一種移動終端安全接入平臺的製作方法
2023-06-13 16:20:56 2
一種移動終端安全接入平臺的製作方法
【專利摘要】本發明公開一種移動終端安全接入平臺，包括移動終端主機行為控制系統、移動終端安全檢查模塊、移動終端入網認證模塊、移動終端安全通信模塊和移動終端安全接入網關。本發明不依賴於網絡接入方式，可以在任意基礎網絡上部署，而且可以實現端到端的安全保護；安全級別高，對終端站點間所有傳輸數據進行保護，而不管是哪類網絡應用；平臺在事實上將遠程客戶端「置於」企業內部網，使遠程客戶端擁有內部網用戶一樣的權限和操作功能。
【專利說明】一種移動終端安全接入平臺
[0001]
【技術領域】
[0002]本發明涉及一種移動終端安全接入平臺，尤其涉及的是移動終端接入內網時的一種認證、加密及訪問控制等安全加固的實現。
【背景技術】
[0003]對現有技術中的VPN技術進行分析如下:
1、IPSec VPN
IPSec安全協議是一個範圍廣泛、開放的虛擬專用網安全協議。基於IPSec的VPN不依賴於網絡接入方式，它可以在任意基礎網絡上部署，而且可以實現端到端的安全保護。但IPSec VPN有一些局限性:
①需要安裝客戶端軟體，存在大量的安裝、培訓、升級、管理等工作，無形增加了用戶的使用成本。
[0004]②接入設備支持的種類少，以Desktop PC和Notebook PC為主，對手機、PDA、MAC、
移動終端等設備的支持有局限性。
[0005]③存在一些技術問題，如:NAT穿透、私有地址衝突等。
[0006]④由於IPSec是網絡層協議，安全隧道一旦建立，可以訪問所有內部資源，存在一定的安全隱患。
[0007]2、SSL VPN
SSL VPN是以HTTPS為基礎的VPN技術，工作在傳輸層和應用層之間。SSL VPN充分利用了 SSL協議提供的基於證書的身份認證、數據加密和消息完整性驗證機制，可以為應用層之間的通信建立安全連接。但由於SSL VPN是基於Web瀏覽器的，可以很好的支持B/S應用，但對於C/S的應用支持不完善，由於很多企業C/S應用比較多，SSL VPN的使用受到了很大程度的限制。
【發明內容】
[0008]發明目的:針對現有技術中存在的問題，本發明提供一種基於虛擬化技術，使用安全通信協議，能夠支持C/S應用的移動終端安全接入平臺。所述平臺不依賴於網絡接入方式，可以在任意基礎網絡上部署，而且可以實現端到端的安全保護；安全級別高，對終端站點間所有傳輸數據進行保護，而不管是哪類網絡應用；平臺在事實上將遠程客戶端「置於」企業內部網，使遠程客戶端擁有內部網用戶一樣的權限和操作功能。
[0009]技術方案:一種移動終端安全接入平臺，它的系統架構包括:移動終端主機行為控制系統、移動終端安全檢查模塊、移動終端入網認證模塊、移動終端安全通信模塊和移動終端安全接入網關。
[0010]1、移動終端主機行為控制系統 移動終端主機行為控制系統基於強制運行控制(MRC)技術，提供三級安全保護:普通級安全保護、專業級安全保護和強制級安全保護；所述普通級安全保護適於個人自由使用，不涉及敏感信息，能夠有限阻止有特徵的非法侵害，可以與其它防護軟體配合使用；專業級安全保護適於具有一定信息安全基礎的專業人員使用，除具有普通級的防護功能外，允許用戶自行放行或阻止非信任進程；強制級保護僅允許運行規定的應用系統和訪問特定的網頁資源，對於規定以外的其它進程一律阻止；管理員可以根據具體應用系統的安全等級採取不同級別的保護，保證移動終端的安全接入。
[0011]對於存儲在終端上的重要數據，主機行為控制系統還提供加密保護，保證數據即使被拿走也看不懂，有效防止內網敏感信息的洩密。
[0012]2、移動終端安全檢查模塊
移動終端訪問內網資源前，需進行終端安全性檢查，不符合檢查策略的終端將禁止訪問內網資源。安全檢查模塊對終端的作業系統版本、系統的補丁版本、系統的啟動項、特殊位置的磁碟文件等進行嚴格檢查，根據檢查策略，安全接入網關在處理終端接入時，會先檢查移動終端上是否具備上述一項或幾項特徵參數，依據檢查結果判斷是否允許該終端與安全接入網關建立安全隧道，同時判斷出該終端的某些特徵是否存在偽造信息，徹底杜絕不健康終端接入內網網絡，確保移動終端接入的安全，從源頭杜絕威脅。
[0013]3、移動終端入網認證模塊
實現在移動終端上增加入網認證模塊，將權威機構籤發的數字證書存放在具有安全加密功能和身份認證功能的硬體認證卡中，並為每一個外出辦公的員工配備相應的硬體認證卡。移動終端在接入企業內網之前必須進行由硬體認證卡和內網CA認證伺服器共同保證的身份認證，實現只有通過入網認證的終端才可以接入到企業內網中，防止接入的移動終端是被偽造過的非法用戶。
[0014]4、移動終端安全通信模塊
移動終端安全通信模塊的功能是使用安全通信協議與移動終端安全接入網關建立安全通道，保證傳輸數據的安全。安全通信模塊通過與接入網關進行密鑰交換算法、數據加密算法以及數據完整性檢查算法的協商、客戶端和服務端的雙向認證以及確定會話密鑰，建立安全通道，防止數據在傳輸過程中被竊聽、篡改、破壞、插入重放攻擊，保證數據傳輸的安全。
[0015]5、移動終端安全接入網關
移動終端安全接入網關是安全接入平臺的核心之一，負責建立安全通道和對用戶進行訪問控制，能夠保證接入傳輸的安全和內部被訪問的應用系統的安全。移動終端通過安全通信協議與安全接入網關建立安全通道，對傳送的數據進行加密，防止數據在傳送的過程中被截獲、篡改和破壞。同時，安全接入網關還可以對移動終端的身份進行身份認證，保證終端的可信性。
[0016]安全接入網關還能夠保證用戶在連入內網的同時斷開與公網的連接，防止移動終端出現「一機兩網」的情況，保證移動終端與企業內網之間的通信具有與企業內網同樣的安全性。
[0017]安全接入網關能夠提供多種認證方式驗證用戶的身份，除了支持傳統的Radius、AD、LDAP等認證方式外，還支持本地用戶庫、動態口令和數字證書等認證方式。對於不同安全域的用戶，安全接入網關能夠根據相應的規則對用戶的訪問權限進行控制，賦予用戶最小的特權，保證用戶只能訪問與其自身的角色和權限相對應的內部資源，保證內部應用系統的安全。
[0018]有益效果:與現有技術相比，本發明提供的移動終端安全接入平臺具有如下優
1.與現有的VPN產品相比，將信息安全防護劃分為應用伺服器安全、傳輸通道安全和終端安全三個主體進行理論研究和技術實現，與使平臺的目的性更為明確。
[0019]2.與現有的VPN產品使用標準通訊協議不同，本發明使用新型的安全網絡協議，該協議配套了用戶認證模式、密鑰協商方式及國產加密算法，彌補了多項SSL/TLS通訊協議的安全隱患。
[0020]3.根據電力企業信息網絡的特點與應用系統的現狀，及電力信息安全等級保護的要求,針對電力企業內部不同業務應用的需求,擁有針對移動辦公安全接入、營銷業務系統繳費終端安全接入的完整的技術體系和解決方案。
[0021]4.平臺的實現不需要改變網絡結構，不需要修改防火牆配置和修改終端用戶的配置。
【專利附圖】
【附圖說明】
[0022]圖1為本發明實施例移動終端安全接入平臺系統架構圖；
圖2為本發明實施例安全通信協議流程圖；
圖3為本發明實施例的拓撲圖。
【具體實施方式】
[0023]下面結合具體實施例，進一步闡明本發明，應理解這些實施例僅用於說明本發明而不用於限制本發明的範圍，在閱讀了本發明之後，本領域技術人員對本發明的各種等價形式的修改均落於本申請所附權利要求所限定的範圍。
[0024]如圖1所示，移動終端安全接入平臺，它的系統架構包括:移動終端主機行為控制系統、移動終端安全檢查模塊、移動終端入網認證模塊、移動終端安全通信模塊和移動終端安全接入網關。
[0025]1、移動終端主機行為控制系統
移動終端主機行為控制系·統基於強制運行控制(MRC)技術，提供三級安全保護:普通級安全保護、專業級安全保護和強制級安全保護；所述普通級安全保護適於個人自由使用，不涉及敏感信息，能夠有限阻止有特徵的非法侵害，可以與其它防護軟體配合使用；專業級安全保護適於具有一定信息安全基礎的專業人員使用，除具有普通級的防護功能外，允許用戶自行放行或阻止非信任進程；強制級保護僅允許運行規定的應用系統和訪問特定的網頁資源，對於規定以外的其它進程一律阻止；管理員可以根據具體應用系統的安全等級採取不同級別的保護，保證移動終端的安全接入。
[0026]對於存儲在終端上的重要數據，主機行為控制系統還將使用國產商密算法提供加密保護，保證數據即使被拿走也看不懂，有效防止內網敏感信息的洩密。
[0027]2、移動終端安全檢查模塊 移動終端訪問內網資源前，需進行終端安全性檢查，不符合檢查策略的終端將禁止訪問內網資源。安全檢查模塊對終端的作業系統版本、系統的補丁版本、系統的啟動項、特殊位置的磁碟文件等進行嚴格檢查，根據檢查策略，安全接入網關在處理終端接入時，會先檢查移動終端上是否具備上述一項或幾項特徵參數，依據檢查結果判斷是否允許該終端與安全接入網關建立安全隧道，同時判斷出該終端的某些特徵是否存在偽造信息，徹底杜絕不健康終端接入內網網絡，確保移動終端接入的安全，從源頭杜絕威脅。
[0028]3、移動終端入網認證模塊
實現在移動終端上增加入網認證模塊，將權威機構籤發的數字證書存放在具有安全加密功能和身份認證功能的硬體認證卡中，並為每一個外出辦公的員工配備相應的硬體認證卡。移動終端在接入企業內網之前必須進行由硬體認證卡和內網CA認證伺服器共同保證的身份認證，實現只有通過入網認證的終端才可以接入到企業內網中，防止接入的移動終端是被偽造過的非法用戶。
[0029]4、移動終端安全通信模塊
移動終端安全通信模塊的功能是使用安全通信協議與移動終端安全接入網關建立安全通道，保證傳輸數據的安全。安全通信模塊採用SSL協議與接入網關進行密鑰交換算法、數據加密算法以及數據完整性檢查算法的協商、客戶端和服務端的雙向認證以及確定會話密鑰，建立安全通道，防止數據在傳輸過程中被竊聽、篡改、破壞、插入重放攻擊，保證數據傳輸的安全。安全通信模塊與安全接入網關間建立安全通道的過程如附圖的圖2所示。
[0030]通信過程如下:
1)客戶端與網關建立初始化連接，協商出通信過程中使用的密鑰交換算法、數據加密算法以及數據完整性檢查算法；
2)網關返回伺服器證書(證書中包含伺服器公鑰)；
3)客戶端生成私鑰，再通過私鑰生成會話密鑰，然後使用伺服器公鑰將私鑰加密後傳輸給網關；
4)網關使用伺服器私鑰解密出客戶端的私鑰，並用解密出的私鑰生成相同的會話密
鑰；
5)以上握手階段完成後雙方使用相同的會話私鑰進行數據通信。
[0031]5、移動終端安全接入網關
移動終端安全接入網關是安全接入平臺的核心之一，負責建立安全通道和對用戶進行訪問控制，能夠保證接入傳輸的安全和內部被訪問的應用系統的安全。移動終端通過安全通信協議與安全接入網關建立安全通道，對傳送的數據進行加密，防止數據在傳送的過程中被截獲、篡改和破壞。同時，安全接入網關還可以對移動終端的身份進行身份認證，保證終端的可信性。
[0032]安全接入網關還能夠保證用戶在連入內網的同時斷開與公網的連接，防止移動終端出現「一機兩網」的情況，保證移動終端與企業內網之間的通信具有與企業內網同樣的安全性。
[0033]安全接入網關能夠提供多種認證方式驗證用戶的身份，除了支持傳統的Radius、AD、LDAP等認證方式外，還支持本地用戶庫、動態口令和數字證書等認證方式。對於不同安全域的用戶，安全接入網關能夠根據相應的規則對用戶的訪問權限進行控制，賦予用戶最小的特權，保證用戶只能訪問與其自身的角色和權限相對應的內部資源，保證內部應用系統的安全。
[0034]具體實施拓撲如圖3所示。在本實施中，各類移動終端統一通過VPDN/APN專線通道等經專線接入路由器、防火牆，通過筆記本接入網關進入內網，再通過各業務系統提供的安全應用接口進行安全接入。此時防護邊界為VPDN/APN專線和內網的邊界。
[0035]平臺部署時，為實現終端的安全接入，接入鏈路拓撲必須嚴格遵循安全接入網關、安全數據過濾系統、業務系統的方式，如果不能進行明確的接入鏈路區分，必須進行相應的網絡拓撲改造或進行接入平臺的分布式組件部署或利用增設前置機等方式實現業務分流。
【權利要求】
1.一種移動終端安全接入平臺，其特徵在於:包括移動終端主機行為控制系統、移動終端安全檢查模塊、移動終端入網認證模塊、移動終端安全通信模塊和移動終端安全接入網關。
2.如權利要求1所述的移動終端安全接入平臺，其特徵在於:所述移動終端主機行為控制系統中，移動終端主機行為控制系統基於強制運行控制技術，提供三級安全保護:普通級安全保護、專業級安全保護和強制級安全保護；對於存儲在終端上的重要數據，主機行為控制系統還將使用國產商密算法提供加密保護。
3.如權利要求1所述的移動終端安全接入平臺，其特徵在於:所述移動終端安全檢查模塊中，移動終端訪問內網資源前，需進行終端安全性檢查，不符合檢查策略的終端將禁止訪問內網資源；安全檢查模塊對終端的作業系統版本、系統的補丁版本、系統的啟動項、特殊位置的磁碟文件等進行嚴格檢查，根據檢查策略，安全接入網關在處理終端接入時，會先檢查移動終端上是否具備上述一項或幾項特徵參數，依據檢查結果判斷是否允許該終端與安全接入網關建立安全隧道，同時判斷出該終端的某些特徵是否存在偽造信息。
4.如權利要求1所述的移動終端安全接入平臺，其特徵在於:移動終端入網認證模塊中，實現在移動終端上增加入網認證模塊，將權威機構籤發的數字證書存放在具有安全加密功能和身份認證功能的硬體認證卡中，並為每一個外出辦公的員工配備相應的硬體認證卡；移動終端在接入企業內網之前必須進行由硬體認證卡和內網CA認證伺服器共同保證的身份認證，實現只有通過入網認證的終端才可以接入到企業內網中，防止接入的移動終端是被偽造過的非法用戶。
5.如權利要求1所述的移動終端安全接入平臺，其特徵在於:移動終端安全通信模塊的功能是使用安全通信協議與移動終端安全接入網關建立安全通道，保證傳輸數據的安全；安全通信模塊通過與接入網關進行密鑰交換算法、數據加密算法以及數據完整性檢查算法的協商、客戶端和服務端的雙向認證以及確定會話密鑰，建立安全通道，防止數據在傳輸過程中被竊聽、篡改、破壞、插入重放攻擊，保證數據傳輸的安全。
6.如權利要求1所述的移動.終端安全接入平臺，其特徵在於:移動終端安全接入網關是安全接入平臺的核心之一，負責建立安全通道和對用戶進行訪問控制，能夠保證接入傳輸的安全和內部被訪問的應用系統的安全；移動終端通過安全通信協議與安全接入網關建立安全通道，對傳送的數據進行加密；同時，安全接入網關還可以對移動終端的身份進行身份認證，保證終端的可信性。
7.如權利要求2所述的移動終端安全接入平臺，其特徵在於:所述普通級安全保護適於個人自由使用，不涉及敏感信息，能夠有限阻止有特徵的非法侵害，可以與其它防護軟體配合使用；專業級安全保護適於具有一定信息安全基礎的專業人員使用，除具有普通級的防護功能外，允許用戶自行放行或阻止非信任進程；強制級保護僅允許運行規定的應用系統和訪問特定的網頁資源，對於規定以外的其它進程一律阻止；管理員可以根據具體應用系統的安全等級採取不同級別的保護，保證移動終端的安全接入。
8.如權利要求6所述的移動終端安全接入平臺，其特徵在於:安全接入網關還能夠保證用戶在連入內網的同時斷開與公網的連接，防止移動終端出現「一機兩網」的情況，保證移動終端與企業內網之間的通信具有與企業內網同樣的安全性；安全接入網關能夠提供多種認證方式驗證用戶的身份，除了支持傳統的Radius、AD、LDAP等認證方式外，還支持本地用戶庫、動態口令和數字證書等認證方式；對於不同安全域的用戶，安全接入網關能夠根據相應的規則對用戶的訪問權限進行控制，賦予用戶最小的特權，保證用戶只能訪問與其自身的角色和權限相對應的內部資源，保證內部應用系統 的安全。
【文檔編號】H04L29/08GK103441991SQ201310350452
【公開日】2013年12月11日 申請日期:2013年8月12日 優先權日:2013年8月12日
【發明者】吳克河, 陳飛, 崔文超 申請人:江蘇華大天益電力科技有限公司