提醒智能升级智能映射SKIP密钥管理移动防毒软件接口APN接入管理存储安全防护移动设备防盗图二:VPNMSC智能客户终端结构图用户访问控制层通过手机号、密码、手机设备串号多重绑定对用户身份进行判断,看是否有资格接入移动应用VPN。业务层主要用于支撑用户对各自移动应用系统业务的使用，主要包括：智能映射：当用户获准进入移动应用VPN，智能映射模块可以透明地帮助用户进入各自部门的移动应用系统。例如，旅游局用户可以通过VPNMSC直接进入旅游局建立的移动应用系统。统一界面展现机制：基于MSC特性，统一界面展现机制可以在统一风格的窗口中同时支持各部门原有系统的C/S和B/S用户端界面。政务处理提醒：当用户出现紧急政务需要处理时，VPNMSC终端将提醒用户及时处理。智能升级：当有新版本程序时，终端会自动接收服务器发来的推送（PUSH）并建议安装升级。5安全支撑层用于各部门移动应用系统在客户端的安全管理与控制，主要包括：SSLVPN通信管理：SSLVPN通信管理是VPNMSC客户端的关键核心，由于iOS浏览器不支持第三方插件，特别是PKI插件，以及基于本安全管理系统的特殊客户群考虑，本项目必须专门开发集成SSLVPN的客户端，以支持跨平台的SSLVPN安全通信。VPN(VirtualPrivateNetwork)，即虚拟专用网，是指利用开放的公共网络资源建立私有传输通路，将远程的分支机构，商业伙伴，移动办公人员等连接起来，并且提供安全的端到端的数据通信的一种技术。它有两层含义：第一，它是“虚拟的”，即用户实际上并不存在一个独立专用的网络，既不需要建设或租用专线，也不需要装备专用的设备，而是架构在公用网络服务商所提供的网络平台，如Internet、ATM、FrameRelay等之上的逻辑网络，用户数据在逻辑链路中传输；第二，它是“专用的”，相对于“公用的”来说，它强调私有性和安全可靠性。SSL是一种在套接层上的安全协议，它支持数据全程加密传输，是远程用户访问敏感数据的最安全、最简单的解决途径，与IPSec相比，SSLVPN部署更加简单、方便。本项目SSLVPN通信管理模块需要研究如何通过建立SSL的记录子协议、握手子协议和PKI体系，解决客户终端对以下功能的支持：身份认证：基于握手协议和PKI体系，实现VPNMSC客户终端和VPN入口服务器之间的相互身份认证。PKI体系中的CA可以利用xx省数字证书认证管理中心提供的发证和证书管理服务。通信数据加密：实现VPNMSC客户端和VPN入口服务器之间的加密算法，密钥的协商与管理，和数据的加密传输。通信数据完整性检验：研究应用PKI中的数字签名或MAC技术，对信息内容进行检测，防止被篡改。不可否认：研究如何利用数字签名和收条技术实现数据和文件的发送方的不可否认性。不可否认性可以证实消息发送方是唯一可能的发送者，发送者不能否认发送过消息。不可否认性的一个特征是采用公钥技术，当使用公钥技术时，发送方用私钥产生一个数字签名随消息一起发送，接收方用发送者的公钥来验证数字签名。由于在理论上只有发送者才唯一拥有私钥，也只有发送者才可能产生该数字签名，