2020年(安全生产)移动办公安全白皮书V

（安全生产）移动办公安全

白皮书V

移动办公系统安全白皮书

目录

1.概述3

2.终端接入安全4

2.1.安全组网方案4

2.2.移动专线与边界防火墙4

2.3.多重ACL校验5

3.传输安全6

3.1.RSA-AES内容加密方式6

3.2.SSL加密信道传输8

3.3.SD-Key9

4.存储安全9

4.1.用户密码安全9

4.2.缓存策略10

4.3.持久数据存储安全10

5.机制安全11

5.1.用户名、密码、手机号、SIM卡与手机终端的多重校验11

5.2.权限委派与特权升级防范11

5.3.炸弹短信12

5.4.防止密码穷举攻击12

5.5.停用锁止12

5.6.安全记录12

6.其他领域成功案例13

1.概述

移动办公系统充分考虑到移动办公项目实施和运行时的各个节点的攻击可能性，移动办公系统从接入，传输，存储，机制等四个方面组织了十数种安全策略，客户根据安全级别要求可以自由的选取相关的安全策略以保证客户实施移动办公的安全性。

下图展示了移动办公系统对系统接入各节点的主要安全策略。2.终端接入安全

2.1.安全组网方案

上图是移动办公系统处于含专网的客户化网络的可能性组网方案。我们有如下假设：

A．客户的Internet出口安全性不在本组网体系的讨论范围之内。客户网络系统与外界的唯一出口为GPRS专线。

B．移动侧的内网安全性不在讨论范围之内。

C．病毒防护，IDS等基础网络控制要素不再讨论范围内。

网络组网遵从如下原则：

A．网络边界做到逻辑隔离，防火墙均仅开放有限端口。

B．专网与移动办公服务器所在区必须物理隔离。

2.2.移动专线与边界防火墙

由移动运营商直接将物理线路（例如光纤）从移动机房接入点接入至用户单位信息管理科机房侧，避免用户数据与移动传输时经过

Internet所造成的风险。

同时，由于移动办公服务器既需要与移动网络连接，以提供移动客户端接入，又需要接驳入用户单位的内网办公系统以获得相关的办公数据，因而需要通过边界防火墙使得可以有效地限制移动网络侧只能访问移动办公服务器的相应端口，可以较为有效的避免因移动网络与用户单位办公网络相连所带来的威胁。

2.3.多重ACL校验

上图展示的是移动办公系统在应用SSL通道加密（或AES）情况下的典型鉴权路由。

由用户向移动申请专门的用户单位用特有的手机接入名称（APN），以区别于公众用户所指定的cmwap及cmnet，保证除了用户单位所预先设定的手机号之外无法接入并取得其中的数据。移动办公新开通用户需要首先向移动申请，加该用户的手机号加入系统信任域中，才能使用户开通移动办公服务。

注：APN申请及专线接入需要支付移动运营商额外费用（月租）。

在SSL安全模式下，只有当用户的证书得到授信（仅当双向授信模式）和当服务器的证书得到用户终端根证书认可（服务器单向授信）后，才能进一步进行数据加密传输。

在AES安全模式下，仅当用户终端存储正确在密钥传输过程中所需的服务器的公钥情况下，才能进一步进行数据加密传输。

当用户登录成功后，终端会将用户登录所用用户名，密码、IMEI（需要终端支持），IMSI（需要终端支持）共同发起，由服务器进行综合

校验．

上述校验全部通过后，客户才能正式进入系统，进行相关的业务操作．3.传输安全

3.1.RSA-AES内容加密方式

AES（高级加密标准）是美国国家标准商业对称密码算法。AES 目前选用的是比利时密码学家所发明的Rijndael算法。

AES算法是目前公认的最安全的对称密码算法。在现有的技术条件下，破解128bit的AES密码需要十多亿年或更久。

由于AES算法本身为对称加密算法，在理论上存在被破解的可能性，同时由于对称算法需要双方采用共同的约定密钥，为了增强安全性，每次会话前均会在AES算法之前我们首先用非对称算法RSA及密钥交换算法Diffie-Hellman进行密钥协商，协商后的密钥记为AES 算法传输时所用密钥。这样可以保证每次会话时均使用不同的密钥。

3.2.SSL加密信道传输

SSL(SecureSocketLayer)技术是国际上公认并普遍采用的Socket网络通道加密技术，通过数字证书的安全性来保证系统的整体安全。采用用户单位指定的信任证书认证中心（CA）提供的数字证书，使得用户的客户端和手机之间建立一个安全的网络传输通道。

由于CA验证基于非对称的RSA算法，属于国密办核准方式之一，故在安全上得以保证。

采用SSL信道加密方式，需要向CA机构申请证书，会由此而产生一定的费用。

同时，对于标准传输情况，我们普遍采用服务器单向授信，即终端侧仅保存CA签发的根证书，而服务器加载CA签发的服务器授信证书。使得终端连接时可以明确服务器的可信任性。

对于高安全领域，我们推荐采用双向认证体系。即服务器和客户端均要载入CA签发的根证书，同时还要载入CA分别为自己所签发的授信证书。这样在客户端连接服务器时，除终端可以明确服务器的可信任性外，服务器也可以明确终端的可信任性。

（*关于RSA算法及SSL协议通过国密办核准的情况，可以与国密办联系确认北京市国密办北京市东城区台基厂大街甲5号邮编100005）

3.3.SD-Key

通过高安全的，符合国密办标准的，由公安部研制的基于SDIO传输协议的硬加密设备，可以像普通SD卡一样置于手机的扩展存储槽中，并为手机应用提供完整，安全的加解密服务。

该设备的密码加解密均有公安部研究所自行研制的芯片进行芯片级的算法运算，通过国家保密局、国家安全局检测，安全强度由公安部一所保证。

目前该设备仅支持SD卡形式的接口，对于mimi-SD形式的接口尚不支持，就目前我们支持手机来看，仅可支持多普达818，830（MotoE680/i/g虽为SD卡槽，却由于技术和安全等因素，也不为厂商支持，多普达575，585等手机虽然也使用SD卡槽，却因为不支持SDIO，故也无法使用该设备）。其余手机尚不支持。

（*关于SD-KEY的安全方面，可向用户面呈安全检测证书，确保真实可信，但限于安全法