（通信与信息系统专业论文）企业移动办公的安全接入研究及实现.pdf

原创性声明 郑重卢明：本人所呈交的学位论文，是本人在导师的指导下，独立进行研究 所取得的成果。除文中已经注明引用的内容外，本论文不包含任何其他个人或集 体已经发表或撰写过的科研成果。对本文的研究作出重要贡献的个人和集体，均 己在文中以明确方式标明。本声明的法律责任由本人承担。 学位论文作者( 签名) ：j 乙t 宏斌 日期：2 札年厂月z 孑日 学位论文使用授权声明 本人在导师指导下完成的论文及相关的职务作品，知识产权归属郑州大学。 根据郑州大学有关保留、使用学位论文的规定，同意学校保留或向国家有关部门 i 或机构送交论文的复印件和电子版，允许论文被查阅和借阅；本人授权郑州大学 可以将本学位论文的全部或部分编入有关数据库进行检索，可以采用影印、缩印 或者其他复制手段保存论文和汇编本学位论文。本人离校后发表、使用学位论文 或与该学位论文直接相关的学术论文或成果时，第一署名单位仍然为郑州大学。 保密论文在解密后应遵守此规定。 学位论文作者：三宕斌 e ii 蓼i ：砷年箩月z 葛日 郑州大学硕士论文摘要 2 0 1 0 年5 月 摘要 随着通信技术的不断发展，尤其是近年来3 g 无线网络的不断成熟，越来越多 的企业工作人员，通过无线网络进行日常网上办公。随之而来的是无线网络的安 全问题，由于本身无线公网就缺乏足够的加密条件，所以无线网络移动办公就会 给安全性造成极大的问题。本课题就是针对这一安全问题而提出的，其主要目的 是：系统解决移动终端通过公用移动通信网络接入企业信息网的安全接入问题， 进而实现政府企业信息网通过公用移动通信网络安全的无线移动延伸，为开放 环境下的移动应用提供安全支撑平台。 本文的主要工作包括： ( 1 ) 选用v p n 及手机办公终端加固相结合的接入策略，满足移动办公终端无 线安全接入要求： ( 2 ) 选用认证鉴别管理中心支持下的三重防护安全体系架构，构建移动电 子政务安全应用支撑平台，形成安全保护环境系统，该系统分为如下四个部分： 移动安全终端、安全接入网关、移动代理服务平台和安全认证管理平台。 ( 3 ) 对手机办公终端加密技术进行了研究，选用专用密码芯片，加密手机 选用商用密码芯片作为对称算法的运算器件，选用增强型智能i c 卡作为公钥算法 的运算器件，保证了密码算法的强度和算法运算的正确性；选用智能i c 卡作为密 钥管理器，保证了密钥的安全存放。 ( 4 ) 对手机办公终端应用系统进行了开发，实现了手机办公终端的移动办 公功能。 关键字：安全接入平台移动办公接入标准 郑州大学硕士论文 a b s t r a c t2 0 1 0 年5 月 a b s t r a c t w i t ht h ec o n t i n u o u sd e v e l o p m e n to fc o m m u n i c a t i o nt e c h n o l o g i e s ，p a r t i c u l a r l y t h e3 gw i r e l e s sn e t w o r kc o n t i n u e st om a t u r ei nr e c e n ty e a r s , m o r ea n dm o r e e n t e r p r i s e ss t a f fw o r k sd a i l yt h r o u g ht h ew i r e l e s sn e t w o r k f o l l o w e db yaw i r e l e s s n e t w o r ks e c u r i t y ,b e c a u s eo fw i r e l e s sp u b l i cn e t w o r kl a c ko fc o n d i t i o n so f e n c r y p t i o n ，s ow i r e l e s so f f i c en e t w o r k ss e c u r i t yi s s u ew i l lb el a r g e l y t h i sp a p e r i s r a i s e df o rt h i ss a f e t yi s s u e ，a n di t sm a i np u r p o s ei st os o l v et h es e c u r i t ya c c e s si s s u e s o fm o b i l et e r m i n a la c c e s st oc o r p o r a t ei n f o r m a t i o nn e t w o r kt h r o u g ht h ep u b l i cm o b i l e c o m m u n i c a t i o n ”n e t w o r k , s o 弱t or e a l i z e t h e e x t e n s i o no ft h e s e c u r i t y g o v e m m e n t c o r p o r a t ei n f o r m a t i o nn e | 阳闻k s b a s e dp u b l i cm o b i l ec o m m u n i c a t i o n n e t w o r k ，a n dt op r o v i d es e c u r i t ys u p p o r tf o rm o b i l ea p p l i c a t i o n sp l a t f o r mi nt h eo p e n e n v i r o n m e n t t h em a j o rw o r ko ft h i sp a p e ri n c l u d e s ： 1 u s e da c c e s ss t r a t e g yo fb o t hv p na n dm o b i l eo f f i c et e r m i n a lr e i n f o r c e m e n tt o m e e tt h er e q u i r e m e n t so fw i r e l e s sm o b i l et e r m i n a l ss e c u r ea c c e s s 2 ：s e l e c t e dt h e 鼹坝玎n ya r c h i t e c t u r eo ft r i p l ep r o t e c t i o n ，w h i c hi sp a s s e d i d e n t i f i c a t i o nm a n a g e m e n tc e n t e r sc e r t i f i c a t i o n s e tu pt h es e c u r i t yo fm o b i l e e - g o v e r n m e n ta p p l i c a t i o ns u p p o r tp l a t f o r m t h ef o r m a t i o no fs a f e t yp r o t e c t i o ns y s t e m ， w h i c hi sc o n s i s t so ff o u rp a r t sa sf o l l o w s ：m o b i l es e c u r i t yd e v i c e s ，s e c u r i t ya c c e s s g a t e w a y s ，s e r v i c ep l a t f o r m sa n dm o b i l ea g e n ts e c u r i t ya u t h e n t i c a t i o nm a n a g e m e n t p l a t f o r m 3 t h em o b i l et e r m i n a le n c r y p t i o nt e c h n o l o g yh a sb e e ns t u d i e d u s es p e c i a lc o d e c h i p s m o b i l ep h o n eu s es y m m e t r i ca l g o r i t h mc o m p u t i n g d e v i c e sb a s e do n c o m m e r c i a lp a s s w o r de n c r y p t i o n c h i p e n s u r et h es t r e n g t ha n dc o r r e c t n e s so f c r y p t o g r a p h i ca l g o r i t h m s s m a r ti cc a r du s e da sak e ym a n a g e r t oe n s u r et h es e c u r i t y o ft h ek e y ss t o r e d 4 d e v e l o p e d am o b i l eo f f i c ea p p l i c a t i o n st e r m i n a l st o r e a l i z et h em o b i l e t e r m i n a l sm o b i l eo 伍c ef e a t u r e s k e yw o r d s ：s a f e t y a c c e s sp l a t f o r m ，m o b i l eo f f i c e ，a c c e s ss t a n d a r d 郑州大学硕士论文 目录2 0 1 0 年5 月 目录 1 引言1 1 1 课题背景1 1 2 国内外研究现状1 1 2 1 无线接入安全机制1 1 2 2 可信计算2 1 2 3 移动安全接入与应用：。3 1 3 移动安全接入需求5 1 3 1 公用移动通信网络的安全架构5 1 3 2 政府2 业移动接入的安全需求7 1 4 本章研究的内容8 2 安全接入技术研究9 2 1 安全接入技术研究。9 2 1 1v p d n a p n 技术9 2 1 2 网络接入控制n a c ：。10 2 1 3 网络接入保护n a p 2 1 4 可信网络连接t n c 13 2 2 安全接入技术分析二l5 2 3 本课题所选的安全接入技术二15 2 4 本章小结o ：_ ：16 3 安全接入系统组成与原理1 7 3 1 三重防护安全体系构1 7 3 2 可信密码卡与可信移动安全终端一18 3 2 1 一体化通信加密卡18 3 2 2 安全s i m u l m 卡1 9 3 2 3 基于可信密码卡的可信移动终端l9 3 3 安全接入网关2 l 3 3 1 安全接入网关2 l i i i 郑州大学硕士论文目录 2 0 1 0 年5 月 3 4 典型应用场景和系统工作原理2 3 3 5 本章小结2 4 4 手机移动办公终端设计2 5 4 1 手机办公终端选型2 5 4 1 1 技术性能要求2 5 4 1 2 网络倦0 式2 6 4 1 3 移动终端技术参数2 6 4 1 4 移动办公终端效果图2 7 4 2 手机办公终端应用系统设计2 8 4 2 1 系统实现方式。2 9 4 2 2 应用接入规范3 4 4 2 3 具体接口设计3 5 4 2 4 服务方接入服务设计。3 6 4 2 5 服务方应用接入设计4 2 4 2 6 服务方接入设计4 3 4 2 7 终端交互设计一4 5 4 3 功能测试与开发效果：j j 。4 8 4 3 1 一安全功能测试与分析- 4 8 4 3 2 手机办公应用系统展示4 9 4 4 本章小结5 0 5 总结与展望5 2 参考文献：= 5 3 致 射5 5 个人简历5 6 在学期间发表的学术论文及研究成果5 6 i v 郑州大学硕士论文l 引言2 0 1 0 年5 月 1 引言 1 1 课题背景 我国的公共移动网络是一种无地域覆盖限制的数字通信资源，能提供较好的 数据传输业务，而正在实施的3 g 实际数据传输速率更可达2 m 3 8 4 k b p s 【l 】。另一 方面，近年来众多国家级信息化工程和大量的企业进行了信息化的建设，实现了 企业办公信息化。由此可见，越来越多的企业选择了在3 g 无线网络环境下进行 移动办公。 随着通信技术的不断发展，3 g 无线网络的不断成熟，越来越多的企业工作人 员，通过无线网络进行日常网上办公。随之而来的是无线网络的安全问题，由于 本身无线公网就缺乏足够的加密条件，所以无线网络移动办公就会给安全性造成 极大的问题。 本课题就是针对这一安全问题而提出的，其主要目的是：系统解决移动终端 通过公用移动通信网络接入企业信息网的安全接入问题，进而实现政府企业信 息网通过公用移动通信网络安全的无线移动延伸，为开放环境下的移动应用提供 安全支撑平台。 1 2 国内外研究现状 信息安全技术是目前研究的热点领域，特别是无线安全接入技术、可信计算、 等级保护等方面的研究更是如此，这些技术从不同侧面都直接间接的影响到移动 安全技术的发展。下面将对无线安全接入技术、可信计算和发展趋势进行讨论。 1 2 1 无线接入安全机制 随着通信技术的不断发展，通信网络从2 g 迈向了3 g ，从有线发展到无线， 从单一的有线网络发展到有线和无线相结合的混合网络、从有线网络的安全防护 研究步入到无线网络的安全研究。近年来，关于无线网络的威胁层出不穷，为此， 网络安全专家提出了一系列安全防御技术。但是这些防御技术从根本上都不能保 证无线网络的安全，而我国最近提出了一种新的防御技术就是w a p i 技术，具有 良好的安全防御优点。 w a p i 技术的提出，大大解决了无线网络安全问题隐患，使无线网络安全加 密技术上升到一个新的高度。比如在传输通道的加密方式和加密协议上，它采用 的加密算法在理论和实际上是完全不可破解的，极大的提高了无线传输通道的安 郑州大学硕士论文l 引言2 0 1 0 年5 月 全性，使得无线数据传输在通道链路上的安全得到了保证，安全传输变成了可能； 另外在鉴别方式上，以前的终端设备和中间服务平台平台采用的是单向鉴别技 术，而w a p i 技术采用的是双向认证鉴别技术，大大的提高了终端接入的安全性。 另外使用w p i 技术可以使得网络的组网方式变得极其灵活，根据不同的用户需 要，建设不同的网络环境，使得w a p i 技术更加的灵活和市场化，它有一般如下 几个网络环境： ( 1 ) 具有独立无线网络的用户，他们是自己建设的无线网络，具备相对的安 全性和封闭性，使用统一密钥进行加密，安全性很高； ( 2 ) 公共无线网络，具有安全的无线网络中断，安全的接入网络，接入控制 服务器里有a s u ； ( 3 ) 普通居民和家庭的无线网络，具有独立的无线网络终端，公用安全网关 和无线网络，同样w a p i 技术可以保证他们无线网络的安全性； ( 4 ) 企业的无线网络，它应该具备独立的中间服务平台，独立的安全网关， 独立的无线网络用户，使用w a p i 技术，使得企业的无线网络安全大大的得到了 保证。 由于w a p i 技术的先进性和革命性，因此w a p i 技术在我国的无线网络安全防 御方面。占有重要地位。w a p i 技术司我国信息产业的关键技术国家发展改革委 员会2 0 0 6 年将其列为信息产业关键技术产业化专项，另外，w a p i 技术的特点表 明，公网移动安全技术并不能完全照搬w a p i 技术。 1 2 2 可信计算 可信计算工作组( 英文为t r u s t e dc o m p u t i n gg r o u p ，t c g ) 给可信的定义【6 】： 可信在数学上理解为是期望，以这种期望的形式，终端设备按照预先制定的目的 以规定的方式进行运转。对不同的终端类型和平台，可信计算工作组提出了以下 系列完整规范，例如终端电脑、小型服务器、手机、公共通信网、应用软件这些 可信平台模块( t p m ) 【_ 7 】通常是被定义为硬件的方式，放到各种p c 机里，它们是 可信计算的基础。严格从物理角度来说，这些可信模块是一些软件，被用作安全 代理，但是它们是以硬件的方式展现出来的。其实，可信计算平台作为一个安全 的整体鉴别体系，来保护每个终端的安全性。 可信计算技术的中心是可信平台模块，它具有密码运算功能和存储功能，是 可信计算最重要的技术支持。由于它的存在，几乎所有可信平台的操作都是需要 授权后，才能进行操作。由于这种特性，可信计算平台的可信任程度就大大的提 高。在t p m 的机构里，比较重要的部分是安全微控制器，它具备密码运算功能。 l p c 总线将安全微控制器和p c 芯片集结合在一起。t p m 向t p m 所有者提供密钥， 2 郑州大学硕士论文1 引言2 0 1 0 年5 月 并进行参数配置，加上相应的应用软件，就可以实现完成计算平台的用户身份认 证、可靠性认证、安全认证和数字签名。信号输入和输出、散列消息认证码引擎 与密码协处理器构成t p m 。它的工作过程是这样的：首先使用芯片验证底层器件 的完整性，如果底层器件完成，则进行系统的初始化，否则系统不能启动，然后对 操作系统和b i o s 进行逐一验证，如果操作系统完成，则就开始运行操作系统，否则 操作系统不能运行。最后，内置的加密模块会产生系统所需的各种密钥，保证相应 的应用模块安全。 可信计算平台是按照如下过程实现的： 第一建立一个信任根。它可以保证平台的管理安全。 第二建立一条信任链。信任链由硬件平台、操作系统和应用组成，因此整个 计算机系统都包含这种信任链。 第三进行可信存储、测量和报告。 t c g 认为t p m 可以由硬件或软件实现。” 可信计算研究在我国发展迅速，在沈昌祥院士领导下，我国基于t p c m 芯片 的可信计算标准框架已经通过国家按标委的初步审查，武汉瑞达【8 】、中兴等符合 t p c m 的密码芯片相继推出【，2 0 0 8 年l o 月，我国第三届可信计算会议成功召开， 更是有力的推动了可信计算在信息安全领域的应用。 1 2 3 移动安全接入与应用 一 1 2 3 1 国内外现状及存在的问题 随着无线网络带宽和网络质量的不断提升，使用移动终端无线上网的用户量 不断增加，无线网络市场潜力巨大。由于移动终端的资源有限以及无线网络可靠 性等问题的存在，w a p 技术应运而生。在通向移动互联网的道路上，w a p 以其 在无线网络和无线应用中独特而新颖的解决思路在众多解决方案中脱颖而出 i o o w a p 由一系列协议组成，用来标准化无线通信设备，例如：移动电话、移 动终端。它负责将i n t e r n e t 和移动通信网络连接到一起，客观上已成为移动终端 上网的标准。w a p 将移动网络和i n t e r n e t 紧密的连接到一起，提供一种与网络种 类、承运商和终端设备都无关的移动增值业务【1 1 1 。移动用户可以像使用它们的台 式计算机访问信息一样，用他们的袖珍移动设备访问i n t e r a c t ，从而在移动中随 时随地在手机屏幕上浏览i n t e m e t 上的内容，诸如收发电子邮件、查询数据、浏 览金融信息、财经信息等。 w a p 是公开的全球无线协议标准，并且是基于现有的i n t e m e t 标准制定的， 它以现在的i n t e r a c t 标准及几个新的基于i n t e r n e t 的协议为依据，并依据无线环 境的独特性进行了最佳化，也考虑到了无线网络的制约因素( c p u 不太强、存储 容量少、功耗受限、显示屏较小和不同的输入设备) 。 w a p 提供了一套开放、统一的技术平台。它使用i n t e r n e t 或i n t r a n e t 内容服 务。因此保持了现有的拥有各种开发经验的技术人员的平衡。例如：c g i 、a s p 、 3 郑州大学硕士论文1 引言2 0 1 0 年5 月 n s a p l 、l s a p i 、j a v a 。 w a p 协议可以广泛地运用于g s m 、c d m a 、t d m a 、3 g 等多种网络。它 不依赖某种网络而存在，由w a p 设计成独立的载体，可以使用各种设备获得最 佳传送选择。 w a p 协议中最重要的就是无线传输层安全w t l s ，无线安全传输层w t l s ( w i r e l e s st r a n s p o r tl a y e rs e c u r i t y ) 被广泛用于移动应用( 如w a p ) 安全保护， 是被专门设计用来与w a p 配套使用的安全模块。w t l s 是根据工业标准t l s p r o t o c o l 9 】制定的安全协定，是设计使用在传输层之上的安全层，并针对无线网 络环境中的连接方式、计算能力、带宽限制等特点进行了必要的改造，并具有支 持数据报服务、支持优化的分组大小以及动态密钥更新等特点。但是现阶段w a p 技术在传输层的数据安全传输上存在着一直没有解决的问题：无法对端到端的设 备提供安全保护【1 2 1 。 目前对w r l s 的研究主要集中在以下两个方面： ( 1 ) 对w t l s 握手协议的研究 前人的研究有很多是对握手协议中密钥交换的研究，比如叶润国研究了利用 e c m q v 来增强密钥交换的方法和周永彬分析了在协商过程中可能出现的中间 人攻击等问题，而o o n g 雄k w a k 等人早在2 0 0 3 年就指出w t l s 握手协议中存在着 前向安全性和用户匿名性的安全漏洞。随后，他提出了改进后的基于e c d h 密钥 交换的w t l s 握手协议和改进后的基于r s a 密钥交换的w t l s 握手协议。但是在 2 0 0 5 年，崔媛媛等人指出d 0 h g j f nk w a k 提出的改进后的基于r s a 密钥交换的 w t l s 握手协议并不能所预期的向前安全性，然后在文章中对该协议进行了改 进，使得改进后的握手协议可以提供向前安全性。在2 0 0 4 年，邹学强等人提出了 一个基于d h 密钥交换方案的w t l s 握手协议，这个协议同样改进了前向安全性 和用户匿名性。 ( 2 ) 对w t l s 仿真的研究 对w t l s 协议的仿真研究比较少。熊万安在2 0 0 5 年运用o p n e t 软件对w t l s 协议与移动通信节点数的关系：w t l s 协议与平均会话时间的关系以及w t l s 协 议与信道速率的关系都做了探讨。之后，谢湛在熊万安的基础上进一步丰富了仿 真的内容，探讨了w p k i 再w t l s 协议中运行的各种状况。 无线辨识模组w i m ( w i r e l e s si d e n t i t ym o d u l e ) 是一种无法被篡改的装置，类 似于g s m 标准 1 3 , 1 4 】里的s i m 模组，用来支持w t l s 协定及提供应用层面的安全功 能：存放和处理使用者的身份认证信息。无线认证模块是电子识别证书的数据模 块。它包括可信证书及客户机证书，提供w t l s 交换信息、加密、解密及生成， 签名所需的密码及算法。w i m 模块可放置在s i m 卡中，称为s w i m 卡。 在传输通道的安全加固上，同样要是用智能加密卡对其进行安全加固，因此 w a p i 技术中提出的w i m 的技术，解决这个问题。它的过程如下：通信终端在w a p 协议下，与终端设备通过安全接入网关，进行通信。但是w t l s 只对安全接入网 4 郑州大学硕士论文l 引言2 0 1 0 年5 月 关提供保护。因此，w a p 怎么才能提供完整的端到端的安全保护，成为了人们 研究的热门问题。 1 2 3 2 发展趋势 由于受到计算能力和存储资源的限制以及终端操作系统多样性的影响，移动 应用移植和开发的复杂性和成本压力都面临着严重的挑战。具体需求表现在：移 动安全方面，其发展趋势是必须满足等级保护的基本规范要求，必须符合我国密 码管理规范的密码技术；移动应用方面，要能实现现有信息系统到移动应用的简 单、低成本的快速移植。 在移动应用安全方面，由沈昌祥院士为代表的我国信息安全知名专家倡导并 提出的三部件安全体系架构已得到了国内、乃至国际安全专家学者的认同， w a p i 、t c g 、t p m 无一不体现出三部件安全体系架构的思想。 平台采用认证鉴= 5 j i 管理中心支持下的三重防护安全体系架构，构建移动安全 接入支撑平台，形成安全保护环境系统 1 3 移动安全接入需求 1 3 1 公用移动通信网络的安全架构 公用移动通信网络，由网络接入完全、核心网域安全、用户域安全、应用域 安全和安全特性可见性组成。图1 1 是公用移动通信网络结构图： 5 郑州大学硕士论文l 引言 2 0 1 0 年5 月 图l 、l 公用移动通信网络安全体系结构图 1 ) 设备终端安全。一 一 它主要在设备终端的网络接入部分形成有效安全保护，具有以下四个功能： 传输信息在解密后，信息、数据不会发生丢失情况； 可以对用户进行身份鉴别； 可以实现用户的信息、位置、个人资料的保密性； 对终端设备的接入，传输进行加密算法的安全加密，形成传输数据的不可破 译； 网络安全逐渐从有线网络安全发展到无线网络安全。3 g 无线网络安全将是 新的安全技术研究领域。 2 ) 网络安全 在所有安全防护，网络安全是重中之重。网络安全防护体系是一个综合的防 护体系，目前现在所有的安全防御手段都不能从技术上保证网络安全体系的绝对 安全，也无法解决这个问题。所以网络安全的加密防护，是一个综合和全面的安 全防护体系。 3 ) 使用者网络安全 在目前的安全威胁中，最大的威胁来自于使用者的安全威胁。由于使用者自 身的疏忽而造成的安全事故是非常的多的。要从以下几个方面来加强： 6 郑州大学硕士论文l 引言 2 0 1 0 年5 月 首先，要对使用者的设备包括电脑、手机等移动终端的网络防御安全予以加 强。不仅要进行统一的漏洞扫面、统一的桌面管理，还要定期对病毒进行扫描， 防止出现病毒感染事件。 其次，要加强对使用人员的安全防护意识和防护手段的培训，定期组织学习， 了解当今计算机和手机危害病毒的主要形式，同时加强对设备终端的操作培训， 以免违规操作感染不必要的病毒。 4 ) 网络中间服务安全 由于目前企业信息网络构成是极其复杂，很多是有线网络和无线网络混合构 成的。并且，企业信息网络具备强大的网络服务功能，会有许多网络中间服务平 台与大量的服务主机。因此，这些服务器的安全对企业自身的网络安全也是至关 重要的，如何保护网络中间服务平台的安全，保障企业信息的畅通、安全传输， 也是一个新的研究课题。 5 ) 网络参数配置安全 ” 办公人员在使用网络服务的时候，需要网络提供强大的服务，因此就需要提 供强大的安全服务环境。 1 3 2 政府企业移动接入的安全需求 政务部门企业通过无线移动网络延伸信息应用时，其安全需求主要是体现 在应用域的安全、用户域的安全和安全特性可配置管理方面。移动接入安全不仅 要解决移动终端、公网传输、移动应用、安全兼容等单一方面的安全需求，更要 重视移动接入作为一个系统整体的安全需求，这些需求综合表现在： 1 )传输安全 端到端数据加密传输 适合移动终端的认证措施一一， 主流移动终端的支持 2 )明显的网络边界划分和相应的安全保障措施 内部信息专网和移动接入网的边界划分和安全连接 移动接入网和公用通信网络的边界划分和安全连接 防内部敏感信息非授权外流 3 )适合我国密码管理策略的密码算法配置 硬实现的加密机制 商用密码算法 4 )支持多种安全接入方式 在线接入 7 郑州大学硕士论文1 引言2 0 1 0 年5 月 短消息接入 5 )支持主流通信手段 3 g 侧i f i c d m a l 划e d g e g p r s g s m 6 )支持的终端形式包括： 手机 p d a 笔记本 7 )安全特性可配置管理 统一配置、管理 统一策略 统一审计 1 4 本章研究的内容 本文的主要任务是企业移动办公的安全接入研究及实现。研究在已有的3 g 无线网络系统中，不改变通信标准和协议的基础上，通过相应的安全接入技术 ( v p n ) ，研究相应的安全接入系统，。制定相应的手机终端加固策略，实现了无 线网络的安全接入；通过对手机终端进行专用办公客户端的开发以及手机终端的 安全加固，实现手机的移动办公功能。 本文内容安排如下： 第一章简述了移动安全接入的现状，给出了课题的研究背景、意义和国内 外现状。 第二章详细叙述了国内外现有的安全技术，并进行相应的安全接入分析， 给出了课题的安全接入技术。 第三章详细叙述了安全接入系统的组成与原理。 第四章详细叙述了手机移动办公终端的设计。 第五章对本文所做的工作进行总结和展望。 郑州大学硕士论文3 安全接入系统组成与原理2 0 1 0 年5 月 2 安全接入技术研究 2 1 安全接入技术研究 自防御网络架构( s e l f - d e f e n d i n gn e t w o r ka r c h i t e c t u r e ) 的最重要组成部分是 安全接入技术。目前具有代表性的安全接入技术包括：移动通信网络提供的无线 v p d n 技术、a p n ( a c c e s sp o i n tn e t w o r k ) 技术，网络接入控$ 1 n a c 技术，网络接 入保护技术n a p 以及t c g 组织的可信网络连接t n c 技术等。 2 1 1v p d n ，a p n 技术 v p n 技术是利用隧道技术，通过在公用网络上建立逻辑隧道，对网络层进行 加密以及采用口令保护、身份验证等措施而实现的，该技术允许移动终端通过公 用网络建立到专用网络的安全接入。无线v p d n ( v l r t u a lp r i v a t ed i a l u pn e t w o r k ) 技术【1 6 】：a p n 技术是日前移动通信网络提供的虚拟私有网络( v f n ) 技术【1 8 】【1 9 1 。 v p d n 是指移动终端通过c d m a l x 分组域的接入认证，在分组数据服务节点 ( p a c k a g e d a t as e r v i c en o d e ，p d s n ) 和专用网之间建立起专用隧道，终端经过分组 网p d s n 与专用网的边界设备l n s ( l 2 t pn e t w o r ks e r v e r ) 间建立起p p p ( p o i n tt o p o i n tt u n n e lp r o t t n x f l ) 连接，用户传输的数据流通过隧道到达专用网，就像用户 直接通过专线连接到专用网一样【l 。丌。详细接入流程见图2 1 ： 图2 1v p d n 业务实现流程图 9 郑州大学硕士论文3 安全接入系统组成与原理2 0 1 0 年5 月 移动终端( m e ) 通过无线拨号方式和无线网络( i 斟) 建立业务信道( t c h ) ， 通过分组控制功能( p c f ) 和分组数据服务节点( p d s n ) 建立连接，p d s n 基于 m e 提供的用户名和口令向凡认( 认证、鉴权、计费设备) 提交r a d i u s ( r e m o t o a u t h e n t i c a t i o nd i a li nu s e rs e r v i c e ) 认证请求，当本次v p d n 业务接入的认证通过 后，p d s n 得到用户对应的企业l n s 地址，使p d s n 与企业l n s 之间建立隧道，然 后进行企业用户的l c p ( l i n k c o n t r o l p r o t o c 0 1 ) 协商，建立m e 到专用网的p p p 连 接。 v p d n 的技术特点是在p d s n 和企业l n s 之间建立二层链路隧道l 2 t p ( l a y e r t w ot u n n e lp r o t o c 0 1 ) ，v p d n 的用户接入认证基于用户名和口令，m e 和r n 之间 的安全基于网络本身昀安全性，r n 和p d s n 之间的连接基于c d m a 骨干网络，通 过在企业侧部署a m 可以实现i m s i 号码和用户绑定来增加安全性。 应该说，d n 具有较好的通信安全性。但对于移动通信环境下的网络接入而 言，存在如下的担忧jv p d n 没有建立端到端的安全隧道；采用了用户名加口令 的认证方式，不如采用数字证书的强认证方式安全性高；由于采用密码算法的脆 弱性，移动终端m e 和r n 之间无线信道存在一定的安全隐患；c d m a 核心网安全 架构脆弱，面临着m 网络所固有的一系列问题；加密算法不支持我国自主加密算 法。另外，v p d n 仅仅考虑了传输安全，对终端安全基本上没有考虑，不能满足 移动通信环境下的可信网络接入的需求。 访问节点网络a p n 是g p r s e d g e 网络的一种虚拟专网技术。a p n 的业务流 程和v p d n 类似，最大不同是由g g s n ( 网关g p r s 支持节点) 和企业网关设备建 立g r e ( g e n e r i cr o u t i n ge n c a p s u l a t i o n 通用路由封装协议) 第三层安全隧道。 2 1 2 网络接入控制n a c n a c 技术是c i a c o 公司提出的一个分布式控制、集中安全策略管理的架构， 用以保证端点设备在接入网络前完全遵循本地网络内需要的安全策略【2 2 1 。其中 交换机、无线a p 和路由器进行系统的分布式控制功能，这样如果通过用户通过 服务器，才可以接入网络。如图2 2 所示： 冒修朴 安垒一怠 粉器 量兰业写一冒 终端嘲潮络接入籀隧瑕秀 f - , 设鲁 i 爱& n a d 嚣削葛 图2 2 n a c 网络接入控制 1 0 晰 蛐 安全状 叠意 郑州大学硕士论文3 安全接入系统组成与原理2 0 1 0 年5 月 n a c 主要有以下部分组成： ( 1 ) 可信代理( c i s c ot r u s t a g e n t ，c t a ) 。每一个终端用户设备( e n d - u s e r , h o s t ) 都要部署c t a ，c t a 可以从多个安全软件组成的客户端防御体系收集安全状态信 息( 如防毒软件、操作系统更新版本、信任关系等) ，可信代理c t a 将安全状态信 息( i d e n t i t y p o s t u r e ) 传送到网络中接入设备n a d ( n e t w o r k a c c e s sd e v i c e ) ，并由 网络接入设备提交到策略服务器a c s ( a c c e 鼹c o n t r o ls e r v e r ) 。 ( 2 ) 网络接入设备n a d ：安全设备、路由器、交换机和无线接入点组成了网 络安全设备。它们的主要功能是接入安全保护控制功能，设备主机必须拥有相应 的安全凭证，通过策略服务器网络，才可进行网路的安全接入。 ( 3 ) 策略服务器a c s - 负责评估来自网络接入设备的端点安全信息，网络接 入设备接受终端计算机请求信息( 包括安全状态信息) ，然后将信息传送到策略 服务器，由策路服务器决策和判定：允许、拒绝、隔离或限制。 ( 4 ) 外部安全状态验证服务器( e x t e r n a lp o s t u r ev a l i d a t i o ns e i n e r ) ：完成安全 状态确认并向策略服务器a c s 返回一个安全状态令牌。 ( 5 ) 修补服务器( r e m e d i a t i o ns e r v e r s ) ：向不能满足网络接入条件的终端用户 设备提供修补和升级服务。 ( 6 ) 用户标识库( u s e ri d e n t i t y ) 。 一， n a c 通过网络基础设施强制所有希望获得网络计算资源的设备保持安全策 略的一致性。通过n a c ，可以只让符合安全策略的终端设备接入，拒绝不符合 安全策略的终端设备接入，从而保证整个网络的安全。 2 1 3 网络接入保护n a p 网络接入保护n a p 由微软提出，它通过健康策略合法校验( h e a l t hp o l i c y v a l i d a t i o n ) 的方法来判断接入网络的终端设备健康状态一致性( h e a l t hp o l i c y c o m p l i a n c e ) ，进而完成终端设备的接入控制【2 3 1 。n a p 主要有以下部分组成： ( 1 ) n a p 终端。指支持n a p ，需要接入特定网络的p c 、笔记本等计算平台。 包括：执行客户e c ( n a pe n f o r c e m e n tc l i e n tc o m p o n e n t s ) 、系统健康代理s h a ( s y s t e mh e a l t ha g e n tc o m p o n e n t s ) 、n a p 代理( n a pa g e n t ) 和a p i 等组件。 ( 2 ) n a p 执行点( n a pe n f o r c e m e n tp o i n t s ) 。网络接入设备，通过策略服务 器n p s 确认终端设备的健康策略，对于不符合当前系统运行状况要求的计算机， 实行强制受限网络访问。n a p 执行点由若干e s 组件( n a pe n f o r c e m e n ts e r v e r c o m p o n e n t s ) 组成。 ( 3 ) n a p 健康策略服务器n p s ( n a ph e a l t h。提供策略需求管 理、健康策略验证、确认，并承担a 从( p o l i c y s e r v e r s ，) a u t h e n t i c a t i o na u t h o r i z a t i o n ，a n d 郑州大学硕士论文3 安全接入系统组成与原理 2 0 1 0 年5 月 a c c o u n t i n g ) 服务。包括：n p s 服务、n a p 管理服务、系统健康验证s h v ( s y s t e m h e a l t hv a l i d a t o rc o m p o n e n t s ) 和a p i 等组件。 ( 4 ) 健康规格服务器( h e a l t hr e q u i r e m e n ts e r v e r s ) 。能够提供满足健康策略的 实时健康状态服务( 例如一个反病毒软件最新版本跟踪) 。 ( 5 ) 受限网络( r e s t r i c t e dn e t w o r k ) 。包含修补服务设备的逻辑隔离网络，为 n a p 终端提供修补服务 ( 6 ) 活动目录服务( a c t i v ed i r e c t o r yd o m a i ns e r v i c e ) 。存储发布证书、属性 和群组策略设置等信息。向i p s e c 通信保护、8 0 2 1 x 四】认证连接和远程，n 连接时 需要