需求背景

由于移动终端本身特点与使用环境和网络开放的特殊性，移动应用系统面临窃听、破坏完整性、非授权访问服务、否认使用/提供等风险。传统的IT安全技术无法有效解决移动安全问题，移动应用需面对身份认证、网络传输安全、防丢失破解、数据安全、国密化改造/等保合规性等一系列安全问题。

为了保障移动应用系统稳定、安全、合规、高效地持续运行，需要一整套成熟、高效的移动安全解决方案。

移动应用系统安全接入需求主要包括以下几点：

n  数据传输的机密性与完整性 

n  移动用户身份的合法性 

n  密钥安全性 

n  密码算法与密码产品的合规性

在满足上述安全需求的同时，必须充分考虑方案和产品的可行性，包括部署成本、范围、周期、难易度、对现有系统影响等等，具体需求包括：

n  支持多种移动终端系统 

n  支持多种移动终端密码模块 

n  支持各种应用和网络协议 

n  支持代码集成改造或“零”修改 

n  支持多种网络接入方式 

解决方案

本方案采用在移动终端安装专用“安全接入APP”软件（或将安全接入SDK集成到用户业务APP）配合专用密码模块，后端在企业DMZ区域部署移动安全接入网关，前后端配合实现安全系统建设。

在前端移动终端上，安全接入APP（或SDK）通过调用密码模块，实现国密算法加密、解密以及关键数据数字签名与身份验证，同时与后端安全接入网关建立一条专用的加密隧道，实现办公/业务APP数据请求能够经由互联网和运营商网络通道，安全地送达总部数据中心，避免敏感或机密数据被黑客或非法用户窃取、泄露以及篡改。

前端密码模块采用国密局认证过的专用模块产品，支持多种接口和形式，包括：TF接口加密卡、SIM接口加密卡、蓝牙加密卡、NM加密卡、二级软模块（手机盾）等国内各厂商产品和SKF接口。前端密码模块可以安全存储用户或设备的根密钥、证书以及应用密码，从根本上解决移动终端环境下敏感数据落地泄露的风险。

在后端部署的移动安全接入网关，一方面可对尝试接入到数据中心的移动终端采用PKI公钥证书体系进行多因素强身份认证，另一方面配合前端APP/SDK建立一条专属加密通信隧道，保障上传下载数据的安全；同时安全网关还可以根据用户身份、角色、群组对其访问的应用、服务器资源进行细粒度权限控制，防止越权访问。

通过上述部署，即可便捷、高效、低成本地实现移动化信息安全接入与国密化改造，同时符合国家密码管理规范。

方案优点

上述介绍的移动安全接入方案，具备多种优点和明显优势，体现在：

n  针对后端应用业务系统/服务平台，完全“零”修改

n  针对前端移动应用/业务APP，支持完全“零”修改

n  针对前端移动应用/业务APP，支持一行代码完成SDK调用，实现用户完全无感，不改变用户使用习惯

n  移动终端可选多种密码模块，支持多种接口和形式，包括：TF卡、SIM卡、蓝牙、NM卡、二级软模块（手机盾）等，基本可以涵盖市面上所有移动终端品牌和型号，并支持国内各密码厂商的模块产品和SKF标准接口

n  后端安全网关支持串接或并行旁路部署，可实现对现有网络结构基本“零”影响

n  从前端到后端、从底层密码模块到上层应用安全协议，全部符合国密局规范和等级保护、密评认证的合规性要求

n  最快只需要一天，即可实现用户移动终端和移动应用系统安全接入认证、加密以及国密化改造。