移动应用系统安全管理平台解决方案概述1

《移动应用系统安全管理平台解决方案概述1》由会员分享，可在线阅读，更多相关《移动应用系统安全管理平台解决方案概述1（10页珍藏版）》请在金锄头文库上搜索。

1、移动应用系统安全管理平台解决方案概述1移动应用系统安全管理平台方案概述1.1.系统建设背景近日，。无线城市规划的出台促进了。无线应用系统 快速发展。因此，作为各种无线应用系统的核心基础安全管理问题， 也变得越来越重要，对无线应用系统安全管理方面的建设具有时间紧 迫性。2011年，Comodo, Gucci和花期银行等国际公司的无线应用都 相继发生了一系列安全事故。这些安全事故都造成了巨大的经济损失。 我市各单位的无线应用系统（特别是政务系统和办公系统）中的数据 往往都是需要保密的，一旦泄露后果不堪设想。此外，各单位应用系 统的离散独立建设和管理，会带来巨大的建设、管理成本，造成资源 浪费。例如

2、，某单位如果不使用独立物理专线，无线应用的性能可能 会难以接受；但是，如果建设将为这个单位带来巨额的专线使用费用， 且容易出现专线资源的浪费。综合政府无线城市规划的要求和各单位实际建设无线应用系统遇 到的问题，本项目将重点解决我市各种无线应用系统的统一安全管理 和网络资源统筹优化问题，其重点目标是在不改变各单位已有无线应 用系统结构和物理联网的基础上，建立基于SSL VPN的移动应用安全 管理平台，在逻辑和应用层面上将各单位移动应用系统纳入一个安全 的使用范围，在移动应用系统各层面和关键节点上提供完善的防护和 管理机制，最大限度的保障用户数据安全；同时，提供一个统一的 VPN MSC客户端来实

3、现用户的单点登陆管理，简化用户的操作步骤， 以及降低各单位离散管理带来的安全隐患。1.2.项目建设基础分析随着智能手机、平板电脑等移动设备的出现，移动互联网这一新 兴事物蓬勃发展，移动平台正式进入大众市场。当然，在这一发展过 程中，也会遭遇一些成长的难题，比如安全问题和营收模式等。不过 无论如何，移动互联网时代正在来临。根据 2011 年知名风投公司KPCB（Kle iner Perki ns Caufield & Byers）发布的移动互联网趋势报 告显示：全球 ipad/iphone/ipod 累计销售量达到 7500 万台，而 Android 系统移动平台更是达到 2 亿台；智能手机和平

4、板电脑的销售 量已经超过了笔记本和台式机的销量。在这个背景下，我国的移动互 联网用户已经达到世界首位，移动互联网促使我国社交网络加速向移 动网络发展，移动商务和移动广告突飞猛进，移动政务开始流行。随着信息技术的不断发展，特别是改革开放以来，整个社会的信 息化水平迅速提升，各级政府部门也在不断地加快推进办公自动化和 电子政务领域的建设，整个国家以及各单位的政务处理实时性和简洁 性都大大提高。可是，传统的办公和政务系统只能守在电脑旁才能进 行操作，而领导的日常工作需要经常外出（例如，下基层、外出开会 与汇报工作、视察与验收建设项目等），因此，为了解决这个突出矛 盾，突破我国政务处理的时间和空间局限

5、性，基于移动互联网的移动 办公和政务系统在我国开始普及。在此背景下，本项目的建设基础主 要是各单位的移动应用系统（包括移动办公和移动政务系统等）。目 前，我市移动应用系统包含的主要基础资源包括：（一）各单位数据中心 政府数据中心机房提供电子政务和办公系统的网络接入，机房配 置有OLTP和OLAP数据服务器、双路市电、UPS、柴油发电机、精 密空调、消防、视频监控等多项保障措施。目前，各单位数据中心机 房已为移动电子政务和办公应用提供了良好的数据支持和管理机制。（二）中间服务器中间件服务器是位于数据中心和应用软件客户端之间的通用服务， 通过将复杂的移动通信协议和移动信息化应用处理技术封装起来，为

6、 企业、政府的移动信息化建设提供一套标准化、简单的开发环境和应 用服务。它主要用于实现与原有的PC应用系统的无缝整合与快速部署， 从而完成对原有应用系统的移动化。目前，我市移动应用系统的中间 件服务器主要是用于封装数据提取操作和信息处理操作，大体包括三 种方式：基于 HTTP/Socket/SOAP/RMI 等网络协议的持久化框架如 hibernate、myBatis等。优点是可以快速生成SQL查询语句并得到查 询结果。缺点是对海量数据处理的性能不足。网页提取与解析。这种方式的优势是单位原有的Web应用系统无 需改造，就能转变为手机客户端可以识别的终端数据，从而完成业务 系 统 的 快 速 、

7、 安 全 地 移 动 化 。 缺 陷 是 速 度 上 会 比 用 HTTP/Socket/SOAP/RM I的查询语句直接传输方式慢。WebService。 Web Service 是一个应用组件,它逻辑性的为其他 应用程序提供数据与服务.各应用程序通过网络协议和规定的一些标准 数据格式（Http，XML，Soap）来访问 Web Service,通过 Web Service内部执行得到所需结果.Web Service可以执行从简单的请求 到复杂商务处理的任何功能。其优点是跨平台，支持复杂数据和业务 的传递，且容易实现加密传输。缺点是对服务器性能要求较高，消耗 大。（三）移动应用终端目前 xx

8、 市移动应用系统的手机终端既包括 C/S 模式也有 B/S 模 式。（四）其它可利用资源xx云计算中心：目前，xx云计算资源可以提供基于X86 64位主 流处理器搭建的云计算服务平台，提供无限CPU Licenses的MS SQL Server2008企业版数据库环境，云计算资源可动态扩容。CA认证中心：xx省数字证书认证管理中心是全省统一的数字证书 认证服务机构，提供电子签名信任服务、可信网站服务、安全电子邮 件服务、时间认证服务、电子签章系统服务、电子证据保全系统服务， 可实现网上业务的身份验证，确保信息的保密性、完整性和网上行为 的抗抵赖性。综上所述，当前 xx 相关单位以各自职能和业务

9、为核心建成了一批 与电子政务和办公相关的移动应用系统，大多数部门实现了随时随地 办公，摆脱了物理网络的限制，节省了办公费用，提高了工作效率。 但是，由于这些系统的离散性，导致它们普遍存在安全隐患，而且网络资源使用成本高，无 法进行统筹优化。基于这个原因，研究如何利用各部门已有的移动应 用资源，建立移用应用系统安全管理平台，为各单位的移动应用系统 提供统一的、透明的安全管理和网络性能优化服务具有十分重要的现 实意义和时间的紧迫性。1.3.总体架构设计 根据系统建设的要求，本系统设计中将遵循以下原则： 1遵从性 符合我省移动城市相关政策，为实现移动城市提供保障和支撑。 2安全性 全面、统一地对我市

10、主要政府和企事业单位的移动应用系统进行 安全防护和管理，抵御各种恶意入侵和非法信息窃取，规范用户的访问 及使用，保证重要信息流通。3可用性 避免重复建设和对原有系统改建造成的浪费。保证原有系统加入 安全管理平台后，各项功能的正常运行，并确保业务的快速恢复。 4可管理性 通过最小的管理负担，达到最大的管理效能。确保提供完善的安 全审计报告。5性能 在不显著增加各单位无线应用系统投入正本和改变物理网络结构 的前提下，优化网络资源，减少各无线应用系统的响应时间。 在以上四大原则的基础上，本系统总体架构需要满足在尽量不改 变各部门原有移动应用系统和物理网络结构的基础上，利用VPN原理， 在逻辑层面上对

11、各部门应用系统进行安全防护和管理，主要包括：统的VPN MSC ( Mobile Smart Client)智能客户端、智能单点VPN 入口管理、无线传输安全管理、接入安全管理、VPN内网联接及网间 加速。系统总体架构图如下：单位：移动电子 政务和办公系统 苹果手机苹果平板其它手机与平板VPN MSC智能客户端无线信号基站SSL VPN加密传输闸 ：移动电子 政务和办公系统 服务器InternetAndroidAndroid图：系统总体架构图1.4.各功能模块介绍( )VPN MSC智能客户终端本系统的VPN MSC智能客户端是将VPN客户机原理和MSC技 术相接结合。MSC ( Mobile

12、 Smart Client)跨平台移动智能客户端， 包括套开发语言和覆盖所有手机平台的客户端虚拟机，可以支持 Win dows phone、iOS、An droid、Symbia n (包括 symbia n S603、 Symbian S605、Symbian3)、Linux、Blackberry、Ophone、 Brew、Wap、xHtml等。它采用一种介于C/S结构和B/S结构之间的 网络结构模式，集 C/S 和 B/S 的优势于身，可屏蔽手机终端的差异 性，具有多终端支持能力和业务的快速更新能力。本系统 VPN MSC智能客户终端的结构如下所示:图二:VPN MSC智能客户终端结构图用

13、户访问控制层通过手机号、密码、手机设备串号多重绑定对用 户身份进行判断,看是否有资格接入移动应用VPN。业务层主要用于支撑用户对各自移动应用系统业务的使用，主要 包括：智能映射：当用户获准进入移动应用VPN，智能映射模块可以透 明地帮助用户进入各自部门的移动应用系统。例如，旅游局用户可以通 过VPNMSC直接进入旅游局建立的移动应用系统。统一界面展现机制：基于MSC特性，统一界面展现机制可以在统 一风格的窗口中同时支持各部门原有系统的C/S和B/S用户端界面。政务处理提醒：当用户出现紧急政务需要处理时，VPN MSC终端 将提醒用户及时处理。智能升级：当有新版本程序时，终端会自动接收服务器发来

14、的推 送(PUSH )并建议安装升级。安全支撑层用于各部门移动应用系统在客户端的安全管理与控制， 主要包括：SSL VPN通信管理：SSL VPN通信管理是VPN MSC客户端的关 键核心，由于 iOS 浏览器不支持第三方插件，特别是 PKI 插件，以及 基于本安全管理系统的特殊客户群考虑，本项目必须专门开发集成 SSL VPN 的客户端，以支持跨平台的 SSL VPN 安全通信。VPN(Virtual Private Network),即虚拟专用网，是指利用开放的公共 网络资源建立私有传输通路，将远程的分支机构，商业伙伴，移动办 公人员等连接起来，并且提供安全的端到端的数据通信的一种技术。

15、它有两层含义：第一，它是“虚拟的”，即用户实际上并不存在一个 独立专用的网络，既不需要建设或租用专线，也不需要装备专用的设 备，而是架构在公用网络服务商所提供的网络平台，如 Internet、 ATM、Frame Relay 等之上的逻辑网络，用户数据在逻辑链路中传输； 第二，它是“专用的”，相对于“公用的”来说，它强调私有性和安 全可靠性。SSL是一种在套接层上的安全协议，它支持数据全程加密 传输，是远程用户访问敏感数据的最安全、最简单的解决途径，与 IPSec相比，SSL VPN部署更加简单、方便。本项目SSL VPN通信管 理模块需要研究如何通过建立 SSL 的记录子协议、握手子协议和

16、PKI 体系，解决客户终端对以下功能的支持：身份认证：基于握手协议和 PKI 体系，实现 VPN MSC 客户终端 和VPN入口服务器之间的相互身份认证。PKI体系中的CA可以利用xx省 数字证书认证管理中心提供的发证和证书管理服务。通信数据加密：实现VPN MSC客户端和VPN入口服务器之间的 加密算法，密钥的协商与管理，和数据的加密传输。通信数据完整性检验：研究应用PKI中的数字签名或MAC技术， 对信息内容进行检测，防止被篡改。 不可否认：研究如何利用数字签名和收条技术实现数据和文件的 发送方的不可否认性。不可否认性可以证实消息发送方是唯一可能的发 送者，发送者不能否认发送过消息。不可否认性的一个特征是采用公钥 技术，当使用公钥技术时，发送方用私钥产生一个数字签