探索BYOD應(yīng)用安全管控的技術(shù)方法

韓強(qiáng) 張建沼

摘? 要：隨著智能終端的普及，BYOD應(yīng)用也越多越流行，數(shù)據(jù)安全也變得越來越重視。文章分析了BYOD應(yīng)用安全管控的技術(shù)方法，比較不同BYOD安全解決方案的優(yōu)缺點(diǎn)，讓BYOD管理者根據(jù)自身需求選擇最優(yōu)技術(shù)方案。

關(guān)鍵詞：BYOD;安全管控;應(yīng)用重打包

中圖分類號(hào)：TP309? ? ? ? ?文獻(xiàn)標(biāo)志碼：A? ? ? ?文章編號(hào)：2095-2945（2019）26-0135-02

Abstract： With the popularity of intelligent terminals， more and more BYOD applications are becoming more and more popular， and data security is becoming more and more important. This paper analyzes the technical methods of BYOD application security control and compares the advantages and disadvantages of different BYOD security solutions， thus allowing BYOD managers to choose the best technical scheme according to their own needs.

Keywords： BYOD; security control; application repackaging

引言

當(dāng)前企業(yè)公司、集團(tuán)部門、機(jī)關(guān)事業(yè)等單位職員的BYOD（Bring Your Own Device：自帶設(shè)備辦公）形式越來越流行，已成為當(dāng)下一種潮流，非常受歡迎。辦公人員通過智能手機(jī)直接接入企業(yè)內(nèi)網(wǎng)，訪問本單位的專有資源。Gartne研究表明：2017年將近50%的公司不再給自家員工提供辦公設(shè)備，員工自帶設(shè)備辦公（BYOD策略），2018年將近70%的辦公人群參加此潮流，實(shí)現(xiàn)BYOD策略工作方式。然而BYOD的流行充滿著機(jī)會(huì)和挑戰(zhàn)，機(jī)會(huì)是它可提高生產(chǎn)力和工作效益以及降低辦公設(shè)備的成本;挑戰(zhàn)是它的安全性能，若此設(shè)備丟失、員工離職或設(shè)備帶有惡意病毒軟件，則企業(yè)內(nèi)網(wǎng)將面臨數(shù)據(jù)泄露和財(cái)產(chǎn)損失等安全威脅。那么如何提高BYOD應(yīng)用的安全管控，將是一項(xiàng)信息安全技術(shù)的研究熱點(diǎn)。

1 BYOD安全管控現(xiàn)狀

1.1 數(shù)據(jù)標(biāo)記追蹤策略

為了方便查詢或跟蹤數(shù)據(jù)，人們通常對(duì)數(shù)據(jù)加以標(biāo)記如分類標(biāo)注、畫框、注釋、進(jìn)度標(biāo)注等方式，這給數(shù)據(jù)安全檢測(cè)提供了一個(gè)方式：數(shù)據(jù)標(biāo)記追蹤策略。如TaintDroid通過Android手機(jī)系統(tǒng)中的Dalvik虛擬機(jī)程序，加入隱私流代碼標(biāo)記，來追蹤監(jiān)視檢測(cè)某隱私信息的數(shù)據(jù)傳播。又如ContentScope項(xiàng)目中通過數(shù)據(jù)流標(biāo)記路徑敏感方式，對(duì)手機(jī)中的BYOD應(yīng)用程序中的內(nèi)容污染或被動(dòng)泄露的數(shù)據(jù)，可追蹤找出安全問題。當(dāng)然，現(xiàn)在數(shù)據(jù)標(biāo)記方法很多，有通過修改手機(jī)中的操作系統(tǒng)，如應(yīng)用服務(wù)系統(tǒng)，也有通過Content污染數(shù)據(jù)的跟蹤方法或通過分散數(shù)據(jù)的方式實(shí)現(xiàn)數(shù)據(jù)安全策略。

1.2 基于權(quán)限的控制管理

現(xiàn)在BYOD設(shè)備中的權(quán)限細(xì)粒度的管控，就是防止數(shù)據(jù)通信過程的信息泄露問題。目前流行采用應(yīng)用程序重寫方案，此方案可移植性較強(qiáng)可應(yīng)用于Android手機(jī)的各應(yīng)用程序中。如通過Davis等應(yīng)用程序中的Dalvik字節(jié)碼重寫方案，實(shí)現(xiàn)敏感數(shù)據(jù)的攔截API功能;Retroskeleton通過應(yīng)用程序中的行為重寫方案，實(shí)現(xiàn)靜態(tài)或動(dòng)態(tài)干涉方法，改進(jìn)數(shù)據(jù)訪問行為的多樣性，從而攔截上層API的異常數(shù)據(jù)。

1.3 基于角色的權(quán)限訪問控制

對(duì)于BYOD應(yīng)用程序來說，靈活、簡(jiǎn)單和多層次的RBAC（Role-based Access Control，基于角色權(quán)限訪問控制）方案，受到廣泛應(yīng)用。如Damiani等提出用戶位置識(shí)別來分配相應(yīng)的角色和權(quán)限訪問控制，Vaidya等提出一種無監(jiān)督學(xué)習(xí)構(gòu)建角色的權(quán)限訪問控制，而Rohrer等實(shí)現(xiàn)在金融健康等敏感環(huán)境中的RBAC具體問題，但實(shí)現(xiàn)機(jī)制涉及中間件的修改，缺乏評(píng)估的系統(tǒng)原型。

綜上所述，BYOD應(yīng)用安全管控方法都有一定的局限性，比如虛擬化的方法有點(diǎn)欠缺，應(yīng)用方案缺乏移植性，這些方法針對(duì)性差，沒有BYOD應(yīng)用場(chǎng)景，無法為智能手機(jī)實(shí)現(xiàn)自由上網(wǎng)的安全保障。

2 BYOD應(yīng)用安全管控的解決方案

2.1 構(gòu)建BYOD安全管控平臺(tái)

BYOD的本質(zhì)就是方便職員自由接入公司內(nèi)網(wǎng)進(jìn)行自由辦公。因此構(gòu)建一套完整的BYOD安全管理體系平臺(tái)，更好為企業(yè)移動(dòng)信息化戰(zhàn)略提供綜合管理的服務(wù)，其主要功能有移動(dòng)設(shè)備管理（MDM）、應(yīng)用管理（MAM）、移動(dòng)內(nèi)容管理（MCM）、移動(dòng)用戶管理（MUM）等。

其中MDM主要用于移動(dòng)設(shè)備的配置管理和安全檢測(cè)管理，提供一體化的設(shè)備注冊(cè)、激活、注銷、丟失、淘汰和越獄控制能力;包括對(duì)惡意軟件檢測(cè)、反病毒軟件的數(shù)據(jù)預(yù)防、應(yīng)用設(shè)備數(shù)據(jù)加密等功能;而MAM主要用于移動(dòng)設(shè)備的應(yīng)用程序管理，提供移動(dòng)應(yīng)用的終端綁定、權(quán)限管理、統(tǒng)計(jì)分析等服務(wù)，支持黑白名單策略，包括應(yīng)用版權(quán)、訪問敏感數(shù)據(jù)的安全處理，同時(shí)方便職員辦公，對(duì)職員的個(gè)人應(yīng)用數(shù)據(jù)設(shè)置權(quán)限。MCM主要檢測(cè)敏感數(shù)據(jù)，防止敏感數(shù)據(jù)訪問和復(fù)制，提供終端文檔加密能力。實(shí)現(xiàn)用戶數(shù)據(jù)與敏感數(shù)據(jù)隔離，若發(fā)現(xiàn)被惡意控制，則清理敏感數(shù)據(jù)。移動(dòng)用戶管理MUM為移動(dòng)應(yīng)用提供標(biāo)準(zhǔn)的注冊(cè)、認(rèn)證、登出等統(tǒng)一接入能力，為移動(dòng)業(yè)務(wù)提供帳號(hào)關(guān)聯(lián)、單點(diǎn)登錄支撐。BYOD平臺(tái)結(jié)構(gòu)如圖1所示。

2.2 BYOD安全管控技術(shù)方法

本文提出的BYOD安全管控方案主要集中在安卓手機(jī)系統(tǒng)。為了安全保證，BYOD管理員采用動(dòng)態(tài)靈活的配置數(shù)據(jù)訪問控制策略，因此BYOD安全管控解決方案主要有以下三種類型：

（1）應(yīng)用程序重打包。這種方法就是將應(yīng)用程序重新裝入新的程序中，BYOD管理員將企業(yè)管理代碼嵌入到現(xiàn)有的Android應(yīng)用程序，屬于應(yīng)用程序二次開發(fā)的過程。當(dāng)然它不需要給應(yīng)用程序開發(fā)人員支付額外的開發(fā)成本，也完全適合企業(yè)內(nèi)網(wǎng)對(duì)應(yīng)用程序的操作系統(tǒng)版本要求。但是這種方法無法重寫級(jí)別高的應(yīng)用程序，如基于反編譯技術(shù)APP。

（2）軟件開發(fā)工具包SDK。SDK都是一些特定的軟件包、軟件框架、硬件平臺(tái)、操作系統(tǒng)等建立應(yīng)用軟件時(shí)的開發(fā)工具的集合。包括用于調(diào)試和其他用途的實(shí)用工具、示例代碼、支持性的技術(shù)注解或者其他的為基本參考資料澄清疑點(diǎn)的支持文檔。

（3）修改操作系統(tǒng)。這里的操作系統(tǒng)，特指手機(jī)Android系統(tǒng)，負(fù)責(zé)管理與配置數(shù)據(jù)安全的基本任務(wù)。BYOD管理者可直接將MAM特性嵌入于操作系統(tǒng)代碼中，不需要應(yīng)用程序開發(fā)人員的協(xié)作，也不怕反編譯程序技術(shù)。但是它依賴性強(qiáng)，不適用于廣泛移植。

2.3 BYOD安全管控方案對(duì)比

針對(duì)上面現(xiàn)有MAM三種類型的BYOD安全解決方法，從其適用系統(tǒng)、數(shù)據(jù)隔離方式、是否多實(shí)體管理、是否采用RBAC、管理粒度如何、數(shù)據(jù)共享情況、可移植性等方面進(jìn)行比較，對(duì)比結(jié)果如表1所示。

從表中數(shù)據(jù)顯示出，目前BYOD平臺(tái)方案都解決了數(shù)據(jù)隔離的功能，但只有Citrix實(shí)現(xiàn)加密功能，即對(duì)敏感數(shù)據(jù)檢測(cè)機(jī)制。所有BYOD解決方案對(duì)數(shù)據(jù)共享從而降低數(shù)據(jù)使用率。還有方案中缺乏細(xì)粒度動(dòng)態(tài)的權(quán)限控制，因此缺乏高度機(jī)密數(shù)據(jù)分析處理能力;有些實(shí)現(xiàn)RBAC、多實(shí)體管理的功能，缺乏數(shù)據(jù)共享的監(jiān)管能力。只有Android L實(shí)現(xiàn)自主控制訪問，但其移植性比較差。

3 結(jié)束語

綜上可知，現(xiàn)有的BYOD解決方案都有不足之處，企業(yè)需要開發(fā)新的BYOD安全管控平臺(tái)，保障BYOD應(yīng)用的安全性，同時(shí)滿足企業(yè)的需求。這樣的BYOD安全管控平臺(tái)必須具備企業(yè)數(shù)據(jù)與用戶數(shù)據(jù)的隔離功能、企業(yè)應(yīng)用間的數(shù)據(jù)共享功能、用戶角色的多實(shí)體管理功能、可實(shí)現(xiàn)細(xì)粒度的訪問控制功能、還有動(dòng)態(tài)靈活的權(quán)限配置功能。

參考文獻(xiàn)：

[1]中國信息通信研究院.2016年移動(dòng)智能終端暨智能硬件白皮書[EB/OL].[2016-12-24].http：www.catr.cn.kxyj/qwfb/bps/201610/t20161026-2181168.htm.

[2]徐軍.自帶設(shè)備（BYOD）安全機(jī)制研究[D].廈門：廈門大學(xué)，2014.

[3]郭冠宇.BYOD場(chǎng)景下移動(dòng)應(yīng)用安全管控的研究與實(shí)現(xiàn)[D].杭州：浙江大學(xué)，2017.

[4]黃壽孟.基于超網(wǎng)絡(luò)模型的混合教學(xué)知識(shí)傳播研究[J].信息與電腦：理論版，2019（5）：37-39.

[5]黃壽孟.基于Flex的數(shù)據(jù)通信技術(shù)研究與應(yīng)用[J].中國現(xiàn)代教育裝備，2016（17）：12-15.