文 / 国信证券股份有限公司 杨阳  吕斌  张梦龙  关朝辉

蓬勃发展的移动互联网促使传统金融服务从后端柜台逐步走向前端，内部办公业务从公司内部延伸到移动端。移动OA和移动营销等多种移动展业及办公应用逐步增加，大大提高了办公效率，但是给企业的移动数据安全、终端管控与应用管理带来了不少挑战。具体包括：如何将业务应用快速、安全的部署到公司内部用户的移动终端上去；如何统一管控易丢失、安全较弱、品牌繁多、更换频率快的移动终端；BYOD使得企业办公网络边界模糊，个人数据与企业数据混杂，高价值的企业信息资产暴露在公共网络及开放应用下，如何在不影响个人隐私和体验的前提下，确保数据安全；如何应对数十倍甚至数百倍的网络安全威胁。

为了应对上述挑战，国信企业移动安全支撑平台（内部项目名称为“国信掌上门户”，以下简称“移动安全平台”）从金融行业移动实际应用及安全需求入手，提倡移动安全专业化、移动应用标准化、移动管理平台化的先进移动开发技术理念，以独创的移动应用安全网络隧道、水印（矢量水印）、安全阅读等专业移动安全技术作为支撑，为移动开发人员提供标准的开发框架及技术规范，同时结合企业移动应用管理（MDM、MAM、MCM）功能，实现了“端到端”可信的企业移动安全应用环境，全方位构建了一个金融企业移动应用标准化及统一管理平台，是国信证券移动展业及移动办公的移动安全支撑平台，为国信证券在移动互联浪潮中开展业务模式创新奠定了坚实基础。

平台的全方位安全设计

对于移动APP的安全性，一般首先考虑加固APP本身应用，起到防反编译、防调试、加密本地敏感数据的作用，此外还会考虑使用加密的通讯协议，保障通讯安全。但是这些技术措施仅仅保障了移动APP的基本安全性。一个系统的安全性，不仅仅要考虑到网络层、主机层，还要考虑到应用层、业务层、数据层的全方位安全。所以构建可信企业移动安全支撑平台，需要对移动业务、数据及流程进行充分的安全风险评估，将安全作为一个重要需求进行重点分析，实现全方位的移动安全防护体系。

1.数据安全传输。

传统的网络层VPN会导致移动端任何应用都可以借用这个通道访问公司内部系统；移动端上的病毒木马，也会随着这个通道侵入公司内部网络，存在安全风险。

移动安全平台的移动端接入企业网络需要通过移动安全网关，为企业内网提供了统一的对外访问入口；移动终端与移动网关之间通过安全隧道进行连接，安全隧道采用SSL加密协议，对传输中的数据进行了加密处理，保证应用数据在传输过程中的安全。对于安全隧道的使用，平台设计了以设备、用户及应用三方综合维度的严格身份认证机制，只有通过认证的调用者才可与安全隧道创建网络连接，保证了隧道使用者的合法性，控制了外部网络对内网应用的访问。基于应用的安全加密隧道，手机上的个人应用是无法通过安全隧道访问公司内部系统的，同时还可以基于应用、用户、设备关闭安全隧道，细化了安全访问控制的颗粒度。

在通讯安全方面，移动安全平台不仅仅考虑到加密，还考虑到现在常见的防中间人劫持（这是加密不能解决的问题），通过客户端的证书强校验来防范这类风险。

2.数据沙箱与安全分享。

在数据安全性方面，移动安全平台引入了安全沙箱的技术，沙箱自身也进行加密，密钥是与客户端信息相关的，登录的时候从服务端获取，校验也必须通过服务器后台进行，充分保障了数据安全性。

数据分享分为企业内部分享和外部分享。对于内部分享，移动安全平台允许员工在安全应用之间直接分享数据，也可以通过内部的业务系统和国信云盘进行数据的流转；对于外部分享，移动安全平台会对分享出去的数据进行归档，审计，并加上矢量水印，一旦数据在互联网造成扩散，可以对扩散源头进行溯源。矢量水印可以在不影响用户阅读的前提下，实现数据泄密的溯源，这种技术还具有防几何攻击、抗压缩、抗波尔纹等特性，提升了攻击难度。

3.标准的安全开发框架及技术规范。

移动安全平台是将安全技术和应用开发技术有机整合到一起的全方位平台，将应用开发技术和安全技术高度融合，充分体现了移动优先的原则，将“端到端”的安全实现隐藏在具体应用之后，减少安全对用户体验的影响。

移动安全支撑平台提供了一个完整的应用开发框架，其涵盖了原生应用、HTML5应用，并将安全技术完全融合在其中，对业务系统的开发者而言，只需要关心业务层面的实现；此外，还提供了App安全开发接入规范，实现对App安全开发从设计到发布整个生命周期指导，规范了公司App安全接入开发流程。

4.业务安全及态势感知。

在业务安全方面，移动安全平台考虑了用户异常登录、注册、登录、忘记密码、用户手机丢失等容易出现安全问题的环节，通过严密的流程设计、开发和后续的渗透测试，加固这些薄弱环节的安全性。

移动安全支撑平台为员工提供便利的同时，还能够提供安全持续监控能力，及时发现各种攻击威胁与异常行为，特别是针对性攻击，实现威胁可视化及分析能力，对威胁的影响范围、攻击路径、目的、手段进行快速研判，有效进行安全决策和响应。

平台的架构实现

1.移动终端。

移动安全支撑平台系统采用成熟、可靠、安全和灵活的分层组件化技术架构，确保系统运行稳定性、安全性及后续升级和扩展。整个架构分为移动终端、安全接入、管理平台三部分。

移动终端上提供了安全沙箱、安全扫描、应用开发SDK等实现移动终端的安全；通过企业应用商城来发布、管理企业移动应用；还提供了安全浏览器等辅助应用，用于快速接入企业现有应用。

2.安全接入。

安全接入包括用户身份认证流程、用户票据管理、沙箱秘钥管理、应用安全隧道及安全接入网关等，是整个移动安全平台的核心。安全接入网关及相关核心组件实现了负载均衡，可以平行扩展，具有高可靠性和高可用性。用户手势码及票据在服务端存储，有效防止了用户手势码及票据被窃取的风险。

3.管理平台。

管理平台对安全策略、用户身份验证、应用权限管理等统一管理。作为系统的基础服务和支撑，还提供了统一的日志审计、统计分析与系统管理、与企业LDAP、统一通讯等基础架构集成。

在移动终端的管理上，管理后台实现了移动设备管理（MDM）、移动应用管理（MAM）、移动内容管理（MCM）与移动运维管理。

确保“移动展业及移动办公”顺利开展

首先，为移动展业提供了一个安全业务支撑平台。基于移动安全平台的移动CRM应用上线改变了传统上以物理网点为中心服务客户的模式，让客户经理脱离了营业厅的地理位置限制，可将现场收集的数据进行深度挖掘，并根据客户现状提供综合金融需求。而移动安全平台让客户数据不落地，既方便开展业务，又防范了数据泄露风险。

图 企业移动安全支撑平台

其次，为移动办公提供安全保障。移动办公需求最强烈的投行部门，由于投行大部分同事都在外部办公，办公地点不统一，投行部门对于员工的管理、通知、各种审批流程等都相对复杂。现在上线的基于移动安全平台的投行门户、并购平台、投行工作日志等应用，可以让投行的同事随时随地处理各种流程，开展业务合作，这样既节省了时间，也加强了管理。

移动安全支撑平台对移动终端的安全管控，是通过建立可信任终端、可信任通道、可信任应用，在移动终端、传输通道、企业应用三者之间构建一个专有的、集中管控的、安全的闭环体系，实现“端到端”的企业安全环境，防止敏感数据外泄，确保企业内部应用和数据的安全。目前，国信证券的移动开发理念及移动安全技术已推广到银行、证券、基金、期货、保险等金融行业的移动开卡、预约开户、上门营销、员工管理、业务培训、移动审批等业务，对于整个金融行业有重要的示范意义，同时对于保障国家金融安全以及增强国际竞争力也具有重大战略意义。

声明：本文来自金融电子化，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。