基于零信任的移動辦公身份認證及訪問控制技術(shù)

移動辦公越來越得到企事業(yè)單位的重視，已成為現(xiàn)代辦公的一種重要手段。但移動辦公面臨著假冒身份、非法接入、越權(quán)訪問以及信息泄密等安全風險，直接威脅移動辦公業(yè)務(wù)和數(shù)據(jù)的安全。傳統(tǒng)的安全解決辦法是以移動辦公系統(tǒng)為中心，在企業(yè)邊界上設(shè)置隔離認證區(qū)進行認證與訪問控制，把具有內(nèi)、外網(wǎng)互聯(lián)需求的網(wǎng)絡(luò)劃分為內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)，認定內(nèi)網(wǎng)是可信域。隨著移動通信網(wǎng)絡(luò)的高速發(fā)展、移動智能終端性能的迅速提高和移動辦公技術(shù)的不斷更新，現(xiàn)代移動辦公與傳統(tǒng)移動辦公相比，出現(xiàn)了許多新的特點，主要表現(xiàn)在以下幾個方面：一是由固定方式向移動化的辦公方式的改變，參與者從企業(yè)內(nèi)部人員向企業(yè)外部協(xié)作人員外延，辦公系統(tǒng)的業(yè)務(wù)和數(shù)據(jù)逐步向云上遷移，導(dǎo)致移動辦公已打破傳統(tǒng)的企業(yè)物理邊界。二是來自企業(yè)外部，特別是以零日攻擊（ZeroDay,0Day）、高級長期威脅（AdvancedPersistent

Threat，APT）為代表的高級攻擊防不勝防。三是企業(yè)內(nèi)部缺乏足夠的安全訪問控制，往往因為非授權(quán)訪問、員工犯錯等原因，導(dǎo)致“合法用戶”可以越權(quán)訪問特定的業(yè)務(wù)和數(shù)據(jù)資源。因此，現(xiàn)代的移動辦公網(wǎng)絡(luò)邊界已被打破，傳統(tǒng)的安全解決辦法已不再適用于現(xiàn)代移動辦公的安全需要。2010年，提出了零信任網(wǎng)絡(luò)的概念，其能夠在不依賴網(wǎng)絡(luò)傳輸層物理安全機制的前提下，有效保護網(wǎng)絡(luò)通信和業(yè)務(wù)訪問。零信任網(wǎng)絡(luò)的宗旨是不再自動信任網(wǎng)絡(luò)內(nèi)部和外部的任何人、事、物，在授權(quán)前對人、事、物都需要進行驗證，采取以用戶身份為中心，先認證后連接、動態(tài)授權(quán)和信息加密傳輸?shù)陌踩O(shè)計，實現(xiàn)網(wǎng)絡(luò)通信和業(yè)務(wù)訪問安全。零信任網(wǎng)絡(luò)可有效解決基于網(wǎng)絡(luò)邊界防護的安全架構(gòu)失效問題，業(yè)界研究人員也進行了大量的研究工作。本文基于零信任網(wǎng)絡(luò)架構(gòu)，研究適合移動辦公系統(tǒng)的身份認證及訪問控制機制，解決現(xiàn)代移動辦公系統(tǒng)中業(yè)務(wù)訪問面臨的安全問題。1

零信任網(wǎng)絡(luò)1.1架構(gòu)模型零信任網(wǎng)絡(luò)架構(gòu)模型分為控制平面和數(shù)據(jù)平面，如圖1所示。圖1零信任網(wǎng)絡(luò)架構(gòu)模型1.1.1控制平面控制平面包括多源輸入和策略判定。多源輸入包括身份管理系統(tǒng)、設(shè)備管理系統(tǒng)、安全管理系統(tǒng)、監(jiān)測系統(tǒng)、風險分析、數(shù)據(jù)訪問策略和證書系統(tǒng)等，策略判定包括策略引擎和控制引擎。多源輸入為內(nèi)嵌在控制平面內(nèi)的信任評估算法提供輸入?yún)?shù)，策略引擎獲得信任評估算法評估結(jié)果并生成訪問策略，控制引擎提供訪問數(shù)據(jù)平面的控制權(quán)。1.1.2數(shù)據(jù)平面數(shù)據(jù)平面包括用戶終端、安全代理和業(yè)務(wù)應(yīng)用。用戶終端作為用戶訪問業(yè)務(wù)應(yīng)用的操作平臺，業(yè)務(wù)應(yīng)用的系統(tǒng)、數(shù)據(jù)等資源集中部署于業(yè)務(wù)應(yīng)用服務(wù)器，安全代理部署在用戶終端與業(yè)務(wù)應(yīng)用之間，為用戶訪問業(yè)務(wù)應(yīng)用提供代理服務(wù)。1.2技術(shù)原理零信任網(wǎng)絡(luò)打破現(xiàn)有網(wǎng)絡(luò)安全防護對內(nèi)部網(wǎng)絡(luò)信任的理念，默認內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)一樣，都是不可信任和不安全的，對網(wǎng)絡(luò)中的任何人、任何設(shè)備、任何系統(tǒng)、任何應(yīng)用進行的任何連接，都需要進行認證和根據(jù)當前狀態(tài)動態(tài)授權(quán)，實現(xiàn)訪問控制。從以系統(tǒng)為中心的安全防護轉(zhuǎn)變?yōu)橐陨矸轂橹行牡陌踩雷o，對業(yè)務(wù)的訪問把現(xiàn)有的先連接后認證模式轉(zhuǎn)變?yōu)橄日J證后連接的新模式，即所有設(shè)備、用戶和應(yīng)用的業(yè)務(wù)訪問都采用認證、授權(quán)和加密傳輸。具體實施原理如下：控制平面的信任評估算法利用多源輸入信息，計算獲得用戶的信任評估值和生成訪問策略；控制引擎根據(jù)策略引擎獲得的信任評估值和訪問策略，判定用戶是否可以訪問數(shù)據(jù)平面，并通知數(shù)據(jù)平面的安全代理；安全代理開啟用戶終端訪問業(yè)務(wù)應(yīng)用的通道，用戶終端利用開啟的通道實現(xiàn)業(yè)務(wù)應(yīng)用的訪問。2安全訪問機制2.1系統(tǒng)組成移動辦公系統(tǒng)組成如圖2所示，由終端區(qū)、安全控制區(qū)和辦公業(yè)務(wù)區(qū)組成，終端區(qū)包含手機、平板和筆記本電腦等各類移動終端設(shè)備，移動終端設(shè)備安裝有終端安全套件，終端安全套件可為移動終端提供安全保密服務(wù)，利用4G/5G/Wi-Fi等無線網(wǎng)絡(luò)借助互聯(lián)網(wǎng)接入安全控制區(qū)，通過安全控制區(qū)實現(xiàn)對辦公業(yè)務(wù)區(qū)的訪問。其中，安全控制區(qū)包含動態(tài)信任評估系統(tǒng)、安全網(wǎng)關(guān)等設(shè)備，辦公業(yè)務(wù)區(qū)包含各類辦公應(yīng)用服務(wù)器等設(shè)備。2.2工作原理（1）移動終端通過系統(tǒng)注冊時約定的“敲門端口”，與動態(tài)信任評估系統(tǒng)之間建立連接，發(fā)送認證申請（簽名）給動態(tài)信任評估系統(tǒng)。（2）動態(tài)信任評估系統(tǒng)，基于簽名和驗簽機制，對移動終端發(fā)送的認證申請簽名進行驗簽，辨識移動終端的身份合法性，從而實現(xiàn)身份認證。在認證過程中，基于移動終端的安全屬性、設(shè)備屬性等進行新一輪的信任評估，評估結(jié)果若不能達到信任評估要求，則動態(tài)信任評估系統(tǒng)就不能通過對移動終端的身份認證，按“放棄且不回應(yīng)”原則丟棄移動終端的認證申請。圖2移動辦公系統(tǒng)組成（3）通過身份認證的移動終端，由動態(tài)信任評估系統(tǒng)生成認證令牌和訪問控制安全策略（按需授權(quán)），同時分配一個安全網(wǎng)關(guān)的端口，移動終端通過該端口可與安全網(wǎng)關(guān)連接通信。一方面，動態(tài)信任評估系統(tǒng)把這些信息發(fā)送給安全網(wǎng)關(guān)；另一方面，動態(tài)信任評估系統(tǒng)對這些信息簽名，作為移動終端認證申請的響應(yīng)信息，并反饋給移動終端。（4）安全網(wǎng)關(guān)接收到動態(tài)信任評估系統(tǒng)發(fā)送的信息后，打開分配的安全網(wǎng)關(guān)端口（超時自動關(guān)閉），等待移動終端連接訪問。（5）移動終端接收動態(tài)信任評估系統(tǒng)反饋的信息后，基于簽名和驗簽機制，對動態(tài)信任評估系統(tǒng)反饋的認證申請響應(yīng)信息的簽名進行驗簽，辨識動態(tài)信任評估系統(tǒng)的身份合法性，從而實現(xiàn)身份認證；根據(jù)認證令牌、訪問控制安全策略和擬訪問辦公業(yè)務(wù)區(qū)的資源信息，生成訪問計劃；利用分配的安全網(wǎng)關(guān)的端口與安全網(wǎng)關(guān)建立連接，發(fā)送訪問計劃（簽名）給安全網(wǎng)關(guān)。（6）安全網(wǎng)關(guān)利用認證令牌完成對移動終端的身份驗證，不能通過身份認證時，按“放棄且不回應(yīng)”原則，不給移動終端反饋信息；通過認證后，給移動終端分配訪問辦公應(yīng)用的地址及端口，生成訪問計劃的應(yīng)答信息（簽名），并反饋給移動終端。（7）移動終端接收安全網(wǎng)關(guān)反饋信息后，基于簽名和驗簽機制，對安全網(wǎng)關(guān)反饋的訪問計劃的應(yīng)答信息的簽名進行驗簽，辨識安全網(wǎng)關(guān)的身份合法性，從而實現(xiàn)身份認證，同時獲得訪問辦公應(yīng)用的地址及端口。（8）移動終端借助安全網(wǎng)關(guān)，利用訪問辦公應(yīng)用的地址及端口等信息與辦公業(yè)務(wù)區(qū)的辦公應(yīng)用建立安全通道，實現(xiàn)對辦公應(yīng)用的資源訪問。2.3安全訪問機制設(shè)計基于零信任網(wǎng)絡(luò)架構(gòu)進行安全訪問機制設(shè)計，主要體現(xiàn)在如下幾個方面：（1）采用先認證后連接的安全策略。在移動終端與辦公應(yīng)用之間建立訪問連接前，移動終端需通過動態(tài)信任評估系統(tǒng)、安全網(wǎng)關(guān)的兩次身份認證，認證通過方能建立訪問連接，否則無法連接辦公應(yīng)用。移動終端與動態(tài)信任評估系統(tǒng)、安全網(wǎng)關(guān)之間采用雙向認證機制，實現(xiàn)身份的互認證。（2）建立動態(tài)信任評估機制，實行動態(tài)授權(quán)。動態(tài)信任評估系統(tǒng)利用信任評估算法，根據(jù)移動終端當前包括的用戶信息、位置、設(shè)備狀態(tài)、訪問信息、用戶行為等安全屬性和設(shè)備屬性，對移動終端信任值進行動態(tài)評估，實時調(diào)整移動終端的訪問控制安全策略，實現(xiàn)對移動終端的動態(tài)授權(quán)。信任評估算法計算獲得新的信任值，與對應(yīng)基準值（動態(tài)變化）進行比較，結(jié)合所要訪問業(yè)務(wù)應(yīng)用的屬性進行最終的判斷，確定用戶終端是否可以訪問辦公應(yīng)用。（3）系統(tǒng)資源采用隱身機制，構(gòu)建多重防線。移動終端與辦公應(yīng)用之間建立三重防線。移動終端只有知道“敲門端口”才能訪問動態(tài)信任評估系統(tǒng)，構(gòu)建第一重防線；移動終端只有知道動態(tài)信任評估系統(tǒng)分配的安全網(wǎng)關(guān)端口才能連接訪問安全網(wǎng)關(guān)，構(gòu)建第二重防線；移動終端只有知道安全網(wǎng)關(guān)分配的辦公應(yīng)用地址及端口才能訪問辦公應(yīng)用，構(gòu)建第三重防線。（4）基于密碼技術(shù)，交互信息加密傳輸。移動終端與動態(tài)信任評估系統(tǒng)、安全網(wǎng)關(guān)之間交互的信息，包括認證、管理及安全屬性、設(shè)備屬性等，采用非對稱密碼機制對信息進行加密傳輸；移動終端與辦公應(yīng)用之間基于安全套接字層協(xié)議（SecuritySocketLayer,SSL）構(gòu)建虛擬專用網(wǎng)絡(luò)（VirtualPrivateNetwork，VPN），并建立遠程安全訪問通道SSL-VPN，進行信息加密傳輸，實現(xiàn)數(shù)據(jù)機密性、完整性保護和數(shù)據(jù)來源可認證性保護，確保數(shù)據(jù)傳輸安全。3實施方案移動辦公系統(tǒng)工作流程分為設(shè)備配置和注冊、認證和授權(quán)及業(yè)務(wù)訪問控制三個階段。3.1設(shè)備配置和注冊移動終端、動態(tài)信任評估系統(tǒng)和安全網(wǎng)關(guān)之間的身份認證和交互信息，需要采用非對稱密碼體制實現(xiàn)信息的加密傳輸，因此在系統(tǒng)建設(shè)部署時，可通過安全渠道對移動終端、動態(tài)信任評估系統(tǒng)、安全網(wǎng)關(guān)進行公鑰/私鑰對的設(shè)置以及對方公鑰設(shè)置，并且動態(tài)信任評估系統(tǒng)需要對管理的移動終端和安全網(wǎng)關(guān)進行注冊，注冊信息包括設(shè)備ID號、用戶信息、用戶終端狀態(tài)、用戶與用戶終端綁定關(guān)系、用戶“敲門端口”號、根據(jù)用戶終端認證請求信息進行初次信任評估的評估值等。3.2認證和授權(quán)設(shè)備配置和注冊后，移動終端與動態(tài)信任評估系統(tǒng)之間進行身份互認，并由動態(tài)信任評估系統(tǒng)定制移動終端的訪問控制安全策略，認證和授權(quán)流程如圖3所示。圖3認證和授權(quán)流程（1）身份認證。移動終端與動態(tài)信任評估系統(tǒng)之間，通過對對方的簽名進行驗簽，實現(xiàn)彼此的身份認證。（2）隱身動態(tài)信任評估系統(tǒng)。動態(tài)信任評估系統(tǒng)訪問端口處于“關(guān)閉”狀態(tài)，用戶終端只有通過“敲門端口”才能與動態(tài)信任評估系統(tǒng)建立連接，丟棄不回應(yīng)無效訪問信息包數(shù)據(jù)。（3）動態(tài)信任評估。動態(tài)信任評估系統(tǒng)根據(jù)移動終端當前安全狀態(tài)信息，利用信任評估算法重新評估移動終端的信任值，根據(jù)評估值最終確定是否通過身份驗證，并生成移動終端訪問辦公應(yīng)用的訪問控制安全策略。（4）數(shù)據(jù)加密傳輸。移動終端與動態(tài)信任評估系統(tǒng)、動態(tài)信任評估系統(tǒng)與安全網(wǎng)關(guān)之間的數(shù)據(jù)傳輸，利用對方的公鑰對發(fā)送數(shù)據(jù)加密，利用己方的私鑰對接收數(shù)據(jù)解密，實現(xiàn)彼此之間交互數(shù)據(jù)安全傳輸。3.3業(yè)務(wù)訪問控制在完成移動終端認證和授權(quán)的基礎(chǔ)上，移動終端與安全網(wǎng)關(guān)進行身份認證，并從安全網(wǎng)關(guān)獲得訪問辦公應(yīng)用的地址及端口，最終實現(xiàn)業(yè)務(wù)訪問，業(yè)務(wù)訪問控制流程如圖4所示。圖4業(yè)務(wù)訪問控制流程（1）身份認證。利用用戶終端的訪問令牌信息，實現(xiàn)安全訪問網(wǎng)關(guān)對移動終端的身份認證；通過對安全網(wǎng)關(guān)的簽名進行驗簽，實現(xiàn)用戶終端對安全網(wǎng)關(guān)的身份認證。（2）隱身安全網(wǎng)關(guān)?！瓣P(guān)閉”安全網(wǎng)關(guān)訪問端口，用戶終端只能通過認證和授權(quán)過程中由動態(tài)信任評估系統(tǒng)分配的安全網(wǎng)關(guān)訪問端口，與安全網(wǎng)關(guān)建立連接，丟棄不回應(yīng)無效訪問信息包數(shù)據(jù)。（3）隱身辦公應(yīng)用。用戶終端只能通過安全網(wǎng)關(guān)分配的辦公應(yīng)用地址及端口與辦公應(yīng)用之間建立連接通信。（4）數(shù)據(jù)安全傳輸。移動終端與安全網(wǎng)關(guān)利用對方的公鑰對發(fā)送數(shù)據(jù)加密，利用己方的私鑰對接收數(shù)據(jù)解密，實現(xiàn)彼此之間交互數(shù)據(jù)安全傳輸；移動終端與辦公應(yīng)用之間建立SSL-VPN安全通道，實現(xiàn)業(yè)務(wù)數(shù)據(jù)的安全傳輸。3.4安全性分析本文對先認證后連接、身份認證、動態(tài)授權(quán)、資源隱身和數(shù)據(jù)加密傳輸五個方面進行了安全設(shè)計，可有效滿足零信任網(wǎng)絡(luò)移動辦公系統(tǒng)的安全需求。其安全性分析如下：（1）先認證后連接。移動終端只有通過身份認證，方能獲得訪問辦公應(yīng)用的地址和端口，防止未通過認證的移動終端連接訪問辦公應(yīng)用，確保先認證后連接，有效規(guī)避非法用戶終端、0Day病毒、APT等惡意攻擊。（2）兩次身份認證。通過對移動終端進行兩次身份認證設(shè)計，動態(tài)信任評估系統(tǒng)、安全網(wǎng)關(guān)分別對移動終端進行身份雙向識別，確保移動終端身份的合法性，防止非法終端接入。（3）動態(tài)授權(quán)。通過動態(tài)信任評估系統(tǒng)對需要認證的移動終端進行信任評估設(shè)計，可按需向移動終端授權(quán)，動態(tài)調(diào)整訪問控制安全策略，可實現(xiàn)細粒度的權(quán)限控制，可有效避免移動終端權(quán)限過時和過度授予。（4）資源隱身。通過三重防線設(shè)計，對系統(tǒng)資源進行隱身。在移動終端和動態(tài)信任評估系統(tǒng)、安全網(wǎng)關(guān)、辦公應(yīng)用之間采用“專用”端口連接和采用丟棄不回應(yīng)非法數(shù)據(jù)包策略，可有效減輕利用端口進行惡意攻擊，從而確保動態(tài)信任評估系統(tǒng)、安全網(wǎng)關(guān)、辦公應(yīng)用等資源安全。（5）數(shù)據(jù)加密傳輸。通過采用非對稱算法對控制平面數(shù)據(jù)加密、采用對稱算法對數(shù)據(jù)平面數(shù)據(jù)加密設(shè)計，在確保信息安全傳輸?shù)耐瑫r，還提高了業(yè)務(wù)數(shù)據(jù)的加解密效率。4系統(tǒng)優(yōu)勢本文提出的系統(tǒng)的優(yōu)勢如下文所述。（1）有效解決現(xiàn)有辦公系統(tǒng)安全防護短板問題。移動辦公系統(tǒng)已打破傳統(tǒng)的網(wǎng)絡(luò)邊界，以邊界構(gòu)建安全防護體系不再適用；默認內(nèi)部網(wǎng)絡(luò)為可信域，無法控制內(nèi)部人員越權(quán)訪問等安全問題；先連接后認證的應(yīng)用模式，不能有效規(guī)避包括0Day、APT等在內(nèi)的各種高級網(wǎng)絡(luò)攻擊。針對以上問題，可采用基于零信任的移動辦公身份認證及訪問控制技術(shù)，構(gòu)建移動辦公系統(tǒng)的新型安全防御體系。（2）提升移動辦公系統(tǒng)的抗網(wǎng)絡(luò)攻擊能力。通過對移動終端的兩次身份雙向認證、關(guān)閉端口隱身網(wǎng)絡(luò)資源和非法訪問不予回應(yīng)的安全設(shè)計，相對于利用訪問憑據(jù)訪問移動辦公系統(tǒng)的傳統(tǒng)方式，可有效杜絕利用端口掃描進行網(wǎng)絡(luò)攻擊，提升網(wǎng)絡(luò)安全防護能力。（3）增強移動辦公系統(tǒng)的業(yè)務(wù)及數(shù)據(jù)安全。基于移動終端的安全屬性、辦公系統(tǒng)的數(shù)據(jù)屬性和訪問主體屬性，對移動終端的信任值采取動態(tài)信任評估、動態(tài)授權(quán)，可對用戶進行精細化的授權(quán)管理，降低辦公系統(tǒng)業(yè)務(wù)及數(shù)據(jù)泄露風險，