文章內(nèi)容

應(yīng)用層次化安全策略確保企業(yè)移動(dòng)平臺(tái)安全

發(fā)布時(shí)間: 2012/5/25 19:22:02

隨著Android、Apple的iOS等移動(dòng)平臺(tái)的出現(xiàn)，越來越多的終端用戶和企業(yè)用戶都熱衷于采用他們作為自己的休閑娛樂，甚至是辦公平臺(tái)。然而，移動(dòng)平臺(tái)相對(duì)于傳統(tǒng)較為成熟的Windows、Linux等操作系統(tǒng)平臺(tái)，其安全性一直為用戶尤其是為企業(yè)所詬病。在使用方便的同時(shí)，其安全性如何保障呢？企業(yè)是否能夠放心地引入并普遍應(yīng)用這些移動(dòng)平臺(tái)呢？本文以當(dāng)前非常熱門的Apple移動(dòng)平臺(tái)為例，來介紹該平臺(tái)的安全策略及技術(shù)。

　　Apple移動(dòng)平臺(tái)是iOS（即Apple Operation System），其代表產(chǎn)品是iPhone和iPad。其實(shí)，除了提供強(qiáng)大的娛樂功能外，iOS在系統(tǒng)層面為企業(yè)用戶及其應(yīng)用提供了許多安全機(jī)制，其中包括：防范對(duì)設(shè)備的未授權(quán)使用、對(duì)設(shè)備數(shù)據(jù)的全面保護(hù)（包括設(shè)備丟失或被偷的情況下）、安全的網(wǎng)絡(luò)傳輸協(xié)議和數(shù)據(jù)加密算法、安全的平臺(tái)等。由此為用戶提供了一個(gè)安全的移動(dòng)計(jì)算平臺(tái)。

　　總的來說，企業(yè)用戶可以根據(jù)如下4個(gè)大的層面（共計(jì)10余條具體措施）進(jìn)行安全設(shè)置和加固。

　　一、系統(tǒng)保護(hù)層面

　　措施一：設(shè)定密碼策略

　　iOS支持用戶從一系列密碼設(shè)計(jì)策略中根據(jù)安全需求來進(jìn)行選擇，包括超時(shí)設(shè)定、密碼長度以及密碼更新周期等。iOS支持Microsoft Exchange ActiveSync的密碼策略，如最小密碼長度、最大密碼嘗試次數(shù)、密碼設(shè)定需要數(shù)字和字母組合、密碼的最大非活動(dòng)時(shí)間等。另外，iOS還支持Microsoft Exchange Server 2007中的密碼策略，如：允許/禁止結(jié)案但密碼、密碼超時(shí)、密碼歷史、策略更新間隔、密碼中復(fù)雜字母的最小數(shù)量等。

　　措施二：設(shè)定安全策略

　　在iOS中有2種方法可以對(duì)安全策略進(jìn)行設(shè)定。如果設(shè)備配置為可訪問Microsoft Exchange帳戶，則Exchange ActiveSync的相應(yīng)策略直接會(huì)推送到設(shè)備上，不需要用戶設(shè)置；另外，用戶可以通過配置文件的方式來對(duì)配置進(jìn)行部署和安裝。值得注意的是：刪除該配置需要管理員密碼。

　　措施三：配置安全設(shè)備

　　iOS通過XML（eXtensible Markup Language，可擴(kuò)展的標(biāo)記語言）格式的配置文件來對(duì)設(shè)備的安全策略和限制、VPN（Virtual Private Network）配置信息、Wi-Fi設(shè)置、郵件等進(jìn)行設(shè)定。iOS對(duì)配置文件提供了簽名和加密的保護(hù)。

　　措施四：應(yīng)用設(shè)備限制

　　設(shè)備限制規(guī)定了用戶可以訪問和使用iOS的哪些feature，換句話說，設(shè)備限制主要是為了幫助企業(yè)來規(guī)范和限定雇員可以在企業(yè)環(huán)境中使用iOS的哪些指定服務(wù)。通常這些限制包括一些網(wǎng)絡(luò)應(yīng)用程序，例如Safari、YouTube、iTunes Store等等。當(dāng)然，限制也可以包括是否允許安裝應(yīng)用程序等。

　　二、數(shù)據(jù)保護(hù)層面

　　措施一：數(shù)據(jù)加密

　　iOS提供了256位的AES（Advanced Encryption Standard）硬件加密算法來保護(hù)設(shè)備中的所有數(shù)據(jù)，并且加密是強(qiáng)制選項(xiàng)，不能被用戶取消。

　　措施二：遠(yuǎn)程信息清除

　　iOS支持遠(yuǎn)程信息清除。當(dāng)iOS為用戶遺失或者被盜的情況下，管理員或者設(shè)備所有者可以觸發(fā)遠(yuǎn)程信息清除命令，從而將設(shè)備上的數(shù)據(jù)進(jìn)行消除并反激活設(shè)備，從而保證數(shù)據(jù)安全。

　　措施三：本地信息消除

　　iOS同時(shí)也支持本地信息清除。用戶可以配置經(jīng)過多次密碼嘗試失敗后，iOS自動(dòng)啟動(dòng)本地信息消除操作。默認(rèn)情況下，10次密碼嘗試失敗后，iOS將啟動(dòng)該機(jī)制。

　　三、網(wǎng)絡(luò)通信層面

　　措施一：應(yīng)用VPN進(jìn)行移動(dòng)辦公

　　iOS支持主流的VPN技術(shù)，包括Cisco IPSec、L2TP和PPTP，以確保手機(jī)通信內(nèi)容的安全。同時(shí)，iOS也支持網(wǎng)絡(luò)代理配置。另外，為了支持對(duì)現(xiàn)有VPN環(huán)境的安全訪問，iOS支持基于標(biāo)準(zhǔn)x.509數(shù)字證書的認(rèn)證，還支持基于RSA SecureID和CRYPTOCard的認(rèn)證等。

　　措施二：應(yīng)用SSL/TLS進(jìn)行通信加密

　　iOS支持SSL（Secure Socket Layer）v3以及TLS（Transport Layer Security）v1。Safari、Calendar、Mail等其他互聯(lián)網(wǎng)應(yīng)用都會(huì)自動(dòng)地使用這些安全機(jī)制來保證iOS和其他應(yīng)用間的通信安全。

　　措施三：應(yīng)用WPA/WPA2進(jìn)行無線接入

　　iOS支持WPA（Wi-Fi Protected Access）/WPA2認(rèn)證方式通過Wi-Fi接入企業(yè)網(wǎng)絡(luò)。WPA2采用128位AES加密方式。同時(shí)，iOS支持802.1x協(xié)議族，因此也能應(yīng)用于基于RADIUS認(rèn)證的環(huán)境。

　　四、iOS平臺(tái)層面

　　措施一：運(yùn)行時(shí)保護(hù)

　　運(yùn)行在iOS上的應(yīng)用程序遵循“沙箱”安全原則，即不能夠訪問其他應(yīng)用程序的數(shù)據(jù)。另外，系統(tǒng)文件、資源以及內(nèi)核都與用戶應(yīng)用程序相隔離。若應(yīng)用程序要訪問其他程序的數(shù)據(jù)，則必須通過iOS提供的API進(jìn)行訪問。

　　措施二：強(qiáng)制簽名

　　所有的iOS應(yīng)用程序都必須簽名。設(shè)備上自帶的程序都由Apple公司簽名。第三方的應(yīng)用程序都必須由開發(fā)者使用Apple公司頒發(fā)的數(shù)字證書簽名。

　　措施三：安全認(rèn)證框架

　　iOS提供了一個(gè)安全、加密的認(rèn)證框架來存儲(chǔ)數(shù)字標(biāo)識(shí)、用戶名和密碼，以此來保證對(duì)多種應(yīng)用和服務(wù)的安全認(rèn)證。

　　因此，當(dāng)前的移動(dòng)平臺(tái)在其設(shè)計(jì)初始就在安全方面做了大量的工作，企業(yè)用戶不必過分為安全性擔(dān)憂。但是值得提醒的是：上述的安全措施需要企業(yè)用戶認(rèn)真、合理、全面地使用，否則，平臺(tái)所提供的安全措施和策略也只是一個(gè)擺設(shè)，要使其真正地生效并保證企業(yè)用戶的使用安全，還需要企業(yè)用戶的高度重視和合理使用