热点关注丨基于密码安全的移动办公系统

当前，以 5G 为代表的信息技术正在推动人类的日常活动从物理世界向网络空间扩展，以数据作为关键生产要素的数字经济成为新型经济形态，以数字化、网络化、移动化为核心的现代化变革正在形成，并向经济社会的各领域快速融合渗透。

数据信息已成为我国基础性战略资源，与国家的经济运行、社会治理、公共服务和国防安全等方面密切相关。目前，在全球范围内，以数据为目标的跨境攻击越来越频繁，已成为挑战国家主权安全的新形态。在防护数据安全威胁的同时，移动互联网作为社会舆论的放大器和意识形态较量的主阵地必须加以重视。

1.发展趋势

近 年 来， 移 动 办 公 用 户 规 模 稳 步 扩 大，行业个性化需求急剧增长。自疫情以来，超过1 800 万家企业采用线上远程办公模式开展复工复产工作。中国互联网络信息中心发布的第51 次《中国互联网络发展状况统计报告》数据显示，截至 2022 年 12 月，我国远程办公用户规模达 5.4 亿人 。围绕着单位内部办公、跨单位工作交流的在线工作和社交模式逐渐成为新型办公形式的主流。随着移动办公形式的快速发展，移动办公逐渐暴露出了用户对数据安全使用和管理的众多需求 。

2.移动办公的安全威胁和需求

2.1　安全威胁

（1）终端安全威胁。移动办公终端存在运行环境安全、用户数据安全等方面的安全威胁。移动办公终端的软硬件平台必须确保安全可信。移动终端丢失或者被盗可能造成敏感信息的泄露，将严重影响用户数据和隐私安全。

（2）网络传输安全威胁。移动办公系统通常采用无线传输的方式进行数据和信息的实时传递，该过程可能面临对传输信道的恶意攻击。即使部分移动通信协议采用了安全防护措施，但仍可能遭受信息截取、窃听、篡改、重放、伪造等安全威胁。

（3）接入安全威胁。移动终端设备接入内部网络面临多重安全威胁，包括被远程控制、被植入恶意代码、应用越权访问等风险。攻击者通过攻击移动终端，可能借机进入移动办公的内部网络和系统，从而造成大规模的信息泄露。

（4）应用安全威胁。移动办公涉及电子公文、电子邮件、音视频会议和即时通信等服务，可能存在应用代码漏洞、植入木马等威胁。如何有效防范应用数据在传输过程中被非法窃取、窃听，以及在本地存储的过程中被非法读取和破解等攻击，是能否安全使用移动办公通信系统的关键所在。

2.2　业务需求

（1）决策指挥的需要。随着社会发展节奏的不断加快，政企单位对自身决策指挥水平和决策指挥效率提出了更高的要求。政企单位领导经常需要外出，亟须为其提供外出时的移动通信保障手段，确保能够及时接入内部的办公系统，进而处理工作。

（2）工作人员高效信息交互的需要。政企单位在内部办公、部门协同、社会服务、监督检查等日常工作中，迫切需要便捷高效的信息化手段。为提升社会管理和服务水平，增强应急响应能力，保障工作人员高效安全的信息交互，需尽快提供移动办公通信系统的密码防护手段。

（3）业务模式转型和提升信息化效率的需要。用户对信息系统的依赖性越来越强，指令下达、任务处理、决策支持和日常办公都依赖于信息系统的支持。随着工作机动性、灵活性的大幅提升，信息系统须能够随时随地支持信息的安全，并完成移动化信息处理工作。因此，内部信息系统向移动化延伸，已成为信息系统建设发展的必然趋势。

3.移动办公系统的安全防护整体思路

3.1　移动办公系统的安全防护架构

为满足移动办公所需遵循的安全要求，文中以商用密码技术应用为基础，综合运用“边界防护、身份认证、加密传输、访问控制、终端管控”等安全措施，构建符合等保三级安全标准要求的网络安全纵深防护体系。移动办公系统安全架构如图 1 所示。

图 1　移动办公系统安全架构

安全架构由密码基础设施层、安全基础设施层、密码设备层、应用支撑层和应用层组成，各部分概述如下：

（1）密码基础设施层。密码基础设施层包括数字证书认证系统、密钥管理系统。数字证书认证系统具有用户注册、审核，密钥产生、分发，证书制证、签发及发布等功能。密钥管理系统保障密钥全生命周期安全，通过密钥管理系统能够为信息化系统建立完整的密钥管理体系，满足以非对称密钥体系和对称密钥体系为主的密钥管理要求。

（2）安全基础设施层。安全基础设施层是按照等级保护的相关要求设计和建设的。主要具有防火墙、入侵检测 / 入侵防御、漏洞扫描、病毒检测、网站防护、网络审计、数据库审计等基础安全防护能力，能够保证业务运行安全。

（3）密码设备层。密码设备层包括终端密码模块、零信任网关和服务器密码机。其中终端密码模块包括专用密码卡及配套的密码服务组件，用于提供终端数据加 / 解密所需的资源。

（4）应用支撑层。应用支撑层主要是指跟应用强相关的身份认证系统，主要由身份管理、认证服务、访问控制、单点登录和行为审计等子系统构成，其主要功能是为应用系统提供统一的身份管理、基于数字证书的身份认证、基于授权的访问控制和单点登录服务，以及用户访问行为审计。

（5）应用层。应用层包括即时通信、邮件、公文等应用系统，为用户提供移动办公通信应用服务。

3.2　移动办公系统总体部署

安全移动办公系统由高安全移动终端、移动通信网、用户数据网 3 个部分组成：

（1）高安全移动终端。高安全移动终端主要包含安全手机和安全平板。在移动侧实现运行环境隔离、身份认证、数据传输加密和移动终端管控等安全功能。

（2）移动通信网。移动通信网为移动终端访问用户数据网提供数据通道。

（3）用户数据网。用户数据网包括内部级公共业务区和内网区。公共业务区包括移动接入域、信任服务域、密码管理域、安全管理域、应用服务域等，该区域能够提供电子公文、电子邮件、音视频会议和即时消息等移动应用服务。

3.3　移动办公系统的核心技术

3.3.1　移动安全终端设计

移动安全终端中的工作空间（简称“安全桌面”）配合移动安全管理系统，对安全终端进行安全防护，运用沙箱技术实现移动办公应用在移动终端的安全运行环境。

安全桌面综合移动互联和商用密码技术，集成了移动安全接入网关软件开发工具包（Software Development Kit，SDK）等，为移动办公应用提供统一入口。移动办公应用只会显示在安全桌面的工作空间内，在安全桌面内对应用的下载、安装、升级进行统一管理，并能够实现应用数据存储加密、防拷贝防粘贴、禁止截屏等功能。具体实现方式如下：

（1）内置虚拟专用网络（Virtual Private Network，VPN）SDK，实现应用在安全桌面工作台内的身份认证、访问控制和权限管理。

（2）安全桌面内部应用和外部应用采用存储、进程隔离，外部应用程序无法感知和破坏内部应用和数据，沙箱内外是两套独立的环境，从而提升安全性。

（3）安全桌面内采用商密算法对应用数据存储加 / 解密，同时支持数据远程销毁及应用数据防泄漏等功能。

（4）安全桌面内的应用安装只有沙箱安装唯一一个途径，杜绝恶意应用安装破坏数据安全。

3.3.2　移动接入域设计

移动接入域主要依托零信任安全网关，提供全流量加密和自适应动态访问控制方案，主要包含客户端、零信任网关和智能网关管理平台（策略控制中心）3 个部分：

（1）App 客户端可以进行终端安全加固和环境感知、VPN 认证和加密。

（2）零信任网关基于动态访问模型设计，在传统公钥基础设施（Public Key Infrastructure，PKI）强认证的基础上，加入了可组合的多因子认证机制，结合动态上下文的环境检测，在不同的通道上可以为用户提供一致的细粒度访问控制，并能利用智能网关管理平台动态控制多个网关的执行策略，以便于实现分布式、有弹性的边界防护。

（3）智能网关管理平台（策略控制中心）是构建所有认证与访问控制策略的大脑，可对接 PKI 基础设施和身份识别与访问管理（Identity and Access Management，IAM）平台，构造用于网关的基于角色或基于属性的双模型访问控制策略。

3.3.3　信任服务域设计

信任服务域设计主要包含统一身份认证系统和数字证书认证系统两个部分，具体如下：

（1）统一身份认证系统。统一身份认证系统由客户端和服务端组成，客户端采用 SDK 方式接入。统一身份认证系统包括身份管理、权限管理、身份认证、单点登录等核心基础服务，具备对单位实体身份统一管理、应用统一授权、证书提供、多因素认证（包括短信验证、二维码扫码、口令验证等）、二次认证等多种认证能力，以及单点登录和用户行为审计能力。

（2）数字证书认证系统。数字证书认证系统实现了对数字证书的全生命周期管理，是维护相关方在网络中的合法权益、提高网络与信息安全保障能力的重要手段。数字证书认证系统提供用户注册、审核，密钥产生、分发，证书制证、签发及发布等基本功能，并为应用系统提供在线证书申请下载、在线证书状态查询等服务。

3.3.4　密码管理域设计

密码管理域设计包含设备统一管理中心、密码模块管理平台、密钥管理系统 3 个部分，具体如下：

（1）设备统一管理中心。设备统一管理中心是为满足用户在统一平台集中监管密码设备、安全设备的安全管理类产品，包括设备集中管理、统一监控、远程维护证书管理等功能，与设备具有良好的融合性。

设备统一管理中心具备对密码设备、安全设备的集中管理、设备监控和设备远程维护等管理功能；系统与被管密码设备之间通过标准协议交互数据，以确保交互数据的安全性，实现与被管设备的业务解耦功能。

（2）密码模块管理平台。密码模块管理平台支持移动终端中的超级用户识别卡（Subscriber Identity Module，SIM）管理功能，包括密钥容器等基础资源的创建、修改、删除，设置容器个人身份识别码（Personal Identification Number，PIN），远程修改 PIN 码，提供超级 SIM 密码卡因输错 PIN 码超限被锁死后的解锁功能；密码卡使用信息统计、用户使用单位信息查询等专用密码卡设备管理功能。平台支持与密钥管理系统对接，提供超级 SIM 密码卡和身份认证基础密钥的安全分发代理功能，实现终端密码模块的密码更新、销毁等管理工作。

（3）密钥管理系统。密钥管理系统能够实现非对称密钥管理、对称密钥管理、密码设备管理、密码合规性管理、密码应用有效性管理和综合管理等功能。密钥管理的各个环节均要符合国家的管理规定和标准规范。

3.3.5　安全管理域设计

安全管理域设计包括移动安全管理系统和移动应用检测系统两个部分，具体如下：

（1）移动安全管理系统。移动安全管理系统重点解决移动办公的设备安全、应用安全和数据安全等问题，是针对办公终端、人员、应用、文档和配置等资源的统一集中管理而构建的平台。系统综合安全沙箱、密码协同等技术，建立终端安全管控机制、应用可信发布机制和数据安全保护机制，为移动应用在办公设备端构筑统一安全的计算环境，保障业务数据全生命周期的安全。

（2）移动应用检测系统。应用商店应具备对待上架应用进行动静态相结合检测的能力，对代码行为、运行行为进行审计与测试，从而发现应用本身或第三方库的恶意 / 违规代码与恶意 / 违规行为，协助改进应用的安全性并对恶意应用 / 代码进行有效识别与告警。

4.结　语

本文探究移动办公安全防护关键技术及其实际应用问题，并提出适用于移动办公系统的身份认证、传输安全、数据安全等密码应用技术，以期建立整体安全防护体系，为高效便捷的移动办公系统做好信息安全保障。

（来源：信息安全与通信保密杂志社）