智能终端安全风险、策略、规划及方案研究

智能终端安全风险、策略、规划及方案研究中国移动通信集团浙江有限公司徐良、何晓明一.智能终端面临的安全风险企业移动化场景包括移动办公、移动营业厅、移动经分、移动桌面云等应用，在移动互联网严峻的安全形势下，用户使用移动终端主要面临敏感信息泄露、后台应用系统被入侵导致违规业务操作等风险。移动终端上的风险1）移动终端丢失，存储在终端本地的敏感数据泄露。2）移动终端植入病毒木马，盗取企业应用本地敏感数据，截取执行过程数据。3）企业应用被篡改，盗取应用本地敏感数据，截取执行过程数据。网络接入风险1）移动终端与后台应用系统之间的传输数据被窃听截取（明文或弱加密）。业务应用系统风险1）利用从移动终端网络传输中盗取的帐号信息，以“合法”身份登录应用系统进行违规业务受理或窃取敏感信息。2）通过分析移动终端上的应用程序，发现应用系统安全漏洞，非法入侵进行违规业务受理或窃取敏感信息。二BYOD安全策略设计基于上述安全风险，BYOD的安全策略需要从监、管、控三个方面来考虑，覆盖设备、网络、应用、数据四个部分，具体的管理策略待进一步细化。层级策略具体策略考虑措施管理对象设备监视根据设备所有权（用户设备或公司配发设备），审计并报告设备情况技术+申计安全审计员及终端管理员详细记录安装的应用技术+申计安全审计员及终端管理员确定设备使用情况（如设备在漫游）技术+申计安全审计员及终端管理员确定设备的合规性状态（如已越狱和被列入黑名单的应用）技术+申计安全审计员及终端管理员管理根据设备所有权制定终端的安全合规策略，禁止不合规的设备接入网络管理最终用户制定安全策略，防止员工接入设备资源或应用管理安全管理、维护及应用管理人员保护在不冋设备和操作系统间用相似的方式部署安全策略技术可以将企业安全和监管合规性策略推送到所有设备技术可配置时间间隔申核设备，确保安全朿略没有被禁用技术

支持用户对丢失或被盗设备进行自服务操作技术设备丢失或被盗后进行定位、锁定并擦除其中数据技术用户从公司离职后全部或选择性擦除设备中的数据技术网络监视分析移动终端的合规性状态，避免非授权设备接入技术+申计安全审计员及终端管理员管理根据设备配置、设备状态、用户角色和用户所在网络等其他因素明确网络接入策略管理最终用户保护保护公司网络，防止恶意软件等移动威胁技术根据网络接入策略，提供系统防护支撑技术应用监视详细记录设备上安装的移动应用技术+申计安全审计员及终端管理员确保用户离职时其应用接入权限被全面撤消，并进行报告以确保合规性技术+申计安全审计员及终端管理员管理要求通过应用商店将应用交付给设备管理开发人员集中保护定制应用或第三方应用，要求在开发过程中或完成开发后实施细粒度的策略控制管理开发及应用管理人员要求控制用户接入（范围、时间）管理业务及应用管理人员保护通过安全的应用和内网连接而不需要全VPN技术提供受沙箱保护的应用解决方案技术直接集成企业目录，通过SSO控制用户接入技术通过一致的应用内数据控制机制保护公司敏感数据技术防止用户离职后继续接入企业应用和数据技术实现对企业电子邮件、内网或应用的接入而无需管理整个设备，进而保护用户隐私技术数据监视跟踪移动用户的数据访问操作并发出预警技术+申计安全审计员及终端管理员管理制定细粒度的数据控制策略管理业务及应用管理人员针对特定公司敏感数据，要求将数据保存在内网确保私密性管理业务及应用管理人员保护提供“数据跟我走”服务，用户可以安全的与移动设备冋步并共享数据技术共享数据控制，允许跨应用访问技术对静态和移动数据进行加密，保护移动数据安全技术通过安全、加密的数据容器防止数据泄露技术在用户离职或设备丢失的情况下，或根据设备越狱等其他时间擦除容器中的数据，技术进而保护数据安全智能终端安全防护需求以“安全、快捷、灵活、体验”为目标，移动智能终端在安全防护上需要从“端、管、云”三个方面考虑，并实现策略统一管理。“端”注重体验和效率。1）在终端侧需要实现企业应用统一入口；所用应用单点登录，体验同PC浏览器；集中消息管理、安全性和稳定性。2）在终端接入控制上支持多种认证方式，按需选用。2.“管”确保安全和效率。1）在企业应用端，安全SDK支持主流OS平台，支持跨平台；提供本地文件/数据加解密接口；提供网络访问加密接口。2）在网络上，支持应用到网关、设备到网关的端到端VPN加密。支持虚拟协议栈技术，支持全IP应用；提供应用专属VPN隧道、网络开放权限小；数据在应用层高强度加密，防止本地网络层窃取。3）在终端侧，需要提供安全沙箱功能。可以创建独立的安全存储区，将企业数据和个人数据隔离；企业数据被高强度加密算法加密；应用或资产注销时，按照安全策略擦除终端本地数据。“云”实现开放集成。1）安全平台SDK支持业务应用快速集成，SDK提供灵活的接口方式，支持数据隔离、通道管理、数据加密、本地文件加解密等安全接口。2）支持业务应用通过管理平台客户端启动，支持业务应用单点登录，支持业务应用主动推送信息至应用商店，支持企业应用的集中发布。可实现基于用户、设备、网络、应用、内容的统一策略管控。1）用户（WHO）：员工、访客、供应商、合作伙伴、最终用户等2）时间（WHEN）：日期、时间3）地点（WHERE）：地理位置（公司内/外，省内/省外）4）设备（DEVICE）：设备类型、设备版本、安全策略设备状态5）网络（HOW）：接入类型（WLAN、VPN）6）应用（WHAT）：公司所有应用、公司大部分应用、公司受限应用涉及的关键技术（一）多域为适应不同业务应用场景需求，需要在终端上划分工作域和个人域。工作域进行企业级、较高安全需求的操作，如公司OA、邮箱、移动营业厅等；个人域进行个人的、一般安全需求的操作，如社交、游戏等。工作域的较高安全需求包括企业OA、邮箱等信息应保密，不得被其他域非授权访问；企业APP不得被其他域非授权访问；工作域可安全连接企业网络。在安全目标上要实现域与域之间的安全隔离，域A中的进程/应用无法非授权访问域B中的数据；只有在安全策略允许的情况下，才能进行授权访问。域B域A□［豳］APR共享数据APP域B域A□［豳］APR共享数据APPAPP应用、数据隔离APP（二）桌面虚拟化员工通过VPN连回公司，系统即会推送虚拟桌面到用户的移动设备，让用户在独立的环境中存取系统的数据。（三）身份认证在访问企业应用时，可以通过动态认证、生物特征识别方式或零知识证明访问识别用户身份。（四）权限管理权限管理策略需要包括设备、网络、应用、内容四个方面。在设备方面，可以基于系统状态、硬件类型等进行权限管理；在网络方面，可以控制接入方式、接入点、VPN等；在应用方面，可对应用访问、应用下载、应用更新进行权限管理；在内容方面，可对文件访问、消息发送、云存储进行权限管理。业努平台绘端管控支撑服努客户端APP能力阔用協口业努平台绘端管控支撑服努客户端APP能力阔用協口智能终端安全管理平台规划标准整端管理服务；!主制堡端管理服务|111♦奮平台展现：统一客户端、统V理门户MDM密码强制身MDM密码强制身tiHRsy远現休眠i^taw/iW故畛道咫理理件％能远程昔控确说制拍晡腹制VPN6BSMCM解密关建数擁消息管理文档苣理邮件首理存储加密MAM应用商店应用加固APPSfcfe应用分叢应用力曜惡意应匡防护和部誉

娩计分析设备凤脸应用,'史用

建计资碱计任务烷计智能终端接入4A方案（一）账号安全智能终端注册1）需获取能标识智能终端的信息2）手机客户端需要和帐号绑定3）相同帐号在其他智能终端使用时除原有账号密码强认证外，还需进行二次校验智能终端丢失或被盗1）静态密码或动态密码输错n次后，自动锁住账号，自助解锁时需进行身份二次校验（非手机验证码类验证，可以诸如密码保护等形式）2）在智能终端系统上登录app后，一段时间空闲后，恢复操作时需进行二次认证3）在app切换到后台运行后，重新唤醒时，需进行二次认证4）不允许提供记住密码功能账号密码找回1）智能终端不提供密码找回功能2）智能终端提供密码账号功能，但密码找回前需进行身份二次认证3）密保问题的设置（同web版的密保设置）（二）接入认证主帐号认证：智能终端门户必须要主帐号（或手机号）+静态密码以及至少一种强认证（如短信密钥方式）的方式实现登录认证，并由4A实现集中统一认证。1.单个APP接入认证流程

AndriodIos4AAndriodIos4A认证中心接入认证实现的详细流程如下：1）当操作人员使用智能终端访问掌上业务支撑应用时，在掌上业务支撑应用门户输入“主帐号（或手机号）+静态密码”；2）掌上业务支撑应用后台接受到登录请求后，将调用4A平台统一接口认证服务，即主帐号（手机号）+静态密码认证服务3）4A平台接口服务验证请求信息，若认证通过，将返回对应掌上业务支撑应用的从帐号（可能为多个），若认证失败，则返回失败原因；4）掌上业务支撑应用门户加载从帐号列表，操作人员选定从帐号后，点击按钮获取短信密钥（如果只存在一个从账号，则直接显示获取短信密钥的按钮）；5）掌上业务支撑应用后台接受到获取短信密钥请求后，将调用4A平台统一接口认证服务6）4A平台接受到请求后，将生成动态短信密钥信息，通过短信方式发送到当前登录主帐号对应的自然人手机号码上；7）操作人员在界面输入短信密钥，点击“确认登录”按钮，将短信密钥请求发送到4A平台统一接口认证服务（动态短信密钥验证服务）；8）4A平台接口服务验证短信密钥，并返回验证结果信息；9）掌上业务支撑应用后台根据4A平台返回的验证结果，允许或拒绝操作人员登录掌上业务支撑应用。10）4A平台需要记录认证交互过程的相关日志；本次认证完成后，操作人员登录掌上业务支撑应用的登录及业务操作日志需要发送给4A审计中心进行统一审计。APP间单点登录认证流程

AndriodIos掌上CRM转发认证请求主帐号（或手机

AndriodIos掌上CRM转发认证请求主帐号（或手机

号）+密码

+短信密钥4A认证中心接入认证实现的详细流程如下：1）操作人员使用智能终端访问掌上业务支撑应用时，在掌上业务支撑应用门户输入“主帐号（或手机号）+静态密码”；2）掌上业务支撑应用后台接受到登录请求后，将调用4A平台统一接口认证服务，即主帐号（手机号）+静态密码认证服务3）4A平台接口服务验证请求信息，若认证通过，返回认证成功，进行下一步的短信密钥二次认证，否则返回失败原因；4）掌上业务支撑应用后台接受到获取短信密钥请求后，将调用4A平台统一接口认证服务5）4A平台接受到请求后，将生成动态短信密钥信息，通过短信方式发送到当前登录主帐号对应的自然人手机号码上；6）操作人员在界面输入短信密钥，点击“确认登录”按钮，将短信密钥请求发送到4A平台统一接口认证服务（动态短信密钥验证服务）；刀4A平台接口服务验证短信密钥，并返回验证结果信息；8）掌上业务支撑应用后台根据4A平台返回的验证结果，允许或拒绝操作