計(jì)算機(jī)安全技術(shù)在企業(yè)移動辦公中的應(yīng)用

1、計(jì)算機(jī)安全技術(shù)在企業(yè)移動辦公中的應(yīng)用 作者：劉海英 來源：科技創(chuàng)新導(dǎo)報(bào) 2013 年第 20 期劉海英中國石油工程建設(shè)公司 北京 100120摘要：在對企業(yè)移動辦公安全體系建設(shè)的基本原則進(jìn)行論述的基礎(chǔ)上，從企業(yè)移動辦公網(wǎng) 絡(luò)的實(shí)際應(yīng)用需要，分別探討了動態(tài)密碼技術(shù)、完善 PKI 的網(wǎng)絡(luò)安全結(jié)構(gòu)體系結(jié)構(gòu)的相關(guān)策略， 為提高計(jì)算機(jī)安全技術(shù)在企業(yè)移動辦公網(wǎng)絡(luò)中的應(yīng)用水平，保證網(wǎng)絡(luò)安全性提供參考。關(guān)鍵詞：計(jì)算機(jī)安全技術(shù)；企業(yè)移動辦公；動態(tài)口令； VPN中圖分類號： TP393.09 文獻(xiàn)標(biāo)識碼： A 文章編號： 1674-198X(2013)7(b)-0000-001 、企業(yè)移動辦公安全體系建設(shè)的基本原

2、則隨著當(dāng)代企業(yè)信息化建設(shè)程度的不斷加快，企業(yè)移動辦公成為了當(dāng)前大部分企業(yè)經(jīng)營過程 中的必要部分?？紤]到當(dāng)前企業(yè)內(nèi)部計(jì)算機(jī)系統(tǒng)安全等級要求，尤其是一些具有保密項(xiàng)目開發(fā) 的企業(yè)，在移動辦公室的構(gòu)建過程中必須充分考慮無線網(wǎng)絡(luò)和互聯(lián)網(wǎng)移動接入過程中面臨的各 種安全問題。因此，在無線網(wǎng)絡(luò)體系建設(shè)過程中必須遵循如下幾個方面的原則：(1) 有限應(yīng)用的基本原則?；跓o線網(wǎng)絡(luò)和互聯(lián)網(wǎng)的移動辦公系統(tǒng)接入用戶只能對經(jīng)過授 權(quán)的業(yè)務(wù)進(jìn)行處理，同時(shí)進(jìn)行對應(yīng)的業(yè)務(wù)管理服務(wù)；(2) 網(wǎng)間隔離原則。要求企業(yè)的移動辦公系統(tǒng)局域網(wǎng)絡(luò)必須與外部網(wǎng)絡(luò)相互隔離，不能與 企業(yè)內(nèi)部的業(yè)務(wù)管理網(wǎng)絡(luò)直接連接起來，需要連接時(shí)必須通過對外接入局域

3、網(wǎng)進(jìn)行接入；(3) 單向訪問原則。即所有與互聯(lián)網(wǎng)相連接的辦公系統(tǒng)，其應(yīng)用客戶端必須采用單向限制 的方式，將之限制在單一的向內(nèi)訪問業(yè)務(wù)管理網(wǎng)范圍中，不允許用戶通過移動辦公網(wǎng)絡(luò)與外界 互聯(lián)網(wǎng)相連；(4) 安全第一的原則。在網(wǎng)絡(luò)系統(tǒng)架構(gòu)過程中，必須采用身份證、VPN 加密傳輸、防病毒安全技術(shù)等，確保信息系統(tǒng)安全。在設(shè)計(jì)過程中，優(yōu)先選擇使用通過國家安全認(rèn)證的VPN 網(wǎng)關(guān)、AP、防火墻等硬件設(shè)備與產(chǎn)品等。2 、計(jì)算機(jī)安全技術(shù)在企業(yè)移動辦公中的應(yīng)用根據(jù)企業(yè)移動辦公網(wǎng)絡(luò)架構(gòu)及運(yùn)行過程中面臨的安全威脅，同時(shí)結(jié)合當(dāng)前主流的計(jì)算機(jī)網(wǎng) 絡(luò)安全技術(shù)，認(rèn)為可以利用以下幾種計(jì)算機(jī)安全技術(shù)達(dá)到提高企業(yè)移動辦公網(wǎng)絡(luò)安全效果的

4、目 的。2.1 應(yīng)用動態(tài)密碼技術(shù)保證企業(yè)移動辦公網(wǎng)絡(luò)安全在網(wǎng)絡(luò)安全方案設(shè)計(jì)過程中， VPN 客戶端在接入企業(yè)內(nèi)部網(wǎng)關(guān)時(shí)需要進(jìn)行對應(yīng)的身份認(rèn)證， 通過用戶名與密碼的方式實(shí)現(xiàn)對用戶端身份的認(rèn)證與管理。其中，用戶密碼是整個網(wǎng)絡(luò)系統(tǒng)安 全性的基礎(chǔ)，但是在實(shí)際的使用過程中容易出現(xiàn)密碼被泄露的問題。同時(shí)，系統(tǒng)在給大量的用 戶設(shè)置密碼，以及在密碼管理過程中會導(dǎo)致系統(tǒng)管理工作量的大量增加。所以，為了提高系統(tǒng)的安全性，同時(shí)減少系統(tǒng)管理人員的系統(tǒng)管理及維護(hù)工作量，可以采用針對用戶身份認(rèn)證的動 態(tài)密碼管理方式。如圖 1所示，其為動態(tài)密碼實(shí)施原理圖。VI手機(jī)動態(tài)令畜碼認(rèn)證芋尊圖與靜態(tài)密碼相比，動態(tài)密碼存在的一個明顯區(qū)

5、別就是該密碼不是由管理員或者終端用戶提 前設(shè)置好的，而是在需要的時(shí)候由管理系統(tǒng)自動生成的動態(tài)可變密碼。通過這種機(jī)制，管理人 員不需要為所有的用戶設(shè)置密碼，而且也不需要進(jìn)行繁雜的密碼維護(hù)工作，當(dāng)用戶需要接入系 統(tǒng)時(shí)自動生成密碼，使得每次使用的密碼都不相同，在提高信息安全程度的同時(shí)有效減少了密 碼信息被泄露的可能性。在用戶利用VPN應(yīng)用客戶端連接到企業(yè)業(yè)務(wù)管理內(nèi)部網(wǎng)絡(luò)時(shí)，安全網(wǎng)關(guān)將會從網(wǎng)絡(luò)的AD服務(wù)器中獲得對應(yīng)用戶的信息，若用戶名存在，則網(wǎng)關(guān)將會動態(tài)的生成用戶認(rèn)證密碼，而且該密 碼只是處于對應(yīng)時(shí)段內(nèi)有效。在該密碼的有效期內(nèi)，用戶能夠通過該密碼向網(wǎng)絡(luò)安全網(wǎng)關(guān)完成 身份認(rèn)證。同時(shí)，安全網(wǎng)關(guān)將通過實(shí)時(shí)平

6、臺將動態(tài)密碼發(fā)送至用戶信息資料中設(shè)置的手機(jī)號碼 上，客戶端用戶至需要接收動態(tài)密碼并輸入就可以完成冬天密碼登陸的整個過程，同時(shí)建立起 與企業(yè)安全網(wǎng)絡(luò)的連接，訪問企業(yè)內(nèi)部的服務(wù)器，有效保證了企業(yè)內(nèi)部信息的安全。22完善網(wǎng)絡(luò)結(jié)構(gòu)保證企業(yè)移動辦公網(wǎng)絡(luò)安全PKI的無線網(wǎng)絡(luò)安全模型，以期望能夠 2所示。筆者根據(jù)網(wǎng)絡(luò)安全運(yùn)行的實(shí)際經(jīng)驗(yàn)，建立起了基于 有效改進(jìn)網(wǎng)絡(luò)的整體安全性能，其具體的結(jié)構(gòu)功能如圖2.2.1 終端用戶網(wǎng)絡(luò)結(jié)構(gòu)中的終端用戶包括無線終端與有線終端兩個部分，其不但是安全證書的持有者， 同時(shí)還是安全證書的驗(yàn)證者。由于安全證書的持有者是證書的實(shí)際擁有者，是安全證書所聲明 事實(shí)主體，一般可以通過RA向C

7、A申請獲得對應(yīng)的證書，同時(shí)也可以在實(shí)際需要是請求對證書進(jìn)行撤銷、更新等。證書的持有者通過證書向網(wǎng)絡(luò)證實(shí)自己的合法身份，從而獲得進(jìn)入權(quán)限，同時(shí)獲得對應(yīng)身份下的權(quán)限授權(quán)。通常，驗(yàn)證者是整個網(wǎng)絡(luò)系統(tǒng)的授權(quán)方，其確認(rèn)對方提供的 證書有效，同時(shí)驗(yàn)證申請方是否是證書的真實(shí)擁有者，在成功鑒別之后通過授權(quán)相關(guān)權(quán)力給對 方。網(wǎng)絡(luò)的無線終端用戶通過RA向CA申請數(shù)字證書，而 CA在完成對應(yīng)的身份審核工作之后進(jìn)行數(shù)字證書簽發(fā)，并將安全證書、私鑰等存放在 UIM 卡中，為后續(xù)的使用備用。2.2.2 CACA 是整個 PKI 網(wǎng)絡(luò)系統(tǒng)的核心執(zhí)行部分，作為 PKI 網(wǎng)絡(luò)的核心構(gòu)成部分，其主要的職責(zé)在 于：(1) 對出示安

8、全證書的網(wǎng)絡(luò)申請者進(jìn)行身份認(rèn)證，同時(shí)對申請者的信用記錄、證書的申請 目的、所岀顯示身份的真實(shí)可靠性進(jìn)行審查，阿布縱橫證書與身份的捆綁可靠，確保CA用于簽名證書的密鑰質(zhì)量及安全性能。為了有效防止密碼被破譯，CA用于數(shù)字簽名的私鑰長度必須足夠，而且私鑰必須是由硬件卡產(chǎn)生的； (2) 對證書的信息資料進(jìn)行管理，通過對應(yīng)的管理工作 保證證書的序號與 CA標(biāo)識主體的唯一性，杜絕證書主體名稱重名現(xiàn)象的岀現(xiàn)；(3)在證書的使用過程中需要確認(rèn)證書的有效期，確保申請者使用的證書不是已經(jīng)作廢的過期證書，提高網(wǎng)絡(luò) 操作的安全性； (4) 及時(shí)的發(fā)布、維護(hù)作廢證書系統(tǒng) (CRL) ，由于某方面的原因，例如系統(tǒng)升級 需

9、要而將證書作廢時(shí)，需要將其當(dāng)做“黑名單”進(jìn)行處理，并通過在線發(fā)布的方式為用戶提供 在線查詢等，避免作廢證書帶來的風(fēng)險(xiǎn)； (5) 對系統(tǒng)簽發(fā)的證書使用記錄進(jìn)行統(tǒng)計(jì)，達(dá)到對證 書的使用實(shí)時(shí)控制的目的，便于在岀現(xiàn)相關(guān)爭端時(shí)提供對應(yīng)的參考。2.2.3 安全證書的作廢處理系統(tǒng)當(dāng)發(fā)生密鑰介質(zhì)丟失、安全證書被破壞或者用戶的身份信息岀現(xiàn)變更等問題時(shí)，需要保證 證書在CA為其設(shè)置的有效期內(nèi)也必須作廢。通常，作廢的證書一般包括如下的處理策略：對一 個或多個主體證書進(jìn)行作廢處理；對由某CA簽發(fā)的證書進(jìn)行作廢處理。作廢證通常采用將證書列入到作廢證書系統(tǒng)的方式來完成。一般，需要在系統(tǒng)中由CA負(fù)責(zé)創(chuàng)建并管理該作廢證書系統(tǒng)，之后在用戶驗(yàn)證過程中檢查該證書是否處于作廢證書系統(tǒng)中。為了加強(qiáng)作廢證書的安全管理， 要求證書的作廢管理工作安全處于安全、可驗(yàn)證情況下進(jìn)行，并保證證書的完整性。結(jié)語：除了上述計(jì)算機(jī)安全技術(shù)在系統(tǒng)中的應(yīng)用之外，還需要加強(qiáng)密鑰的備份與恢復(fù)工作。用戶 在實(shí)際的使用過程中經(jīng)常由于某些原因而岀現(xiàn)密鑰丟失的情況，使得其不能打開被加密的文件， 不能進(jìn)行正常的工作。為了解決上述問題，需要提供對應(yīng)的密鑰恢復(fù)機(jī)制。同時(shí)，為了保證安 全系統(tǒng)的正常運(yùn)行，還需要加強(qiáng)安全系統(tǒng)的管理工作，確保安全系統(tǒng)運(yùn)行可靠。參考文獻(xiàn)：1 吳福疆 . 利用虛擬化技術(shù)提高移動辦公安全 J. 計(jì)算機(jī)