<p>    <strong>智能社區(qū)網(wǎng)訊</strong> 自備終端BringYourOwnDevice簡稱BYOD即企業(yè)允許員工離職時(shí)保留自己的手機(jī)這種做法正日益流行如今智能手機(jī)功能也越來越多我們不僅能用自己的手機(jī)訪問電腦網(wǎng)絡(luò)和有關(guān)的信息資料還能用手機(jī)開門和進(jìn)入安全區(qū)域在自備終端環(huán)境中部署這類網(wǎng)絡(luò)訪問和門禁應(yīng)用需要配置相關(guān)的基礎(chǔ)設(shè)施具備正確的技術(shù)同時(shí)進(jìn)行安全性評(píng)估和適當(dāng)規(guī)劃</p><p>    門禁功能最近才被添加到智能手機(jī)里在最簡單的應(yīng)用情況下要實(shí)現(xiàn)移動(dòng)門禁控制僅需用智能手機(jī)上運(yùn)行的虛擬憑證卡軟件取代塑膠卡片并復(fù)制基于卡片的門禁控制規(guī)則即可系統(tǒng)仍然需要在讀卡器和存儲(chǔ)門禁規(guī)則的中央硬件控制面板或服務(wù)器之間做出門禁決策在這種情況下讀卡器仍然連接到中央門禁控制系統(tǒng)</p><p>    如今的智能手機(jī)還能產(chǎn)生一次性動(dòng)態(tài)密碼OneTimePassword,簡稱OTP以安全地登錄到另一部移動(dòng)設(shè)備或桌面電腦并訪問網(wǎng)絡(luò)此外具備虛擬憑證卡的智能手機(jī)可用來購買物品例如在公司食堂買飯還可用來安全地使用打印設(shè)備考慮到自備智能手機(jī)具有如此豐富的功能越來越多的員工開始用自己的手機(jī)訪問系統(tǒng)數(shù)據(jù)和公司設(shè)施IT部門應(yīng)該積極研發(fā)相關(guān)的解決方案從而更好地保護(hù)這些資源移動(dòng)門禁控制系統(tǒng)要順利安全地與現(xiàn)有門禁控制系統(tǒng)及傳統(tǒng)塑膠門禁卡共存這需要滿足幾項(xiàng)要求首先從智能手機(jī)到門禁讀卡器必須有一種數(shù)據(jù)通信方式用支持近距離無線通信NearFieldCommunications簡稱NFC的手機(jī)和/或支持NFC的附加設(shè)備可以實(shí)現(xiàn)這種數(shù)據(jù)通信例如microSD卡就是這樣一種附加設(shè)備確保不支持NFC的設(shè)備也能安全升級(jí)</p><p>    其次必須有一個(gè)由讀卡器門鎖以及其他硬件組成的生態(tài)系統(tǒng)這些生態(tài)系統(tǒng)組件可以讀取虛擬憑證卡并以適當(dāng)?shù)男袆?dòng)來回應(yīng)例如打開門鎖或允許訪問電腦和網(wǎng)絡(luò)目前已經(jīng)有超過65萬家酒店安裝了能用支持NFC的智能手機(jī)打開的門鎖同樣地可互操作的在線門禁讀卡器機(jī)電門鎖以及連接桌面電腦或PC登錄的讀卡器也正在部署而且第三方廠商也在開發(fā)支持NFC的硬件解決方案包括生物識(shí)別設(shè)備考勤終端和電動(dòng)汽車充電站等等</p><p>    最后對(duì)于智能手機(jī)上使用的虛擬密鑰和虛擬憑證卡必須有一種建立和管理的方式這不僅要求要用一種新的方式來描述身份信息還要求這種身份信息的描述要在一種可靠的身份認(rèn)證框架之內(nèi)進(jìn)行以便自備智能手機(jī)能安全地在門禁控制網(wǎng)絡(luò)中使用</p><p>    這種身份信息的描述必須支持多種與安全身份信息有關(guān)的加密數(shù)據(jù)模型包括生物識(shí)別數(shù)據(jù)考勤數(shù)據(jù)等可靠的身份認(rèn)證框架確保在被驗(yàn)證終端之間有一條安全的通信渠道用來確認(rèn)自備終端安全可靠的技術(shù)需要使用手機(jī)的安全組件該組件通常是一個(gè)嵌入式電路或者是一個(gè)插入式模塊常常被稱為用戶識(shí)別模塊SIM</p><p>    通過建立一個(gè)由安全可靠的終端組成的生態(tài)系統(tǒng)自備智能手機(jī)在門禁系統(tǒng)中可以得到有效管理這樣手機(jī)讀卡器和門鎖之間的身份信息配置/取消配置以及其他所有信息的處理就變得安全可靠了該框架與成熟可靠的智能手機(jī)技術(shù)相結(jié)合可建立一個(gè)極其安全的移動(dòng)身份驗(yàn)證環(huán)境</p><p>    運(yùn)用這個(gè)框架無論移動(dòng)設(shè)備位于何處怎樣連接企業(yè)都可以向這些移動(dòng)設(shè)備發(fā)布虛擬憑證卡和虛擬密鑰一種方式是通過互聯(lián)網(wǎng)類似于傳統(tǒng)上購買塑膠憑證卡的模式但通過USB或支持Wi-Fi的連接器連接自備終端或者虛擬憑證卡可以由服務(wù)供應(yīng)商空中傳送類似于今天的智能手機(jī)用戶下載應(yīng)用和歌曲的方式為了通過空中獲得虛擬憑證卡支持NFC的智能手機(jī)需要與可信服務(wù)管理器TrustedServiceManager簡稱TSM通信然后或者直接連接到移動(dòng)網(wǎng)絡(luò)運(yùn)營商或者連接到其TSM這樣虛擬憑證卡就可以提供給智能手機(jī)的SIM卡了視乎企業(yè)的信息安全政策用戶可通過NFC輕觸即提供tap-n-give的配置與授權(quán)用戶共享虛擬憑證卡和虛擬密鑰</p><p>    安全的移動(dòng)配置模型消除了塑膠卡片可能被復(fù)制的傳統(tǒng)風(fēng)險(xiǎn)而且使發(fā)行臨時(shí)憑證卡在憑證卡丟失或被盜時(shí)撤銷憑證卡變得更容易同時(shí)在需要的情況下例如對(duì)信息安全的威脅級(jí)別上升時(shí)監(jiān)視和修改安全參數(shù)也更容易了系統(tǒng)管理員可以使用管理服務(wù)通過空中取消虛擬憑證卡的配置或者在門禁控制系統(tǒng)數(shù)據(jù)庫中刪除訪問權(quán)企業(yè)還可以動(dòng)態(tài)地基于背景情況進(jìn)行設(shè)定例如撤銷雙因子驗(yàn)證企業(yè)甚至可以支持可變的信息安全級(jí)別并使用附加的數(shù)據(jù)元素例如當(dāng)安全威脅升級(jí)時(shí)可以動(dòng)態(tài)地取消雙因子驗(yàn)證而且可以推送給手機(jī)一個(gè)應(yīng)用要求用戶輸入4位PIN碼或者要求在手機(jī)發(fā)送信息開門之前做出一個(gè)刷卡的手勢(shì)</p><p>    隨著門禁和電腦桌面登錄應(yīng)用轉(zhuǎn)向自備智能手機(jī)有幾個(gè)問題需要解決首先要保護(hù)個(gè)人隱私同時(shí)保護(hù)企業(yè)免受會(huì)造成損害的個(gè)人應(yīng)用的影響所有應(yīng)用和其他ID憑證卡都必須局限于在個(gè)人和企業(yè)之間使用另一個(gè)挑戰(zhàn)是怎樣利用虛擬密鑰及虛擬憑證卡達(dá)成其他應(yīng)用例如讓應(yīng)用支持PIN碼輸入以使密鑰解鎖完成驗(yàn)證或簽署過程此外中間件API必須標(biāo)準(zhǔn)化這樣ID憑證卡功能才能應(yīng)用</p><p>    另外也許有必要支持衍生憑證卡例如從美國聯(lián)邦工作人員的個(gè)人身份驗(yàn)證PersonalIdentityVerification,簡稱PIV卡衍生的那些憑證卡局限于企業(yè)和個(gè)人之間這種使用方式與衍生憑證卡相結(jié)合還會(huì)催生對(duì)分層生命周期管理的需求例如如果移動(dòng)設(shè)備丟失那么憑借分層生命周期管理就可以取消所有憑證卡而如果取消個(gè)人身份驗(yàn)證卡那么將自動(dòng)取消僅用于工作環(huán)境的移動(dòng)ID憑證卡也許移動(dòng)ID的***管理問題才正是自備終端模式中最具挑戰(zhàn)性的部分</p><p>    門禁和電腦桌面登錄功能要在自備智能手機(jī)上共存就需要確保云端存儲(chǔ)的安全性有4種可能的方法第一種是在公用互聯(lián)網(wǎng)上采用一種開放的訪問模型在這種模型中用戶名和密碼由軟件即服務(wù)SaaS供應(yīng)商管理盡管這種方法易于采用但是所提供的數(shù)據(jù)保護(hù)能力是最弱的第二種是采用虛擬專用網(wǎng)絡(luò)VirtualPrivateNetwork簡稱VPN并要求遠(yuǎn)程用戶在輸入用戶名和密碼之前先就虛擬專用網(wǎng)絡(luò)進(jìn)行驗(yàn)證最有可能的是通過一次性動(dòng)態(tài)密碼解決方案實(shí)現(xiàn)不過虛擬專用網(wǎng)絡(luò)對(duì)用戶而言不夠方便不能很好地?cái)U(kuò)展以容納自備設(shè)備因?yàn)樘摂M專用網(wǎng)絡(luò)要求在很多不同的設(shè)備上安裝虛擬專用網(wǎng)絡(luò)客戶端和個(gè)人應(yīng)用而且虛擬專用網(wǎng)絡(luò)沒有針對(duì)互聯(lián)網(wǎng)安全威脅提供額外保護(hù)</p><p>    第三種方法是強(qiáng)大的本機(jī)驗(yàn)證這種方法也不夠便利因?yàn)槊總€(gè)應(yīng)用都要求獨(dú)特的唯一的安全解決方案第四種也是最好的一種方法是聯(lián)合身份管理采用這種方法時(shí)用戶就一個(gè)中央門戶進(jìn)行驗(yàn)證以訪問多種應(yīng)用這種方式支持很多不同的驗(yàn)證方法不需要在最終用戶的設(shè)備上安裝任何東西而且可對(duì)任何被訪問的應(yīng)用集中提供審計(jì)記錄因此能滿足法規(guī)遵從要求這種方法也能經(jīng)得起高級(jí)持續(xù)性威脅AdvancedPersistentThreats,簡稱APTs專門的黑客攻擊前員工的惡意行為以及員工欺詐等內(nèi)部安全威脅聯(lián)合身份管理還適用于存儲(chǔ)在其他地方的內(nèi)部應(yīng)用使用戶能在一個(gè)位置上方便地訪問各種應(yīng)用不過無論選擇哪種方法對(duì)于企業(yè)一方和自備終端所有者一方而言都有可能存在其他需要解決的政策及采用問題企業(yè)想要自備終端所有者放棄一定的權(quán)利以使他們能用自己的手機(jī)開門和登錄電腦桌面而自備終端所有者不想使用某些功能因?yàn)樗麄兒ε滦孤峨[私</p><p>    自備終端具備大量優(yōu)點(diǎn)尤其是員工的智能手機(jī)能成為一種載體寄存了企業(yè)中種類日益增多的門禁和電腦桌面登錄密鑰及憑證卡即將出現(xiàn)的新一代移動(dòng)門禁控制解決方案將提供更大的便利性和管理靈活性同時(shí)可確保在智能手機(jī)電腦和網(wǎng)絡(luò)資源門禁控制系統(tǒng)以及云端和空中交付身份信息的基礎(chǔ)設(shè)施之間安全地處理數(shù)據(jù)</p>