智能终端安全风险、策略、规划及方案研究

智能终端安全风险、策略、规划及方案研究

中国移动通信集团浙江有限公司徐良、何晓明

一.智能终端面临的安全风险

企业移动化场景包括移动办公、移动营业厅、移动经分、移动桌面云等应用，在移动互联网严峻的安全形势下，用户使用移动终端主要面临敏感信息泄露、后台应用系统被入侵导致违规业务操作等风险。

1.移动终端上的风险

1)移动终端丢失，存储在终端本地的敏感数据泄露。

2)移动终端植入病毒木马，盗取企业应用本地敏感数据，截取执行过程数据。

3)企业应用被篡改，盗取应用本地敏感数据，截取执行过程数据。

2.网络接入风险

1)移动终端与后台应用系统之间的传输数据被窃听截取（明文或弱加密）。

3.业务应用系统风险

1)利用从移动终端网络传输中盗取的帐号信息，以“合法”身份登录应用系统进行违规

业务受理或窃取敏感信息。

2)通过分析移动终端上的应用程序，发现应用系统安全漏洞，非法入侵进行违规业务

受理或窃取敏感信息。

二.BYOD安全策略设计

基于上述安全风险，BYOD的安全策略需要从监、管、控三个方面来考虑，覆盖设备、网络、应用、数据四个部分，具体的管理策略待进一步细化。

三.智能终端安全防护需求

以“安全、快捷、灵活、体验”为目标，移动智能终端在安全防护上需要从“端、管、云”三个方面考虑，并实现策略统一管理。

1.“端”注重体验和效率。

1)在终端侧需要实现企业应用统一入口；所用应用单点登录，体验同PC浏览器；

集中消息管理、安全性和稳定性。

2)在终端接入控制上支持多种认证方式，按需选用。

2.“管”确保安全和效率。

1)在企业应用端，安全SDK支持主流OS平台，支持跨平台；提供本地文件/数

据加解密接口；提供网络访问加密接口。

2)在网络上，支持应用到网关、设备到网关的端到端VPN加密。支持虚拟协议

栈技术，支持全IP应用；提供应用专属VPN隧道、网络开放权限小；数据在

应用层高强度加密，防止本地网络层窃取。

3)在终端侧，需要提供安全沙箱功能。可以创建独立的安全存储区，将企业数据

和个人数据隔离；企业数据被高强度加密算法加密；应用或资产注销时，按照

安全策略擦除终端本地数据。

3.“云”实现开放集成。

1)安全平台SDK支持业务应用快速集成，SDK提供灵活的接口方式，支持数据隔

离、通道管理、数据加密、本地文件加解密等安全接口。

2)支持业务应用通过管理平台客户端启动，支持业务应用单点登录，支持业务应

用主动推送信息至应用商店，支持企业应用的集中发布。

4.可实现基于用户、设备、网络、应用、内容的统一策略管控。

1)用户（WHO）：员工、访客、供应商、合作伙伴、最终用户等

2)时间（WHEN）：日期、时间

3)地点（WHERE）：地理位置（公司内/外，省内/省外）

4)设备（DEVICE）：设备类型、设备版本、安全策略设备状态

5)网络（HOW）：接入类型（WLAN、VPN）

6)应用（WHAT）：公司所有应用、公司大部分应用、公司受限应用

四.涉及的关键技术

(一)多域

为适应不同业务应用场景需求，需要在终端上划分工作域和个人域。工作域进行企业级、较高安全需求的操作，如公司OA、邮箱、移动营业厅等；个人域进行

个人的、一般安全需求的操作，如社交、游戏等。工作域的较高安全需求包括企业

OA、邮箱等信息应保密，不得被其他域非授权访问；企业APP不得被其他域非授权

访问；工作域可安全连接企业网络。

在安全目标上要实现域与域之间的安全隔离，域A中的进程/应用无法非授权访问域

B中的数据；只有在安全策略允许的情况下，才能进行授权访问。

(二)桌面虚拟化

员工通过VPN连回公司，系统即会推送虚拟桌面到用户的移动设备，让用户在独立的环境中存取系统的数据。

(三)身份认证

在访问企业应用时，可以通过动态认证、生物特征识别方式或零知识证明访问识别用户身份。

(四)权限管理

权限管理策略需要包括设备、网络、应用、内容四个方面。在设备方面，可以基于系统状态、硬件类型等进行权限管理；在网络方面，可以控制接入方式、接入

点、VPN等；在应用方面，可对应用访问、应用下载、应用更新进行权限管理；在

内容方面，可对文件访问、消息发送、云存储进行权限管理。

五.智能终端安全管理平台规划

六.智能终端接入4A方案

(一)账号安全

1.智能终端注册

1)需获取能标识智能终端的信息

2)手机客户端需要和帐号绑定

3)相同帐号在其他智能终端使用时除原有账号密码强认证外，还需进行二次校验

2.智能终端丢失或被盗

1)静态密码或动态密码输错n次后，自动锁住账号，自助解锁时需进行身份二次

校验（非手机验证码类验证，可以诸如密码保护等形式）

2)在智能终端系统上登录app后，一段时间空闲后，恢复操作时需进行二次认证

3)在app切换到后台运行后，重新唤醒时，需进行二次认证

4)不允许提供记住密码功能

3.账号密码找回

1)智能终端不提供密码找回功能

2)智能终端提供密码账号功能，但密码找回前需进行身份二次认证

3)密保问题的设置（同web版的密保设置）

(二)接入认证

主帐号认证：智能终端门户必须要主帐号（或手机号）+静态密码以及至少一种强认证（如短信密钥方式）的方式实现登录认证，并由4A实现集中统一认证。

1.单个APP接入认证流程