CIO時代網(wǎng)微訪談：正益無線CTO趙慶華解密企業(yè)移動安全難題

時間：2022-08-03 07:03:01 | 來源：建站知識

時間：2022-08-03 07:03:01 來源：建站知識

2015年1月23日，CIO時代網(wǎng)微訪談聚焦“移動安全”，本次微訪談主持人為北京市燃氣集團信息檔案中心總工程師、第18屆北大CIO班學員王廣清先生，參與對話的嘉賓為正益無線CTO趙慶華先生。想了解趙慶華先生如何解密移動安全難題，圍觀的小伙伴們又拋出了哪些現(xiàn)實問題，快隨小編一起來回顧他們的精彩對話：

精彩對話：

王廣清：請趙總介紹下目前國內(nèi)移動信息化的安全現(xiàn)狀以及存在的問題?

趙慶華：

1、移動信息化對現(xiàn)有網(wǎng)絡(luò)安全體系的沖擊

移動信息化打破了企業(yè)IT安全管理的安全邊界，原有基于固定區(qū)域、固定設(shè)備、固定網(wǎng)絡(luò)的企業(yè)信息安全傳統(tǒng)保護手段(UKey、強制訪問控制、防火墻、VPN、網(wǎng)閘等等)面臨失效。

2、BYOD的廣泛興起

在為企業(yè)辦公帶來便利的同時，由于缺失有效的數(shù)據(jù)監(jiān)管手段，加劇了企業(yè)數(shù)據(jù)泄漏的風險。員工可以隨意使用自己的手機平板收發(fā)郵件、即時通訊、網(wǎng)盤存儲、分享信息等等。

3、接入來源的不可控性

移動終端固有的隨意越獄、應(yīng)用反編譯、應(yīng)用重新打包植入木馬、App后端服務(wù)不可控、以及移動終端易失性等常態(tài)化問題，導致BYOD辦公帶來的數(shù)據(jù)泄漏問題更加嚴重。

王廣清：那么應(yīng)對這些問題有哪些解決方案呢?我聽過趙總多次關(guān)于移動應(yīng)用開發(fā)和移動平臺的講座，在這些講座內(nèi)關(guān)于移動安全的整體解決方案講得很少，利用今天這個機會，我要深挖一下，請趙總介紹一下移動安全的整體解決方案。

趙慶華：移動安全必然是企業(yè)移動信息化的整體安全，他需要貫穿企業(yè)移動信息化的各個環(huán)節(jié)。我們AppCan企業(yè)移動平臺安全體系整體圍繞云(平臺云服務(wù)后端)、管(服務(wù)管道接入、平臺管理)、端(端應(yīng)用、端設(shè)備)架構(gòu)，從在各自層面采用不同維度進行系統(tǒng)保護。

同時，平臺整體以PKI/CA證書體系為基石，對云、管、端各層子系統(tǒng)進行簽名校驗和信息傳遞保護，從而構(gòu)建平臺整體的安全體系，為企業(yè)移動安全提供全方位保護。

這是我們的安全體系圖：

1、平臺安全體系基石—PKI/CA

AppCan企業(yè)移動平臺通過證書中心向設(shè)備、應(yīng)用、人員頒發(fā)其專屬證書，完成設(shè)備、應(yīng)用和服務(wù)器之間的身份認證，并且該證書具有可配置的生命周期。通過管理服務(wù)可對證書進行有效性管理。

2、后端服務(wù)安全

平臺后端關(guān)鍵數(shù)據(jù)和配置采用高強度加密算法保護，并進行訪問控制管理，避免非授權(quán)應(yīng)用訪問。同時，對平臺關(guān)鍵服務(wù)進行可用性和安全性監(jiān)控，確保服務(wù)的持續(xù)性和安全性。平臺采用分布式易擴展的后端云服務(wù)架構(gòu)，關(guān)鍵服務(wù)采用多節(jié)點負載均衡和容災(zāi)保護機制，沒有單點失效問題，有效杜絕服務(wù)中斷隱患。除了安全校驗以外著重對移動訪問進行了保護性控制，對不同IP來源、不同應(yīng)用、不同用戶可進行訪問頻次控制，避免惡意攻擊對系統(tǒng)穩(wěn)定性產(chǎn)生影響。完成后端壓力控制，根據(jù)企業(yè)現(xiàn)有系統(tǒng)的服務(wù)能力配置訪問壓力，當前端并發(fā)超過后端承載限制后，對新任務(wù)進行等待處理，超過等待限制的任務(wù)，進行有損忽略。

3、接入安全控制

對平臺云后端、管接入、端應(yīng)用進行統(tǒng)一數(shù)字簽名認證，杜絕任何一端的接入冒用。平臺支持對不同接入服務(wù)配置接口訪問控制策略，限制應(yīng)用接入接口的訪問能力。同時支持進行應(yīng)用接入認證配置，對接入的移動應(yīng)用證書和應(yīng)用合法性進行服務(wù)接入校驗。

平臺支持多因素身份鑒別手段，除了用戶名密碼鑒別外，還支持基于設(shè)備標識、證書、動態(tài)口令等多種形式的軟、硬認證手段。根據(jù)用戶對安全要求的不同，常見采用服務(wù)器認證+應(yīng)用認證+用戶認證+二維碼認證的組合。平臺支持各子系統(tǒng)間關(guān)鍵數(shù)據(jù)傳輸采用HTTPS通訊協(xié)議，確保通訊數(shù)據(jù)的保密性和完整性。

4、管理安全

平臺管理上，提供靈活的管理員權(quán)限分立和授權(quán)機制，可以精細化定義管理員的管理權(quán)限，杜絕平臺管理員濫用，降低管理風險。管理端還提供詳盡的管理員操作日志，可以有效監(jiān)督管理員管理操作，降低企業(yè)內(nèi)部管理風險。管理端還支持基于HTTPS協(xié)議的管理端瀏覽器證書驗證機制，有效控制管理控制臺的接入合法性。

應(yīng)用管理方面，除了通過構(gòu)建企業(yè)自有移動應(yīng)用商店，管控企業(yè)移動應(yīng)用的版本升級，提供基于用戶身份的安全分發(fā)能力外，還支持應(yīng)用遠程失效控制，可以遠程關(guān)閉終端上企業(yè)應(yīng)用或應(yīng)用版本的使用;對企業(yè)移動終端設(shè)備上安裝的應(yīng)用進行監(jiān)控，支持黑/白名單策略，可有效過濾所有黑名單應(yīng)用的安裝和使用;支持對應(yīng)用證書進行有效性管理，控制證書密碼和有效期。

目前大型企業(yè)項目中企業(yè)移動門戶或商店已經(jīng)是必選項。通過統(tǒng)一權(quán)威的應(yīng)用門戶可以有效控制企業(yè)移動應(yīng)用的獲取渠道。提供企業(yè)應(yīng)用數(shù)據(jù)可選擦除手段，可以遠程選擇性地擦除企業(yè)應(yīng)用數(shù)據(jù)，而不影響用戶個人應(yīng)用數(shù)據(jù)。

設(shè)備管理方面，整體管理設(shè)備的移動系統(tǒng)功能權(quán)限、應(yīng)用程序權(quán)限、安全性和隱私權(quán)限，提供了一體化的移動接入設(shè)備全生命周期管理能力，包括設(shè)備注冊、激活、注銷、丟失、淘汰和越獄控制等管控能力，完成用戶與終端的注冊綁定，保證只有注冊激活后的設(shè)備上的企業(yè)應(yīng)用才能接入平臺，有效限制外來設(shè)備的平臺接入。支持設(shè)備激活控制，可限制激活設(shè)備的型號、數(shù)量和OS版本，以控制設(shè)備接入風險。對于丟失或可疑設(shè)備，平臺支持采用MDM技術(shù)遠程鎖定設(shè)備，擦除設(shè)備中的數(shù)據(jù)，禁用和注銷設(shè)備，以保證企業(yè)業(yè)務(wù)的訪問和數(shù)據(jù)的安全性。平臺還提供設(shè)備越獄監(jiān)控能力，支持越獄警告、禁用設(shè)備和限制激活。支持對移動系統(tǒng)自帶的應(yīng)用商店進行訪問控制，允許或禁止從應(yīng)用商店安裝應(yīng)用程序，阻斷惡意程序的來源，保證應(yīng)用程序的合法與可控。

內(nèi)容管理方面，除了內(nèi)容采編完成企業(yè)移動內(nèi)容受控發(fā)布外，可限制移動內(nèi)容的移動端用戶分享、下載操作，支持對移動端企業(yè)下發(fā)內(nèi)容進行存儲加密、有效期控制、同步刪除等內(nèi)容保護操作。

5、移動應(yīng)用防護

端安全方面，平臺支持應(yīng)用沙箱隔離和存儲保護機制。應(yīng)用本地數(shù)據(jù)隔離存儲于受保護的應(yīng)用沙箱中，并將企業(yè)數(shù)據(jù)與個人數(shù)據(jù)相隔離，支持配置為存儲加密，確保存儲到移動設(shè)備的數(shù)據(jù)都經(jīng)過加密保護，有效杜絕企業(yè)業(yè)務(wù)數(shù)據(jù)泄漏。

針對應(yīng)用包可逆向編譯帶來的數(shù)據(jù)泄漏問題，AppCan Hybrid引擎提供代碼混淆、代碼庫封裝、本地應(yīng)用配置存儲保護等機制，加大破解難度，防止破解者輕易分析出代碼邏輯，竊取服務(wù)配置。

同時AppCan的前端引擎和插件代碼都已經(jīng)開源，企業(yè)可以自行擴展自己的加密能力。也可檢查AppCan引擎中的安全漏洞。(當然代碼加密部分沒有開源)。

針對應(yīng)用運行時關(guān)鍵資源文件(配置、HTML、圖片等)可能被篡改導致的運行安全問題，AppCan Hybrid引擎支持對應(yīng)用資源文件進行數(shù)字簽名和存儲保護，確保對應(yīng)文件的完整性和保密性，有效保障應(yīng)用的運行時安全。這部分保護是自動的，只需要打包時選擇了代碼加密即可。同時我們也在和其他安全廠商進行合作和集成。例如深信服VPN、愛加密、梆梆等。

補充一下我們的代碼加解密都會在內(nèi)存里進行不會出現(xiàn)在應(yīng)用運行時應(yīng)用臨時目錄下出現(xiàn)原始文件的無厘頭場景，安全和體驗總會有沖突，企業(yè)總是在各種博弈中找到平衡。

王廣清：深挖的效果不錯，我相信群里各位之前聽過趙總講座的，和我一樣，第1次聽到趙總對移動安全整體解決方案有如此全面和深入的介紹，希望趙總將這部分資料補充到你后續(xù)的講座中，與更多的人進行共享。另外，趙總提到的移動安全整體解決方案具有普適性，Appcan現(xiàn)在實現(xiàn)了，我覺得其它的移動平臺也應(yīng)該具備。

王廣清：趙總，你在回答第1個問題時提到BYOD，那么對于企業(yè)采購的移動終端以及員工自帶的移動終端(BYOD)其安全管理策略有何不同?如何把握中間的度?

趙慶華：一般場景下，企業(yè)下發(fā)移動終端可以定義為企業(yè)下發(fā)的辦公設(shè)備，類比于PC時代同樣擁有便攜辦公性質(zhì)的筆記本。這類設(shè)備可以理解為專機專用，企業(yè)擁有充分的設(shè)備和數(shù)據(jù)管轄權(quán)限，因而可以靈活實施和貫徹企業(yè)IT安全管理策略。而BYOD設(shè)備是員工個人財產(chǎn)，企業(yè)無權(quán)對設(shè)備進行強制和全面的管理，需要尊重員工個人隱私，因而面臨法律和管控政策實施難等問題。

對于這兩類設(shè)備的管控，一般在企業(yè)安全策略執(zhí)行的強制性和尊重員工個人信息的隱私性上作權(quán)衡。企業(yè)下發(fā)設(shè)備偏向前者，BYOD設(shè)備則更側(cè)重后者，在保證員工個人隱私情況下保證企業(yè)數(shù)據(jù)的安全性。

對于BYOD辦公，我們更多地采用應(yīng)用管理(MAM)、內(nèi)容(MCM)、郵件(MEM)管理手段，從應(yīng)用和內(nèi)容緯度上管控企業(yè)應(yīng)用的接入和數(shù)據(jù)安全;當然同時也支持可配置安全策略的設(shè)備管理(MDM)手段，進行有限管控。

設(shè)備管理方面，在AppCan平臺中，已區(qū)分企業(yè)下發(fā)設(shè)備和員工個人設(shè)備，對于不同類型設(shè)備采用不同的設(shè)備管控策略。對于BYOD設(shè)備，MDM手段主要是控制設(shè)備接入(注冊激活)、企業(yè)網(wǎng)絡(luò)配置下發(fā)(Wifi、VPN)、越獄控制、丟失保護(鎖定設(shè)備、企業(yè)應(yīng)用數(shù)據(jù)擦除)，盡量不觸及個人設(shè)備數(shù)據(jù)隱私，一般不作強制性過強的設(shè)備級數(shù)據(jù)擦除、設(shè)備定位、應(yīng)用安裝監(jiān)控等操作。

王廣清：確實，我自己的手機只想裝企業(yè)的應(yīng)用，但不想被監(jiān)控~

王廣清：趙總，如何對企業(yè)內(nèi)部應(yīng)用及公共應(yīng)用進行管理，如移動應(yīng)用病毒掃描、更新、刪除等?

趙慶華：AppCan的企業(yè)移動管理平臺支持對第三方公共應(yīng)用、企業(yè)內(nèi)部應(yīng)用、WEB Widget應(yīng)用、網(wǎng)站的綜合發(fā)布管理。

為了避免應(yīng)用間的數(shù)據(jù)安全風險，在引擎層級對企業(yè)應(yīng)用構(gòu)建安全沙箱進行存儲隔離和保護。所有應(yīng)用都可通過企業(yè)的統(tǒng)一應(yīng)用門戶進行安裝。因此這些應(yīng)用需要經(jīng)過企業(yè)安全認證，并確認其安全性后才可安裝。

這可以有效避免員工通過第三方商店獲取的應(yīng)用的安全性問題。如果員工通過第三方應(yīng)用商店安裝，通過MDM技術(shù)完成應(yīng)用黑白名單控制和應(yīng)用刪除。同時，借助MDM技術(shù)，支持對移動系統(tǒng)自帶的應(yīng)用商店(如蘋果AppStore)進行訪問控制，允許或禁止從應(yīng)用商店安裝應(yīng)用程序，以阻斷惡意程序的來源，保證應(yīng)用程序的合法與可控。

企業(yè)管理員需要在發(fā)布應(yīng)用前對應(yīng)用進行病毒檢測。Appcan目前與360應(yīng)用安全監(jiān)測接口對接，對應(yīng)用進行安全檢查和病毒檢查。

王廣清：我們知道趙總實施了許多重量級的移動項目，請趙總結(jié)合這些項目，給我們介紹一下移動安全做得好的成功案例?

趙慶華：目前我們在企業(yè)項目中最大體積的客戶是東方航空。從2013年6月份到現(xiàn)在累計終端安裝量在10萬臺左右。目前每日活躍用戶在48000左右。由于東航主要采用的是BYOD模式，一線員工基本采用自有終端。因此移動安全方面，東航管控重點主要在應(yīng)用保護、應(yīng)用接入、應(yīng)用管理和設(shè)備管理上。應(yīng)用保護上，通過沙箱加密存儲、代碼混淆處理、運行時簽名校驗、資源文件簽名驗證等手段，保護應(yīng)用端安全。應(yīng)用接入上，通過校驗應(yīng)用用戶統(tǒng)一認證，在接入端控制應(yīng)用接口認證，控制應(yīng)用的平臺和后端業(yè)務(wù)的接入權(quán)限。應(yīng)用分發(fā)上，通過AppCan企業(yè)應(yīng)用商店重點管控應(yīng)用的安全分發(fā)和版本管理(升級、關(guān)閉)，針對不同領(lǐng)域人員控制其應(yīng)用范圍和登錄權(quán)限。

另一個典型客戶是國家電網(wǎng)。AppCan作為中電普華公司的技術(shù)支持提供商為國家電網(wǎng)提供移動化平臺方案和技術(shù)。安全價值方面，除了實現(xiàn)東航類似的應(yīng)用保護、應(yīng)用接入、應(yīng)用管理外，還跟據(jù)國家電網(wǎng)物理隔離方案，實現(xiàn)平臺通過物理隔離設(shè)備安全連接數(shù)據(jù)庫的改造，同時通過終端的動態(tài)口令加密傳輸支持，確保平臺數(shù)據(jù)在HTTP網(wǎng)絡(luò)上傳輸數(shù)據(jù)的安全。根據(jù)國家電網(wǎng)安全規(guī)范進行了定制開發(fā)和調(diào)整，使AppCan安全體系與國網(wǎng)體系進行了融合。

第三個案例客戶是中化集團，基于AppCan移動平臺在集團和下屬二級單位已經(jīng)部署實施了多個移動應(yīng)用，服務(wù)員工5萬多人。中化平臺體系基本與東方航空相同。

第四個案例是上海醫(yī)藥移動ERP項目，服務(wù)于3千多員工，近20個分子公司和部門，除了完成類似東航的應(yīng)用保護、應(yīng)用接入、應(yīng)用管理外，還搭建整體的移動設(shè)備(安全)管理平臺，達到對使用公司移動業(yè)務(wù)的移動終端集中管理，集中配置、遠程操作;實現(xiàn)移動應(yīng)用集中管理、封裝、發(fā)布、遠程安裝，遠程批量推送最新版本應(yīng)用。

王廣清：主持人與趙總的訪談時間到，謝謝趙總的精彩分享，全是干貨，下面是提問時間，請大家保持隊形!

群里小伙伴的提問匯總：

提問：移動平臺選型，請給些建議。

趙慶華：移動平臺根據(jù)企業(yè)需求不同可以有偏重性的考量。如果企業(yè)規(guī)模比較小 可以單獨選擇基本的MAM移動應(yīng)用管理平臺即可。如果企業(yè)已經(jīng)有了完善的移動管理體系，可以偏重于企業(yè)移動應(yīng)用開發(fā)部分，來提高企業(yè)移動項目實施效率。

對于大企業(yè)來說，其實我認為移動平臺體系中數(shù)據(jù)平臺是最核心的。我們的管理、安全、移動開發(fā)其實都是圍繞著如何利用和如何安全利用數(shù)據(jù)來進行的。這部分要著重考量和調(diào)研

企業(yè)移動戰(zhàn)略平臺是基礎(chǔ)，但更需要IT部門的來用好發(fā)揮好平臺的能力。一般移動應(yīng)用處理的大部分數(shù)據(jù)都是離散的、小量的數(shù)據(jù)。這也與移動應(yīng)用體驗緊密相關(guān)。

提問：在完整性方面，若網(wǎng)絡(luò)不穩(wěn)定，如何保證數(shù)據(jù)完整無遺失?

趙慶華：對于這些場景。我們主要采用標準HTTP技術(shù)完成數(shù)據(jù)的通訊?？梢杂行ПＷC數(shù)據(jù)的完整性。但為了進一步提高數(shù)據(jù)安全性，在實際數(shù)據(jù)封裝中，會采用數(shù)據(jù)摘要的方式對數(shù)據(jù)完整性進行校驗。同時還通過數(shù)據(jù)動態(tài)令牌保證數(shù)據(jù)的非篡改。

在通訊中我們在企業(yè)中推薦采用HTTPS單向認證。在保證數(shù)據(jù)通道的安全性同時保證通訊的效率。HTTPS雙向認證一般只用在核心應(yīng)用領(lǐng)域且網(wǎng)絡(luò)環(huán)境較好的場景。對于大數(shù)據(jù)文件，這個在企業(yè)移動中更多的用于打文件的上傳下載。對于這種場景。在上傳、下載文件中采用文件MD5校驗方式來保證文件的完整性。

提問：支持斷點續(xù)傳嗎?

趙慶華：斷點續(xù)傳是必須的。對于下載中采用標準HTTP斷點續(xù)傳技術(shù)。上傳時采用文件分片上傳技術(shù)實現(xiàn)斷點續(xù)傳。

提問：我經(jīng)常看到朋友圈有人無意泄漏了個人的隱私，對于個人的手機安全使用，你有什么好的建議嗎?

趙慶華：工作生活兩個號，盡量不要越獄。雖然越獄可以獲得很多軟件。不要加陌生人。只對個人好友開放個人空間。到安全的地方下載軟件，不要安裝破解版。如果需要，最好裝到?jīng)]有私密信息的手機上，不要訪問奇怪的網(wǎng)站。

王廣清：另外，在朋友圈曬東西時，一定要多看和多想一下，是否涉及個人隱私;對于移動支付，一定要在可信的網(wǎng)絡(luò)中，不要在公共wifi中支付。

提問：移動辦公，用過公共網(wǎng)絡(luò)連接企業(yè)服務(wù)，數(shù)據(jù)傳輸完全暴露，如何控制?

趙慶華：首先在服務(wù)端要對來源進行驗證。

一般常見的是 appid+appkey的認證。例如每個從移動應(yīng)用發(fā)送的請求都需要攜帶MD5(appid+APPKEY_TIMESTAMP);timestamp的字段。服務(wù)器根據(jù)appid找到appkey根據(jù)時間戳進行計算是否匹配如果匹配并且timestamp要在時間范圍內(nèi)才可接入。中間截取這就是數(shù)據(jù)完整性、不可更改性的問題。借鑒簽名機制。即對數(shù)據(jù)進行摘要簽名。簽名時要采用雙方認同的密鑰。這樣修改后的數(shù)據(jù)是無法重新生成對應(yīng)簽名的，這樣修改后的數(shù)據(jù)是無法重新生成對應(yīng)簽名的，HTTPS來保證數(shù)據(jù)的加密和不可見性。

提問：遠程訪問，人員定位等涉及到個人隱私、信息的問題，如何處理?

趙慶華：一般我們再進行HTTPS會話時，需要保證目標服務(wù)器的正確性。因此需要進行服務(wù)器證書校驗。

但在不安全的網(wǎng)絡(luò)環(huán)境下有可能會出現(xiàn)竊聽截取的情況。這種情況下，如果需要達到不可竊聽的情況，需要在前后端根據(jù)私有密鑰完成數(shù)據(jù)加密。常見的是用戶在企業(yè)內(nèi)部掃描二維碼令牌，在外部訪問時數(shù)據(jù)通過二維碼令牌對數(shù)據(jù)進行加密?？梢院芊奖愕淖龅揭蝗艘幻堋?/p>

用戶也可隨時重新捆綁企業(yè)新二維碼。這種方式屬于利用企業(yè)安全網(wǎng)絡(luò)環(huán)境構(gòu)建信任關(guān)系。也是比較低成本的構(gòu)建方式。也可使用動態(tài)口令。根據(jù)時間計算密鑰，前后端密鑰一致來進行加解密。

提問：中化的案例能分享下嗎?

趙慶華：

中化集團

1)集團移動OA：與慧點科技合作，把原有集團OA系統(tǒng)擴展到移動終端，幫助領(lǐng)導用戶在外出時能及時處理工作事務(wù)，促進高效工作。

2)集團TMS移動營銷貿(mào)易系統(tǒng)：石油和種子兩個業(yè)務(wù)板塊有大量的交易業(yè)務(wù)需求，移動TMS能夠幫助業(yè)務(wù)員在工作現(xiàn)場及時下訂單，縮短訂購周期，簡化業(yè)務(wù)流程。

二級單位：

1)移動信托：與軟通動力合作，針對中化信托公司，提供移動OA服務(wù)，提供單據(jù)審批、項目請示等功能。

2)石油勘探：與泛微合作，提供移動OA功能。

3)財務(wù)公司：除了移動OA功能之外，還集成了財務(wù)公司的其他業(yè)務(wù)系統(tǒng)。

今年將著重培養(yǎng)中化集團自身的開發(fā)管理團隊，使其有自我造血和更新能力。

王廣清：好，今天的訪談就到這兒，謝謝趙總的精彩分享，全是干貨!關(guān)于移動應(yīng)用，2014年大家主要談?wù)撌欠襁x擇移動平臺、選擇什么樣的移動平臺，我認為2015年將會有越來越多的企業(yè)關(guān)注移動安全，今天趙總的分享對我們大家很有參考價值!再次感謝!!