移動終端網路安全技術

① 移動互聯網安全嗎

一直以來，互聯網信息安全的問題都是業內外關注的焦點，而移動互聯網的安全也是移動互聯網健康可持續發展的關鍵所在。

在移動互聯網環境下，由TCP/IP協議族脆弱性、終端操作系統安全漏洞、攻擊技術普及等缺陷所導致的傳統互聯網環境中的安全問題依然存在，同時，還體現出一些新的安全問題和需求。在網路安全方面，以LTE+、P2P技術等為代表的網路扁平化、分布式網路架構的發展，對建立基於分布式架構的可信網路提出了要求；在復雜的異構網路環境下，需要基於統一的鑒權控制體系確保用戶的嚴格接入控制、實現可靠的行為溯源能力；隨著帶寬的迅猛增長和協議類型的極大豐富，需要建立更加有效的流量管控能力，包括網路、業務語義監控和安全監控機制與能力。

在終端與業務安全方面，由於移動互聯網中用戶可以永久在線，加之智能終端日益普及，手機病毒、木馬等對終端的攻擊將更加顯著；在內容安全方面，非法、有害和垃圾信息的大量傳播嚴重污染了信息環境，干擾和妨礙了人們的信息利用。

② 國外研究了3G網路安全的哪些問題

第三代移動通信系統(3G)在2G的基礎上進行了改進，繼承了2G系統安全的優點，同時針對3G系統的新特性，定義了更加完善的安全特徵與鑒權服務。未來的移動通信系統除了能夠提供傳統的語音、數據、多媒體業務外，還應當能支持電子商務、電子支付、股票交易、互聯網業務等，個人智能終端將獲得廣泛使用，移動通信網路最終會演變成開放式的網路，能向用戶提供開放式的應用程序介面，以滿足用戶的個性化需求。因此，網路的開放性以及無線傳輸的特性，使安全問題將成為整個移動通信系統的核心問題之一。
3G系統的面臨的安全問題與以往的移動通信網路有本質的不同:3G上最重要的安全問題將是IP網路的安全和基於IP技術的應用的 安全。其中IP網不僅指承載網，更是指業務網;IP應用也不僅指網際網路瀏覽、下載、郵件等應用，也包括承載在IP協議之上的移動通信系統控制信令和 數據。
安全威脅產生的原因來自於網路協議和系統的弱點，攻擊者可以利用網路協議和系統的弱點非授權訪問和處理敏感數據，或是干擾、濫用網路服務，對用戶和網路資源造成損失。按照攻擊的物理位置，對移動通信系統的安全威脅可以分為無線鏈路的威脅、對服務網路的威脅和對移動終端的威脅。主要威脅方式有以下幾種:
(1)竊聽，即在無線鏈路或服務網內竊聽用戶數據、信令數據及控制數據;
(2)偽裝，即偽裝成網路單元截取用戶數據、信令數據及控制數據，偽終端欺騙網路獲取服務;
(3)流量分析，即主動或被動流量分析以獲取信息的時間、速率、長度、來源及目的地;
(4)破壞數據的完整性，即修改、插入、重放、刪除用戶數據或信令數據以破壞數據的完整性;
(5)拒絕服務，即在物理上或協議上干擾用戶數據、信令數據及控制數據在無線鏈路上的正確傳輸，以實現拒絕服務攻擊;
(6)否認，即用戶否認業務費用、業務數據來源及發送或接收到的其他用戶的數據，網路單元否認提供的網路服務;
(7)非授權訪問服務，即用戶濫用許可權獲取對非授權服務的訪問，服務網濫用許可權獲取對非授權服務的訪問;
(8)資源耗盡，即通過使網路服務過載耗盡網路資源，使合法用戶無法訪問。
(9) 隨著網路規模的不斷發展和網路新業務的應用，還會有新的攻擊類型出現。

③ 智能移動終端中信息安全都有哪些問題，需要哪些措施

一、移動終端安全威脅因素

（一）應用程序

移動終端中的應用程序，因其攻擊水平需求低，往往成為惡意攻擊者的首選目標。

（1）移動間諜應用程序。

「間諜軟體」會在使用者可視范圍內隱藏自身，載入到用戶的設備上，竊取使用者的簡訊、網站瀏覽記錄、通話記錄、位置信息等，並保持對用戶進行監聽和監視。使用用戶毫無察覺的方式，將竊取的數據傳給遠端伺服器。」間諜軟體」甚至可以監控設備環境，通過自毀方式躲避檢測。有些」間諜軟體」，比如近來被安全專家查出的 FinFisher 間諜程序，能夠從指定的應用程序（微信、Facebook 和一些國外主流的社交軟體）中竊取使用者的個人數據。

（2）銀行惡意應用程序。

一些銀行惡意軟體會以木馬的方式潛入設備終端，並以網路釣魚類似的方式，伺機竊取使用者敏感的銀行類信息。如今，移動支付的變革為用戶帶了更大的潛在風險。強大的移動終端使用戶能夠隨時隨地進行金融活動，這一變革某種程度上進一步吸引了新型致力於竊取交易信息和電子貨幣的惡意應用程序。

（3）淘汰掉的應用程序。

軟體更新一般會對現在版本的安全漏洞進行修復，相對於最新的應用程序版本，舊版的應用程序由於發布已久，其本身存在的安全漏洞就會被惡意攻擊者發現，惡意攻擊者會利用舊版本中的安全漏洞，對仍然使用舊版本的用戶進行攻擊，使用戶的隱私和應用程序的數據安全受到極大的威脅。

（二）操作系統平台

移動終端中的應用程序不具備調用硬體層面上的能力，應用程序均需要使用操作系統提供的使用終端物理資源的 API 介面，應用開發者使用開放的 API 介面開發應用程序，使用應用商店發布開發的應用程序，用戶通過應用商店下載和使用。如果一些敏感的 API（如相機、位置等）被開發者惡意利用，就會帶來隱私竊取、遠程式控制制等安全問題。Android 操作系統基於其代碼開源性，使得一些潛在安全漏洞能夠及時的主動發現，但其開放的應用程序分發模式，允許用戶安裝來自於官方應用市場以外的應用源的應用。

Android 開發者開發一款應用程序只需要開發者的簽名，相比iOS 系統平台開發的應用程序，iOS 不僅需要開發人員簽名，還需要蘋果伺服器的簽名，而得到蘋果官方的簽名，就必須有兩個月的審核期限，AppStore 還會限制每周上新的應用程序的數量。因此，iOS 提供給用戶的應用程序都是經過嚴格審查的，相較於 Android 的機制，iOS 會顯得更加有秩序和安全。

二、移動終端安全威脅的應對措施

（一）總是使用可信的數據網路

對於移動終端來說，可信的網路包括無線服務提供商的數據網路以及公司、居家和可信地點提供的 Wi-Fi 連接。這樣就可以確保用於進行數據傳輸的網路沒有安全威脅，也無法被攻擊者用來獲取所傳輸的敏感數據。實現設置和管理假冒的Wi-Fi 連接點比實現假冒的蜂窩數據連接容易很多。因此，使用由無線服務提供商提供的蜂窩數據連接能夠有效降低遭受攻擊的風險。

（二）使用可靠方式獲取應用程序

對於我們使用的移動終端，終端的操作系統都會帶有系統自身的應用商店，如蘋果系操作系統平台會帶有 AppStore；安卓操作系統平台一般會配有 GooglePlay 或一些設備提供廠商自己開發的應用商店，比如華為會帶有華為應用市場。使用設備提供廠商自帶的應用商店下載應用程序，會大大增強應用程序的源安全性。

（三）賦予應用程序最少的訪問許可權

當從應用市場中下載和安裝應用程序時，確保只給予應用程序運行所需的最少許可權。如果一個應用的許可權要求過度，用戶可以選擇不安裝該應用或者將該應用標記為可疑，不要輕易確認應用程序提及的訪問許可權。

④ 什麼是移動終端安全認證

就是可以在移動中使用的計算機設備的安全認證。

移動終端或者叫移動通信終端是指可以在移動中使用的計算機設備，廣義的講包括手機、筆記本、平板電腦、POS機甚至包括車載電腦。

但是大部分情況下是指手機或者具有多種應用功能的智能手機以及平板電腦。隨著網路和技術朝著越來越寬頻化的方向的發展，移動通信產業將走向真正的移動信息時代。

另一方面，隨著集成電路技術的飛速發展，移動終端的處理能力已經擁有了強大的處理能力，移動終端正在從簡單的通話工具變為一個綜合信息處理平台。這也給移動終端增加了更加寬廣的發展空間。

移動終端作為簡單通信設備伴隨移動通信發展已有幾十年的歷史。

自2007年開始，智能化引發了移動終端基因突變，從根本上改變了終端作為移動網路末梢的傳統定位。

移動智能終端幾乎在一瞬之間轉變為互聯網業務的關鍵入口和主要創新平台，新型媒體、電子商務和信息服務平台，互聯網資源、移動網路資源與環境交互資源的最重要樞紐。

其操作系統和處理器晶元甚至成為當今整個ICT產業的戰略制高點。移動智能終端引發的顛覆性變革揭開了移動互聯網產業發展的序幕，開啟了一個新的技術產業周期。

隨著移動智能終端的持續發展，其影響力將比肩收音機、電視和互聯網（PC），成為人類歷史上第4個滲透廣泛、普及迅速、影響巨大、深入至人類社會生活方方面面的終端產品。

⑤ 網路安全未來發展怎麼樣

1、目前這個行業還偏系統集成和企業IT服務行業，這個行業主要商業銷售靠關系，在公司老闆和銷售眼裡，你一個做技術交付的無論多牛逼都和建築工人沒啥區別。千萬不要以為自己是建築師。因為根本沒你真正做設計的份。

2、我前一段時間走訪一個業內號稱還是靠技術和產品打市場的優秀企業，對方在聊天中不經意透漏他們的紅藍對抗團隊因為太過技術范，整個團隊被整編了一次，你看這還是號稱靠技術和產品打天下的先進頭部企業，你要是在那些明確的項目集成型服務企業，那你基本連P都不是。
3、我估計很多人會說業內號稱攻防技術服務最牛的某顏色公司，其實那家公司也大批招安全解決方案架構師，明白了吧，安全解決方案架構師還是解決方案架構師，說白了就是做IT集成解決方案業務。解決方案架構師又稱售前，准確的講這個角色根本不是做技術架構的，而是做銷售方案的。這個職業角色無論從過程還是結果背後的主要因素都不是專業安全技術，而是攢PPT吹牛放炮這一類的業務技能。(吹牛放炮這詞是售前自己描述自己工作的用詞，不是我提出的)，有志於從事安全技術方向的同學，千萬不要走這條路，這是偏銷售的套路，只能讓你陷進IT集成這個爛坑行業。因為在這個行業，所謂的解決方案架構和技術研發沒啥關系，售前攢PPT打完單就完了，根本不管後面研發怎麼交付的，售前的PPT架構和研發的具體研發技術架構完全沒關系，研發到現場再根據交付能力重新攢一個易於交付的架構把甲方敷衍過去。
4、什麼時候會吃香？當甲方安全技術服務要求高了以後，你的技術水平會在市場上扮演重要位置的時候，可能會吃香，但是我覺得那估計得等，因為短期來看安全行業屬於傳統企業IT服務軟體集成產業，這是一個傳統行業，更說明白一點：一個本身發展就處於二線的行業，我覺得第二條裡面那家公司比大多數傳統公司先進可能5年左右，他們還那個樣子，你想靠網路安全技術出頭估計得等10年之後了。
5、接觸到的即便如互聯網大廠的雲安全BU對外輸出的主力服務也是面向等保合規、護網漏掃這種說實話真的很無聊的需求。
6、這個行業目前的大型安全項目到底是個什麼思路模式？銷售和采購借用流行的安全技術噱頭概念打造一些所謂的「高精尖」項目，為什麼還要"高精尖", 為了向上面申請大筆的資金預算，投下來的資金預算當然不可能真的去做高精尖，因為那種前沿的東西對這個行業的絕大多數廠商來講：根本做不出來。於是乎，就是找上一堆小廠商，一起攢出來一個湊活的東西最後應付交付，然後大家分錢。當然技術是分不到什麼的，因為整個過程其實和技術沒啥大的關系，就像房地產項目分錢和建築工人沒啥大關系一樣。這種項目都是一般偏體制內之類機構的項目，分的是什麼錢大家就知道了吧。
7、長期看，隨著國家和行業的發展，也許15-20年後這個行業會越來越正規，所以剛畢業的小孩如果不介意，也可以進入行業苦逼奮斗一把。
8、上面都太現實太負能量了，下面來點正能量的，總得給新人們留點念想，我估計有不少人關注這個只是為了有份長期吃飯的職業而已，我下面談談我個人覺得比較靠譜的方向，因為有不少這個行業的從業者都已經給出網路安全服務的一些崗位工種，我根據CISSP後的三個高級認證方向：安全攻防、安全架構、安全管理三個方向看，之前很多從業者給出的工種偏安全攻防的傳統安全服務，不過我個人覺得未來幾年發展的重點方向是安全架構，系統安全架構加固和安全系統架構都是信息安全在被國家重視後可能逐漸會變得重要的高端崗位，這種崗位需要從業者對系統研發架構和安全攻防兩個領域都有一定深度的浸淫，並且對威脅建模、防禦建模、安全架構、安全評估等領域都有深度的理解和認知。比如現在比較流行的雲安全、IoT安全工作方向，這些領域逐漸都對系統安全工作提出新的挑戰。為什麼說這些，如果有人像第7條那樣想進入行業奮斗一把，總得給人家一個方向和念想。有人可能會問:這些新方向是不是證明行業已經進入正軌了，新方向和那些噱頭概念一樣，都有點偏市場，有點新東西，但真正落的時候，安全本身並不扎實。市場基本模式不變，有再多的新玩意也沒多大意義。組織安全管理這個東西最後說一下，這種職位目前也已經出現不少，不過無論從IT行業的發展狀況、還是安全行業的發展狀況，甚至還有整個社會的浮躁的工程職業文化來講，真正有組織安全管理CSO這個層面需求的企業(不僅僅設崗位那麼簡單)和稱職的就業者都非常稀少。所以入行的同學如果把攻防、架構都做好了，也許N多年後也能到一家信息安全敏感且不差錢的甲方機構當個貨真價實的CSO首席安全官(Chief Security Officer)。
9、在這個行業發展要選擇什麼樣的公司？簡單一點講：有錢有人有需求；有錢：安全屬於支持業務，沒錢的公司等於沒主力業務，要安全也沒啥用。有人：主要是指要有專業的領導和團隊技術文化氛圍，因為沒有這個前提，安全基本就是在過家家，火車跑得快全憑城車頭帶，你在專業工作上去驅動領導是個很麻煩的事情，況且你陪一個不專業的安全主管玩安全能有啥前途？有需求：公司主營業務必須對信息安全有一定緊迫程度的業務需求，不然肯定不會有錢，相關崗位角色人設也是擺設。國內安全投入最認真的地方可能是幾大幣所，會有真金白銀的損失。

⑥ WPKI在國內外的最新發展狀況

WPKI技術的發展趨勢及應用展望
[ 2005-9-20 8:14:00 | By: hztz ]

孫秋菊

摘要：隨著移動通信市場的不斷增長，無線通信領域的安全也日益受到重視。本文簡單介紹了一種比較先進的無線安全技術wpki，著重分析了它的應用領域和發展趨勢，同時對wpki技術的發展存在的問題也做了相應的論述。

關鍵字：無線安全wpki密鑰 數字證書

前言

隨著移動通信和互聯網技術的發展，以及各行各業對it技術日漸多樣化的需求增多，用戶希望能夠無時無刻、在任何地點均能上網，因而無線通信技術在銀行、證券、商務、貿易、辦公、教育等各方面的需求越來越多，無線通信領域的安全問題也因此引起了廣泛的重視。

據idc預測，在2000年至2005年期間，全球的信息安全服務市場將增長三倍之多，達到210億美元，綜合年增長率接近25.5%。idc信息安全服務調查項目的高級分析師allancarey說：「公司對無線接入服務的需要越來越大，是目前對先進的信息安全服務需求的驅動因素之一。要知道，針對網路系統安全的技術始終與破壞網路系統安全的技術發展保持同步。」

無線網路安全技術在移動商務中也起著非常重要的作用，它守護著商家和客戶的重要機密，維護著商務系統的信譽和財產，同時為服務方和被服務方提供極大的方便，因此，只有採取了必要和恰當的技術手段才能充分提高移動商務的可用性和可推廣性。

目前，國際上安全加密的研究主要以有線網路為主，涉及無線網路的安全技術研究屈指可數，國內的研究與應用也正處於探索之中。為了適應無線網路認證和加密的需要，wpki（）技術即無線公開密鑰體系漸漸發展起來，並逐漸在無線數據業務中得到實際應用。

一、wpki的概念

無線網路的安全性同有線網路一樣，大致可以粗略地分為四個相互交織的部分：保密、鑒別、抗否認和完整性控制。保密是指保護信息在存儲和傳輸的過程中的機密性，防止未授權者訪問；鑒別主要指在揭示敏感信息或進行事務處理前必須先確認對方的身份；抗否認性要求能夠保證信息發送方不能否認已發送的信息，這與簽名有關；完整性控制要求能夠保證收到的信息的確是最初的原始數據，而沒有被第三者篡改或偽造。

目前，國內外的一些組織和公司正在按照上述安全性的需求努力地研究和開發無線網路安全的技術，隨著無線網路安全技術的日益發展和逐步成熟，wpki技術在無線網路安全領域得到了很多國家的高度重視，其應用也日趨廣泛。

這里首先簡單介紹一下pki的概念，pki（publickeyinfrastructure）即公開密鑰體系，簡單地說，pki技術就是利用公鑰理論和技術建立的提供信息安全服務的基礎設施，它是國際公認的互聯網電子商務的安全認證機制，它利用現代密碼學中的公鑰密碼技術在開放的internet網路環境中提供數據加密以及數字簽名服務的統一的技術框架。公鑰是目前應用最廣泛的一種加密體制，在這一體系中，加密密鑰與解密密鑰各不相同，發送信息的人利用接收者的公鑰發送加密信息，接收者再利用自己專有的私鑰進行解密。這種方式既保證了信息的機密性，又能保證信息具有不可抵賴性。目前，公鑰體系廣泛地用於ca認證、數字簽名和密鑰交換等領域。

wpki即「無線公開密鑰體系」，它是將互聯網電子商務中pki（publickeyinfrastrcture）安全機制引入到無線網路環境中的一套遵循既定標準的密鑰及證書管理平台體系，用它來管理在移動網路環境中使用的公開密鑰和數字證書，有效建立安全和值得信賴的無線網路環境。

wpki並不是一個全新的pki標准，它是傳統的pki技術應用於無線環境的優化擴展。它採用了優化的ecc橢圓曲線加密和壓縮的x.509數字證書。它同樣採用證書管理公鑰，通過第三方的可信任機構——認證中心(ca)驗證用戶的身份，從而實現信息的安全傳輸。

二、wpki技術及發展現狀

wpki系統的主要功能是為基於移動網路的各類移動終端用戶、以及移動數據服務提供商的業務系統提供基於wpki體系的各種安全服務，其系統架構圖如下：

wpki安全體系總體架構圖

無線終端通過注冊機構向證書中心申請數字證書，證書中心經過審核用戶身份後簽發數字證書給用戶，用戶將證書、私鑰存放在uim卡中，無線終端在無線網路上進行電子商務操作時利用數字證書保證端對端的安全。服務提供商則通過驗證用戶證書確定用戶身份，並提供給用戶相應的服務，從而實現電子商務在無線網路上的安全運行。

類似於pki系統的建設，一個完整的wpki系統必須具有權威證書簽發機關(ca)、數字證書庫、密鑰備份及恢復系統、證書作廢系統、應用介面等基本構成部分,其構建也將圍繞著這五大系統進行。

證書簽發機關（ca）：ca即數字證書的申請及簽發機關，ca必須具備權威性的特徵。

數字證書庫：用於存儲已簽發的數字證書及公鑰，用戶可由此獲得所需的其他用戶的證書及公鑰。

密鑰備份及恢復系統：為避免用戶丟失解密數據的密鑰，wpki提供備份與恢復密鑰的機制。但密鑰的備份與恢復必須由可信的機構來完成，而且，密鑰備份與恢復只能針對解密密鑰，簽名私鑰為確保其唯一性而不能夠作備份。

證書作廢系統：證書作廢處理系統是wpki的一個必備的組件。與日常生活中的各種身份證件一樣,證書有效期以內也可能需要作廢，如是密鑰介質丟失或用戶身份變更等。

應用介面：一個完整的wpki必須提供良好的應用介面系統，使各種各樣的應用能夠以安全、一致、可信的方式與wpki交互，確保安全網路環境的完整性和易用性。

通常來說，ca做為數字證書的簽發機關，它是wpki系統的核心。數字證書，又叫「數字身份證」、「數字id」，是由認證中心發放並經認證中心數字簽名的，包含公開密鑰擁有者以及公開密鑰相關信息的一種電子文件，可以用來證明數字證書持有者的真實身份。它採用公開密鑰體制，即利用一對互相匹配的密鑰進行加密、解密。當發送一份保密文件時，發送方使用接收方的公鑰對數據加密，而接收方則使用自己的私鑰解密，這樣信息就可以安全無誤地到達目的地了。通過使用數字證書，能夠保證數據傳輸的真實性、機密性，數據的完整性，身份認證以及交易的不可抵賴性。

目前，國際上很多國家都在研究wpki技術，美國、日本和歐洲各國都已發展出自己的信息安全技術和產業，wpki領域的主流體系有如下幾種：

wap forum制定的wap pki；

日本ntt的i-mode的安全體系；

美國palm公司的安全體系；

這些組織的wpki體系均具備自己完整的協議體系，並且已經在無線數據業務中得到實際應用,國內的一些廠商也正在著手wpki技術的研究和開發，目前也取得了一定程度的進展。

三、wpki技術的應用

隨著移動通信和互聯網逐漸成為信息產業的兩大支柱，無線通信技術在銀行、證券、商務、貿易、辦公、教育等各方面的需求越來越多,無線通信的安全性也顯得日益重要，因而wpki技術也漸漸發展起來，它為解決移動環境下的安全認證和支付奠定了基礎。

1、無線存取電子郵件

由於商業活動信息交換的比較頻繁而且實時性較強，商業人士可能會隨時用電子郵件交換一些秘密的或是有商業價值的信息，因而用手機無線上網收發電子郵件就成為一種易用、高效的信息交換工具，這同時引出了一些安全方面的問題，例如，消息和附件可以在不為通信雙方所知的情況下被讀取、篡改或截掉，同時，發信者的身份也會被人偽造，可能造成不可挽回的經濟損失。

在遵從可以發送加密和有簽名郵件的安全電子郵件協議的前提下，採用wpki技術可以解決這一問題。當用手機無線上網發送電子郵件給一位或多位接收人時，發送者可以先將郵件加密、簽名。這樣，只有指定的接收人才可以在ca中心的伺服器上取得公鑰並開啟郵件，即使該郵件被其他人截獲，這些人也會因為得不到公鑰而無法閱讀郵件。

2、在移動商務中的應用

在移動商務中，如何實現在線、實時、安全的支付是技術實施的核心，尤其在移動環境下，需要准確地識別人員身份、判別帳號真偽，並迅速、安全地實現資金轉帳處理。wpki技術在移動商務中有如下方面的應用：

1）網上銀行

用戶可以用移動設備通過網上銀行輕松實現電話費繳納、商場購物、繳泊車費、自動售貨機買飲料、公交車付費、投注彩票等手機支付服務。如果在網上銀行系統中採用了wpki和數字證書認證技術，不法分子即使竊取了卡號和密碼，也無法在網上銀行交易中實現詐騙。從世界范圍看，數字證書技術已經被廣泛地應用在國內外網上銀行系統中，至今尚未發現一例由於數字證書被攻破而使網上銀行詐騙得逞的案件。網上銀行的應用主要有如下兩種：

無線電子支付：用戶可以利用手機完成實時的支付，在付款過程中用戶通過認證後輸入相應的銀行卡帳號，支付系統會從遠程帳號上自動減掉這筆賬目，主要處理交易完成之後回傳給用戶相應信息並加以確認。

無線電子轉帳：用戶可以通過手機連接到銀行，執行登錄操作後進行轉帳交易。此時，銀行的相應伺服器必須確認用戶的轉帳交易資料，它會要求用戶端做電子簽章的確認，也會發給用戶一份電子收據。

2）網上證券和網上繳稅

同樣，通過移動終端設備進行無線網上證券交易和網上繳稅也給用戶帶來了極大便利，減少了操作時間，提高了辦事效率，但是也面臨著安全性和可靠性的問題。類似於網上銀行系統的實現，採用wpki體系做為安全技術框架，移動用戶可以通過使用個人擁有的數字證書，使信息獲得更有效的、端到端的安全保障。

3、其他應用

wpki技術在其他領域內也有廣泛的應用，以下是幾個簡單的例子：

在指紋識別系統方面，公安局可以使用附有指紋識別與網路瀏覽器的pda裝置，運用無線上網方式，連線至已經建立好的指紋、相片甚至臉型、聲音特徵等資料庫進行即時的線上查詢與對比，這些資料採用wpki體系加密後再傳輸於pda與資料庫之間，可以達到安全保密的效果。

公安部門執行拘留、逮捕等重大行動之前，法律規定必須有主管領導的簽字審批。但在現實工作中，領導工作流動性大，有時難以找到，如果領導具有移動終端，實時通過無線查詢得到需要審批的工作內容，在簽署審批意見後立即發送到後台業務系統中，wpki機制能夠保證領導審批內容傳輸過程中的保密和完整，並從技術上保障領導簽署審批意見後不可否認。

為了及時掌握企業產品的銷售情況，許多企業經常派遣銷售人員去做市場調研，收集本企業產品的銷售和庫存信息以及競爭對手的活動，以便及時通知企業補給缺貨或者調整定價。為保證消息的及時可靠，銷售人員可以使用無線移動終端設備，將相關信息以加密方式傳回企業內部，企業可以實時更新各種商業信息和工作流程。

在小型超市及物流倉庫的盤點方面，工廠倉庫的盤點人員進行完盤點後，可以通過無線網路直接將相應資料以加密的方式傳回到相應部門，同時可以進行數字簽名，保證的信息的安全和可靠性。

四、wpki技術的發展趨勢

基於國外wpki技術的發展經驗和國內目前的狀況，我們認為wpki技術未來的發展有如下趨勢：

1、標准化

隨著wpki技術的逐漸普及，為了更好地為移動用戶提供優質的服務，提高wpki的運行規模和效率，推廣wpki產品的應用，不同廠商、不同國家和地區的wpki產品需要互連互通，並且能夠進行互操作，這要求它們支持相同的標准，如證書格式及介面規范等，因此標准化是將來wpki發展的必然趨勢。

2、國際化

隨著移動商務的深入發展和中國加入wto，中國經濟與世界經濟的聯系將越來越緊密，為滿足移動商務的國際化需求，必然要求國內的ca中心與國際性的ca公司進行交叉認證。

3、商業化

網路並非一個完全可信的交易環境，目前我國相關的法律法規還很不健全，人與人之間不能建立信任，政府也不能出面證明，所以ca認證既不同於管理，也不同於法律，而更接近於一種契約，這種契約形式的關系更適應於商業化運作。可以預計，目前具有濃厚政府色彩的ca中心也將逐步從政府中剝離出來，採取商業化運作。

4、集中化

目前國內建設的多個ca中心幾乎都有明顯的局部特徵和探索性質，規模較小而且簡單重復，難以滿足社會化服務的要求。在自身的權威性要求下，ca中心必然需要運作規范，技術、資金實力雄厚，而且能適應國際化趨勢的要求。因此，未來幾年中，建設集中化的大型ca中心已是必然。

五、wpki技術的發展和應用存在的問題

wpki技術雖然有著廣泛的應用前景，但在技術實現和應用方面仍面臨著一些問題：

1、相對於有線終端，無線終端的資源有限，它處理能力低，存儲能力小，需要盡量減少證書的數據長度和處理難度。

2、無線網路和有線網路的通信模式不同，由於wpki證書是ietfpkix證書的一個分支，還需要考慮wpki與標准pki之間的互通性。

3、無線信道資源短缺，帶寬成本高，時延長，連接可靠性較低，因而技術實現上需要保證各項安全操作的速度，這是wpki技術成功的關鍵之一。

4、為了能夠吸引更多的人利用wpki技術從事移動商務等活動，必須提供方便可靠和具備多種功能的移動設備，因此，必須改進移動終端的設計，以滿足技術和應用的需要。

5、就目前的應用情況來看，wpki技術的應用更多的集中於獲取信息、訂票、炒股等個人應用，缺乏更多、更廣泛、更具吸引力的應用，這無疑會對wpki技術和應用的發展起到一定的制約作用。

6、我國沒有正式頒布有關數字簽名、電子文檔及認證中心等方面的法律法規，使得數字簽名得不到法律的保護，這在一定程度上影響了人們對wpki的信任，同時也會影響到wpki技術的應用和普及。

小結

目前，wpki正處於進行產品開發和大力培育市場的時期，國內外對wpki技術的研究與應用正處於不斷的探索之中，由於一些條件和因素的限制，wpki技術的進展相對比較緩慢，離真正的普及應用可能還會有一段相當長的距離。

展望未來，隨著手機普及率的升高和移動商務服務的多樣化，作為無線網路通信中交易環境的守護神，wpki的市場應用會有很大的發展潛力，其技術會進一步成熟和完善，它必將成為無線通信安全領域研究討論的熱點。

⑦ 4G通信技術的網路安全問題及對策論文

4G通信技術的網路安全問題及對策論文

一、4G通信技術中存在的網路安全問題

1、由於缺少改造更新通信的基本設施產生的網路安全問題。如果要讓4G通信技術真正的運用到日常的生產生活中，就必須更新原有的基本通信設施。但現在3G通信的無線基本設備幾乎覆蓋著地球的大多數地方，如果要對原有的通信設備進行改造更新，那必然需要消耗大量的人力財力以及漫長的時間。

2、由於4G通信技術的不完善產生的網路安全問題。4G通信技術的不完善主要表現在容量被限制與技術上的缺陷。首先是容量被限制。在理論上，4G通信能夠達到的速率不低於20Mbit/s，是3G通信手段能夠達到的速率的10倍。但在實際操作中很難將4G通信系統的容量擴大到理想狀態。其次就是技術上的缺陷。在4G通信的技術層面進行研究，4G通信將在數據的傳輸上高出目前的3G通信一個層次，雖然理論上能夠達到，但是在實際操作中卻存在很大的困難。另外，4G通信系統所需要的網路架構極其復雜，解決這一問題勢必需要很長一段時間。

3、由於不斷變化的網路攻擊手段產生的網路安全問題。隨著4G通信系統的逐漸普及，我們將面臨更大的安全威脅。相較於以前的網路系統，4G通信系統將具備更大的存儲與計算能力，相應的該系統也就更容易感染一些移動終端。正式因為這個原因，導致4G通信網路的安全遭受到很大的威脅，比如來自手機病毒的威脅。一般來說，手機病毒可以分為簡訊類病毒、炸彈類病毒、蠕蟲累病毒以及木馬類病毒。

4、由於4G通信技術的相關配套措施不完善產生的網路安全問題。首先是服務區域不完善的問題。雖然用戶們都希望自己的終端能夠運用無線網路，但是因為終端的天線尺寸或者其自身功率的原因，實現流暢的上網還是存在一些問題的。其次就是4G通信的收費不是太合理。目前，3G無線網路收費的標準是依據用戶所使用的流量的多少與實踐的'長短進行計費的，如果依舊按照現在的收費標准進行收費，那麼絕大多數的4G用戶將很難承受如此高昂的上網費用。所以現今必須謹慎認真的研發出一套相對合理的收費標准。

二、關於4G通信技術的網路安全問題的對策

1、構建科學合理的4G通信系統的安全結構的模型。在該模型中，應該能夠基本的體現出網路通信系統的各種安全問題，以及相應的解決方案等。

2、轉變現行的密碼體制。在4G通信系統中，面對各不相同的服務類別以及特徵，最好應轉變現行的密碼體制，即也就是私鑰性質的密碼體制改變成為混合性質的密碼體制，然後創建相應的認證安全的體系。

3、將4G通信系統的安全體系做到透明化。在未來的應用中，4G通信系統的安全核心應該具備相對獨立的設備，能夠較為獨立的完成對終端與網路端的識別與加密，通信系統內部的工作人員應該能夠完全看到該過程的進行。

4、應用新興的密碼技術。隨著科技的不斷發展，相應的終端處理數據的能力將越來越強，因此應該在4G通信網路系統中運用合適的新興的密碼技術。這些新興的密碼技術能夠在很大程度上加強系統抵抗惡意攻擊的能力。

5、保證用戶可以參與到安全措施的制定中來。用戶在通過4G通信系統進行上網的過程中，應該有權自行設定安全密碼的級別，相應的那些關於安全的參數應該不僅可以由系統進行默認，而且用戶也可以自行進行設定。

6、使4G通信網路與互聯網能夠相互契合。4G網路系統的安全問題大致可以歸分為移動方面的安全問題與固網方面的安全問題。在關於安全的概念上，固網與計算機的網路大致相同，所以那些針對計算機的網路問題以亦基本在固網上得到了相應的體現，相應的在固網上遇到的那些網路安全問題可以依照計算機的方式進行解決。

三、結語

雖然目前我們國家的某家通訊公司已經開展4G通信業務，但是我們應該意識到4G通信技術發展的還不夠完善，在很多方面還存在缺陷。在實驗研究階段，我們應該對那些可能會出現的或者已經初露端倪的威脅採取相應的保護措施，同時，我們亦應該加強鞏固現有的安全防範措施，以此保證網路系統的正常運行。只有這樣，才能促進4G通信技術早日應用到人們的日常生活中，為人們的工作生活帶來更大的便利。

作者：張雯雯 單位：中國聯合網路通信有限公司浙江省分公司

⑧ 求讀書筆記：關於威脅移動終端設備安全以及如何保證移動終端在數據傳輸過程中的安全性

我的《信息保衛戰》讀書筆記：終端安全
終端安全是企業信息技術安全體系建設的服務對象和密集風險發生部分。 我們面臨著多方面的挑戰，需要釆用不同類型，不同層次，不同級別的安全措 施，實現終端安全。
一、挑戰和威脅
1. 員工安全意識薄弱，企業安全策略難以實施，網路病毒泛濫
病毒、蠕蟲和間諜軟體等網路安全威脅損害客戶利益並造成大量金錢和生 產率的損失。與此同時，移動設備的普及進一步加劇了威脅。移動用戶能夠從 家裡或公共熱點連接互聯網或辦公室網路，常在無意中輕易地感染病毒並將其 帶進企業環境，進而感染網路。
據2010 CSI/FBI安全報告稱，雖然安全技術多年來一直在發展，且安全技 術的實施更是耗資數百萬美元，但病毒、蠕蟲和其他形式的惡意軟體仍然是各 機構現在面臨的主要問題。機構每年遭遇的大量安全事故造成系統中斷、收入 損失、數據損壞或毀壞以及生產率降低等問題，給機構帶來了巨大的經濟影響。
為了解決這些問題，很多企業都制定了企業的終端安全策略，規定終端必 須安裝殺毒軟體，以及及時更新病毒庫；終端必須及時安裝系統安全補丁；終 端必須設置強口令等。但是由於員工安全意識薄弱，企業的安全策略難以實施， 形同虛設，網路安全問題依然嚴重。
2. 非授權用戶接入網路，重要信息泄露
非授權接入包括以下兩個部分：
(1) 來自外部的非法用戶，利用企業管理的漏洞，使用PC接入交換機， 獲得網路訪問的許可權；然後冒用合法用戶的口令以合法身份登錄網站後，查看 機密信息，修改信息內容及破壞應用系統的運行。
(2) 來自內部的合法用戶，隨意訪問網路中的關鍵資源，獲取關鍵信息用 於非法的目的。
目前，企業使用的區域網是以乙太網為基礎的網路架構，只要插入網路， 就能夠自由地訪問整個網路。因非法接入和非授權訪問導致企業業務系統的破 壞以及關鍵信息資產的泄露，已經成為了企業需要解決的重要風險。
3. 網路資源的不合理使用，工作效率下降，存在違反法律法規的風險
根據IDC最新數據報導，企事業員工平均每天有超過50%的上班時間用來 在線聊天，瀏覽娛樂、色情、賭博網站，或處理個人事務；員工從互聯網下載 各種信息，而在那些用於下載信息的時間中，62%用於軟體下載，11%用於下 載音樂，只有25%用於下載與寫報告和文件相關的資料。
在國內，法律規定了很多網站是非法的，如有色情內容的、與反政府相關 的、與迷信和犯罪相關的等。使用寬頻接入互聯網後，企事業內部網路某種程 度上成了一種「公共」上網場所，很多與法律相違背的行為都有可能發生在內 部網路中。這些事情難以追查，給企業帶來了法律法規方面的風險。
二、防護措施
目前，終端數據管理存在的問題主要表現在：數據管理工作難以形成制度 化，數據丟失現象時常發生；數據分散在不同的機器、不同的應用上，管理分 散，安全得不到保障；難以實現資料庫數據的高效在線備份；存儲媒體管理困 難，歷史數據保留困難。
為此，我們從以下幾個方面採取措施實現終端安全。
1. 數據備份
隨著計算機數據系統建設的深入，數據變得越來越舉足輕重，如何有效地 管理數據系統日益成為保障系統正常運行的關鍵環節。然而，數據系統上的數 據格式不一，物理位置分布廣泛，應用分散，數據量大，造成了數據難以有效 的管理，這給日後的工作帶來諸多隱患。因此，建立一套制度化的數據備份系 統有著非常重要的意義。
數據備份是指通過在數據系統中選定一台機器作為數據備份的管理服務 器，在其他機器上安裝客戶端軟體，從而將整個數據系統的數據自動備份到與 備份伺服器相連的儲存設備上，並在備份伺服器上為各個備份客戶端建立相應 的備份數據的索引表，利用索引表自動驅動存儲介質來實現數據的自動恢復。 若有意外事件發生，若系統崩潰、非法操作等，可利用數據備份系統進行恢復。 從可靠性角度考慮，備份數量最好大於等於2。
1) 數據備份的主要內容
(1) 跨平台數據備份管理：要支持各種操作系統和資料庫系統；
(2) 備份的安全性與可靠性：雙重備份保護系統，確保備份數據萬無一失；
(3) 自動化排程/智能化報警：通過Mail/Broadcasting/Log產生報警；
(4) 數據災難防治與恢復：提供指定目錄/單個文件數據恢復。
2) 數據備份方案
每個計算環境的規模、體系結構、客戶機平台和它支持的應用軟體都各不 相同，其存儲管理需求也會有所區別，所以要選擇最適合自身環境的解決方案。 目前雖然沒有統一的標准，但至少要具有以下功能：集成的客戶機代理支持、 廣泛的存儲設備支持、高級介質管理、高級日程安排、數據完整性保證機制、 資料庫保護。比如，華為公司的VIS數據容災解決方案、HDP數據連續性保護 方案，HDS的TrueCopy方案，IBM的SVC方案等。
2. 全面可靠的防病毒體系
計算機病毒的防治要從防毒、查毒、解毒三方面來進行，系統對於計算機病 毒的實際防治能力和效果也要從防毒能力、查毒能力和解毒能力三方面來評判。
由於企業數據系統環境非常復雜，它擁有不同的系統和應用。因此，對於 整個企業數據系統病毒的防治，要兼顧到各個環節，否則有某些環節存在問題， 則很可能造成整體防治的失敗。因而，對於反病毒軟體來說，需要在技術上做 得面面俱到，才能實現全面防毒。
由於數據系統病毒與單機病毒在本質上是相同的，都是人為編制的計算機 程序，因此反病毒的原理是一樣的，但是由於數據系統具有的特殊復雜性，使 得對數據系統反病毒的要求不僅是防毒、查毒、殺毒，而且還要求做到與系統 的無縫鏈接。因為，這項技術是影響軟體運行效率、全面查殺病毒的關鍵所在。 但是要做到無縫鏈接，必須充分掌握系統的底層協議和介面規范。
隨著當代病毒技術的發展，病毒已經能夠緊密地嵌入操作系統的深層，甚 至是內核之中。這種深層次的嵌入，為徹底殺除病毒造成了極大的困難，如果 不能確保在病毒被殺除的同時不破壞操作系統本身，那麼，使用這種反病毒軟 件也許會出現事與願違的嚴重後果。無縫鏈接技術可以保證反病毒模塊從底層 內核與各種操作系統、數據系統、硬體、應用環境密切協調，確保在病毒入侵 時，反病毒操作不會傷及操作系統內核，同時又能確保對來犯病毒的防殺。
VxD是微軟專門為Windows制定的設備驅動程序介面規范。簡而言之， VxD程序有點類似於DOS中的設備驅動程序，它是專門用於管理系統所載入 的各種設備。VxD不僅適用於硬體設備，而且由於它具有比其他類型應用程序 更高的優先順序，更靠近系統底層資源，因此，在Windows操作系統下，反病毒 技術就需要利用VxD機制才有可能全面、徹底地控制系統資源，並在病毒入侵 時及時報警。而且，VxD技術與TSR技術有很大的不同，佔用極少的內存，對 系統性能影響極小。
由於病毒具備隱蔽性，因此它會在不知不覺中潛入你的機器。如果不能抵 御這種隱蔽性，那麼反病毒軟體就談不上防毒功能了。實時反病毒軟體作為一 個任務，對進出計算機系統的數據進行監控，能夠保證系統不受病毒侵害。同 時，用戶的其他應用程序可作為其他任務在系統中並行運行，與實時反病毒任 務毫不沖突。因此，在Windows環境下，如果不能實現實時反病毒，那麼也將 會為病毒入侵埋下隱患。針對這一特性，需要採取實時反病毒技術，保證在計 算機系統的整個工作過程中，能夠隨時防止病毒從外界入侵系統，從而全面提 高計算機系統的整體防護水平。
當前，大多數光碟上存放的文件和數據系統上傳輸的文件都是以壓縮形式 存放的，而且情況很復雜。現行通用的壓縮格式較多，有的壓縮工具還將壓縮 文件打包成一個擴展名為「.exe」的「自解壓」可執行文件，這種自解壓文件 可脫離壓縮工具直接運行。對於這些壓縮文件存在的復雜情況，如果反病毒軟 件不能准確判斷，或判斷片面，那就不可避免地會留有查殺病毒的「死角」，為 病毒防治造成隱患。可通過全面掌握通用壓縮演算法和軟體生產廠商自定義的壓 縮演算法，深入分析壓縮文件的數據內容，而非採用簡單地檢查擴展文件名的方 法，實現對所有壓縮文件的查毒殺毒功能。
對於數據系統病毒的防治來說，反病毒軟體要能夠做到全方位的防護，才 能對病毒做到密而不漏的查殺。對於數據系統病毒，除了對軟盤、光碟等病毒 感染最普遍的媒介具備保護功能外，對於更為隱性的企業數據系統傳播途徑， 更應該把好關口。
當前，公司之間以及人與人之間電子通信方式的應用更為廣泛。但是，隨 著這種數據交換的增多，越來越多的病毒隱藏在郵件附件和資料庫文件中進行
傳播擴散。因此，反病毒軟體應該對這一病毒傳播通道具備有效控制的功能。
伴隨數據系統的發展，在下載文件時，被感染病毒的機率正在呈指數級增 長。對這一傳播更為廣泛的病毒源，需要在下載文件中的病毒感染機器之前，
自動將之檢測出來並給予清除，對壓縮文件同樣有效。
簡言之，要綜合採用數字免疫系統、監控病毒源技術、主動內核技術、「分 布式處理」技術、安全網管技術等措施，提高系統的抗病毒能力。
3. 安全措施之防火牆及數據加密
所謂防火牆就是一個把互聯網與內部網隔開的屏障。防火牆有兩類，即標 准防火牆和雙家M關。隨著防火牆技術的進步，在雙家N關的基礎上又演化出 兩種防火牆配置，一種是隱蔽主機網關，另一種是隱蔽智能網關（隱蔽子網）。 隱蔽主機網關是當前一種常見的防火牆配置。顧名思義，這種配置一方面將路 由器進行隱蔽，另一方面在互聯N和內部N之間安裝堡壘主機。堡壘主機裝在 內部網上，通過路由器的配置，使該堡壘主機成為內部網與互聯網進行通信的唯 一系統。U前技術最為復雜而且安全級別最高的防火牆是隱蔽智能網關，它將 H關隱藏在公共系統之後使其免遭直接攻擊。隱蔽智能網關提供了對互聯網服 務進行幾乎透明的訪問，同時阻止了外部未授權訪問者對專用數據系統的非法 訪問。一般來說，這種防火牆是最不容易被破壞的。
與防火牆配合使用的安全技術還有數據加密技術，是為提高信息系統及數 據的安全性和保密性，防止秘密數據被外部破析所採用的主要技術手段之一。 隨著信息技術的發展，數據系統安全與信息保密日益引起人們的關注。目前各 國除了從法律上、管理上加強數據的安全保護外，從技術上分別在軟體和硬體 兩方面採取措施，推動著數據加密技術和物理防範技術的不斷發展。按作用不 N,數據加密技術主要分為數據傳輸、數據存儲、數據完整性的鑒別以及密鑰 管理技術四種。
4. 智能卡實施
與數據加密技術緊密相關的另一項技術則是智能卡技術。所謂智能卡就是 密鑰的一種媒體，一般就像信用卡一樣，由授權用戶所持有並由該用戶賦予它 一個口令或密碼字。該密碼與內部數據系統伺服器上注冊的密碼一致。當口令 與身份特徵共同使用時，智能卡的保密性能還是相當有效的。數據系統安全和 數據保護的這些防範措施都有-定的限度，並不是越安全就越可靠。因而，在 看一個內部網是杏安全時不僅要考察其手段，而更重要的是對該數據系統所采 取的各種措施，其中不光是物理防範，還有人員的素質等其他「軟」因素，進 行綜合評估，從而得出是否安全的結論。
另外，其他具體安全措施還包括數字認證、嚴謹有效的管理制度和高度警 惕的安全意識以及多級網管等措施。另外考慮到數據系統的業務連續，也需要 我們設計和部署必要的BCP計劃。 
三、解決方案
解決終端安全問題的有效方法是結合端點安全狀況信息和新型的網路准入 控制技術。
(1) 部署和實施網路准入控制，通過准入控制設備，能夠有效地防範來自 非法終端對網路業務資源的訪問，有效防範信息泄密。
(2) 通過准入控制設備，實現最小授權的訪問控制，使得不同身份和角色 的員工，只能訪問特定授權的業務系統，保護如財務系統企業的關鍵業務資源。
(3) 端點安全狀態與網路准入控制技術相結合，阻止不安全的終端以及不 滿足企業安全策略的終端接入網路，通過技術的手段強制實施企業的安全策略， 來減少網路安全事件，增強對企業安全制度的遵從。
加強事後審計，記錄和控制終端對網路的訪問，控制M絡應用程序的使用， 敦促員工專注工作，減少企業在互聯網訪問的法律法規方面的風險，並且提供 責任回溯的手段。
1. 集中式組網方案
終端安全管理（Terminal Security Management, TSM)系統支持集中式組
網，把所有的控制伺服器集中在一起，為網路中的終端提供接入控制和安全管 理功能。集中式組網方案如圖9-3所示。

2. 分布式組網方案 如果遇到下面的情況，可能需要採用分布式組網方案，如圖9-4所示。 
(1)終端相對集中在幾個區域，而且區域之間的帶寬比較小，由於代理與 伺服器之間存在一定的流量，如果採用集中式部署，將會佔用區域之間的帶寬, 影響業務的提供。

(2)終端的規模相當大，可以考慮使用分布式組網，避免大量終端訪問TSM 伺服器，佔用大量的網路帶寬。
分布式部署的時候，TSM安全代理選擇就近的控制伺服器，獲得身份認證 和准入控制等各項業務。
3. 分級式組網方案
如果網路規模超大，可以選擇採用分級式組網方案，如圖9-5所示。
在這種部署方案中，每個TSM結點都是一個獨立的管理單元，承擔獨立的 用戶管理、准入控制以及安全策略管理業務。管理中心負責制定總體的安全策 略，下發給各個TSM管理結點，並且對TSM管理結點實施情況進行監控。
TSM系統對於關鍵的用戶認證資料庫提供鏡像備份機制，當主資料庫發生 故障時，鏡像資料庫提供了備份的認證源，能夠保證基本業務的提供，防止因 為單一數據源失效導致接入控制的網路故障。
當TSM系統發生嚴重故障，或者TSM系統所在的網路發生嚴重故障時， 用戶可以根據業務的情況進行選擇：業務優先/安全優先。
如果選擇業務優先，准入控制設備（802.1X交換機除外）上設計的逃生通 道能夠檢測到TSM系統的嚴重故障，啟用逃生通道，防止重要業務中斷。
TSM終端安全管理系統提供伺服器狀態監控工具，通過該工具可以監控服 務器的運行狀態，如資料庫鏈接不上、SACG鏈接故障以及CPU/內存異常等。當 檢查到伺服器的狀態異常時，可以通過郵件、簡訊等方式通知管理員及時處理。

四、終端虛擬化技術
1.傳統的終端數據安全保護技術
1) DLP
(1) 工作方式：DLP (Data Loss Prevention,數據丟失防護）技術側重於信 息泄密途徑的防護，是能夠通過深度內容分析對動態數據、靜態數據和使用中 的數據進行鑒定、檢測和保護的產品。可以在PC終端、網路、郵件伺服器等 系統上針對信息內容層面的檢測和防護，能夠發現你的敏感數據存儲的位置， 之後進行一定的處理方式，但也是有些漏洞的。
(2) 使用場景與限制：雖然DLP方案從靈活性、安全性、管理性上都滿足 了數據安全的需求，但同樣成功部署DLP方案需要有一個前提，就是其數據內 容匹配演算法的誤報率要足夠低。然而，由於數據內容的表達方式千差萬別，在 定義數據內容匹配規則的時候漏審率和誤判率非常難平衡，無論是哪個廠商的 DLP產品，在實際測試過程中的誤報率普遍都偏高，DLP方案的防護效果體驗 並不好。
2) DRM
(1) 工作方式：DRM (Digital Right Management，數字許可權管理）是加密
及元數據的結合，用於說明獲准訪問數據的用戶，以及他們可以或不可以對數 據運行進行某些操作。DRM可決定數據的訪問及使用方式，相當於隨數據一 起移動的貼身保鏢。許可權包括讀取、更改、剪切/粘貼、提交電子郵件、復制、 移動、保存到攜帶型保存設備及列印等操作。雖然DRM的功能非常強大，但 難以大規模實施。
(2) 使用場景與限制：DRM極其依賴手動運行，因此難以大規模實施。用 戶必須了解哪些許可權適用於哪種內容的用戶，這樣的復雜程度常使得員工忽略 DRM,並導致未能改善安全性的失敗項冃。如同加密一樣，企業在應用許可權時 必須依賴人為的判斷，因為DRM丄具不具備了解內容的功能。成功的DRM 部署通常只限於用戶訓練有素的小型工作組。由於存在此種復雜性，大型企業 通常並不適合部署DRM。但如同加密一樣，可以使用DLP來專注於DRM， 並減少某些阻礙廣泛部署的手動進程。
3) 全盤加密
(1) 工作方式：所謂全盤加密技術，一般是採用磁碟級動態加解密技術， 通過攔截操作系統或應用軟體對磁碟數據的讀/寫請求，實現對全盤數據的實時 加解密，從而保護磁碟中所有文件的存儲和使用安全，避免因便攜終端或移動 設備丟失、存儲設備報廢和維修所帶來的數據泄密風險。
(2) 使用場景與限制：與防水牆技術類似，全盤加密技術還是無法對不同 的涉密系統數據進行區別對待，不管是涉密文件還是普通文件，都進行加密存 儲，無法支持正常的內外部文件交流。另外，全盤加密方案雖然能夠從數據源 頭上保障數據內容的安全性，但無法保障其自身的安全性和可靠性，一旦軟體 系統損壞，所有的數據都將無法正常訪問，對業務數據的可用性而言反而是一 種潛在的威脅。
上述傳統安全技術是目前銀行業都會部署的基礎安全系統，這些安全系統 能夠在某一個點上起到防護作用，然而盡管如此，數據泄密事件依然是屢禁不 止，可見銀行業網路整體安全目前最人的威脅來源於終端安全上。而且部署這 么多的系統方案以後，用戶體驗不佳，不容易推廣，因此並未達到預期的效果。 要徹底改變企業內網安全現狀，必須部署更為有效的涉密系統數據防泄密方案。
2.數據保護的創新——終端虛擬化技術
為了能夠在確保數據安全的前提下，提升用戶的易用性和部署快速性，冃 前已經有部分企業開始使用終端虛擬化的技術來實現數據安全的保護。其中， 桌面/應用虛擬化技術以及基於安全沙盒技術的虛擬安全桌面就是兩種比較常 見的方式。
1)桌面/應用虛擬化
桌面/應用虛擬化技術是基於伺服器的計算模型，它將所有桌面虛擬機在數 據中心進行託管並統一管理。通過采購大量伺服器，將CPU、存儲器等硬體資 源進行集中建設，構建一個終端服務層，從而將桌面、應用以圖像的方式發布 給終端用戶。作為雲計算的一種方式，由於所有的計算都放在伺服器上，對終 端設備的要求將大大降低，不需要傳統的台式計算機、筆記本式計算機，用戶 可以通過客戶端或者遠程訪問等方式獲得與傳統PC —致的用戶體驗，如圖9-6 所示。

不過，雖然基於計算集中化模式的桌面虛擬化技術能夠大大簡化終端的管 理維護工作，能夠很好地解決終端數據安全問題，但是也帶來了服務端的部署 成本過大和管理成本提高等新問題。
(1) 所有的客戶端程序進程都運行在終端伺服器上，需要配置高性能的終 端伺服器集群來均衡伺服器的負載壓力。
(2) 由於網路延遲、伺服器性能、並發擁塞等客觀因素影響，在桌面虛擬 化方案中，終端用戶的使用體驗大大低於物理計算機本地應用程序的使用體驗。
(3) 計算集中化容易帶來終端伺服器的單點故障問題，需要通過終端服務 器的冗餘備份來強化系統的穩定性。
(4) 桌面虛擬化方案中部署的大量終端伺服器以及集中化的數據存儲之間 的備份、恢復、遷移、維護、隔離等問題。
(5) 由於數據集中化，管理員的許可權管理也需要列入考慮，畢竟讓網路管 理員能夠接觸到銀行業務部門的業務數據也是違背數據安全需求的。
(6) 桌面集中化方案提高了對網路的穩定性要求，無法滿足離線辦公的需求。
因此，此種方案在大規模部署使用時會遇到成本高、體驗差的問題，如圖
9-7所示。
2)防泄密安全桌面
為了解決桌面/應用虛擬化存在的問題，一種新的終端虛擬化技術——基r 沙盒的安全桌面被應用到了防泄密領域，如圖9-8所示。
在不改變當前IT架構的情況下，充分利用本地PC的軟、硬體資源，在本 地直接通過安全沙盒技術虛擬化了一個安全桌面，這個桌面可以理解為原有默 認桌面的一個備份和鏡像，在安全桌面環境下運行的應用、數據、網路許可權等 完全與默認桌面隔離，並且安全沙盒可以針對不同桌面之間進行細粒度的安全 控制，比如安全桌面下只能訪問敏感業務系統，安全桌面內數據無法外發、復 制、列印、截屏，安全桌面內保存的文件加密存儲等等。

這樣一來，通過安全桌面+安全控制網關的聯通配合，就可以確保用戶只有 在防泄密安全桌面內進行了認證後才能訪問核心敏感系統，實現了在終端的多 業務風險隔離，確保了終端的安全性。安全桌面虛擬化方案為用戶提供了多個 虛擬的安全桌面，通過不同虛擬安全桌面相互隔離文件資源、網路資源、系統 資源等，可以讓用戶通過不同的桌面訪問不同的業務資源。
比如為用戶訪問涉密業務系統提供了一個具有數據防泄露防護的防泄密安 全桌面，盡可能減少對用戶使用習慣的影響，解決了物理隔離方案的易用性問 題，如圖9-9所示。

基於沙盒的安全桌面方案的價值在於，在實現終端敏感業務數據防泄密的 前提下，不改變用戶使用習慣，增強了易用性，還保護了用戶的現有投資。目 前，防泄密安全桌面已經在金融、政府、企業等單位開始了廣泛的應用，主要部署在CRM、ERP、設計圖樣等系統前端，以防止內部銷售、供應鏈、財務等 人員的主動泄密行為。
但是安全桌面技術也有一定的局限性，比如它不適用於Java、C語言的代 碼開發環境，存在一定兼容性的問題。
總而言之，兩種終端虛擬化技術各有優劣，分別適用於不同的業務場景，具體可以參照圖9-10。