铁路移动互联网安全接入技术方案研究

◆王文溥 李艳玲 赵晓丽

铁路移动互联网安全接入技术方案研究

◆王文溥 李艳玲 赵晓丽

（长治学院 山西 046000）

本文研究的重点在于移动互联网网络接入安全、安全传输VPN以及进行安全防护的方法等，保障用户和网络之间的安全性，包括身份认证、隐私机密等各个方面，为建立移动互联网安全体系提供理论上的参考和技术方面的支撑。

移动互联网；应用级SSL；VPN；隧道；VPDN；身份认证

铁路无线接入其实就是在铁路综合信息网局域网终端应用无线技术，实现用户终端网络的无线接入。移动互联网真正地实现了互联网和移动通信之间的融合，用户可以利用多种多样的移动终端来连接网络。无线接入技术和移动互联网的应用越来越常见，在实际操作中经常需要运用上述技术来开展业务，比如人员现场操作、机关办事人员移动办公、业务人员帮忙作出决策等。尽管引入上述先进技术可以有效提升工作效率，但是同时也使铁路系统面临着新的风险，在应用上述技术时如何做好安全防护工作一直是一个非常关键的问题，相关研究不够系统，因此铁路系统当前在运用两项技术的同时迫切需要保障安全性。

1 移动互联网接入安全性分析

移动互联网在发展过程中也面临着一系列的问题，实际上这些问题都是由于移动终端、移动网络、移动互联网在应用中存在的风险导致的，常常会出现信息泄露、盗用、篡改、伪基站等各个方面的风险。

1.1 不可信网络传输

人们可以借助移动终端在任意一个场合或环境之下借助无线网络或者互联网进入自己的工作系统，当数据在网络上进行传输的时候，就面临着来自各个方面的攻击和窃听风险。尤其通过移动设备，在公共场所办公时，无线网“热点”可能会带来欺骗，诱导、监视。黑客对用户进行诱导、监视，在用户进行网上冲浪时盗取其账号，获取工作上的相关机密。

1.2 不严密的应用管控

如今，企业很多业务都通过移动设备来进行，移动业务的发展速度已经超过了信息安全的保障机制更新速度，各个应用没有进行科学的安全性评测便向用户开放，可能会使移动用户借助网络获取机密程度高的一些数据。由于访问权限设置的不合理性以及审计措施的不科学性，可能会导致一些严重的泄密事件[1]。

1.3 主动或被动信息泄密

当利用移动终端办理相关业务时，用户便可以将系统中的数据下载到本地进行存储，由于移动终端的位置不是确定的，而且很容易出现数据遗失和数据被交换的情况，导致数据信息很容易扩散，进一步提升了机密泄露的概率。

为了使移动应用更加安全可靠，铁路总公司需要构建移动信息化平台作为强有力的支撑，从传输、接入、终端等各个环节保障安全性，同时也要充分在信息数据和移动应用的安全方面做好防护，充分保障铁路系统移动应用安全。

2 铁路移动互联网接入安全防护方案

在铁路移动信息化建设的发展初始阶段，应用的数量不多，在移动应用安全保障方面，常常只对某个应用进行相应的设计，仅仅针对这一应用进行安全防护方面的投入，这就使得当移动应用数量增加时，会出现反复投入的情况，并且管理起来难度加大，目前已经出现与移动信息化发展的脚步不相适应的情况。

为了在铁路系统中实现无线接入和移动互联网安全接入，并且按照相应的技术规范，在充分保证安全性的前提下，尽量避免针对某一个应用单独投入，有效地节约投资，对网络架构进行重构和改善，保障移动终端的安全性，就需要在铁路综合信息网中构建安全接入的平台，完善基础设施建设，使用户和业务人员的需求得到充分的满足，保障企业各项数据的安全性。

铁路移动公网安全接入平台是建立在总公司和路局机关局域网外部服务网中的，包含了VPN接入网关和移动管理系统。在这一平台中，用户可以通过移动终端来接入网络，同时还能保障接入安全，通过集中管理移动终端的方式进一步加强网络接入的安全性，具体的逻辑架构和拓扑结构如下图所示。

图1 逻辑架构

图2 网络拓扑结构

本方案需要借助铁路统一目录服务平台和PKI/CA，从传输、接入、应用三个角度对方案进行优化，最大程度地降低无线接入的风险。

2.1 移动互联网接入整体安全

用户通过移动终端接入移动互联网，安全接入平台主要负责保障网络接入安全。移动终端通过移动互联网访问外部服务网中的各种应用是通过VPN接入网关实现的，当用户借助移动互联网对图1进行访问时，要防止所有的移动应用都在网络上展现出来，这样可以有效降低被攻击的风险。

2.1.1传输数据加密

当用户通过远程VPN对企业内部网络服务器进行访问时，数据传输的过程可以划分为三个阶段，第一阶段是客户端和VPN网关之间的传输；第二阶段是VPN网关到网络安全平台的传输；第三阶段是平台和内部网络应用服务器的传输，这一阶段完全在内网中进行。由于内网网络需要借助网络安全平台进行接入，因此“内网”数据传输安全性是能够得到保障的[2]。而第一阶段的数据传输则存在多个方面的安全风险，因此，就必须要采用采取一些有效的措施，防止信息数据在传输过程中被窃取或篡改。VPN安全接入网关可以通过多种算法来进行加密，相关的数据信息都处于加密的状态，充分保障了数据在传输过程中的安全性。

2.1.2接入身份认证

移动互联网接入需要进行安全认证，这一过程需要借助安全平台统一用户目录服务系统来进行。各个数据节点的信息会同步进行复制，从而使得系统中全部用户能够共享信息，同时还能使信息得到同步更新。所有用户都可以利用相同的用户名，在每一个已经授权的安全接入平台中登录，这样使用户身份成为了唯一进入移动公网的证明。详细的过程如图3所示。

图3 接入认证与授权

要想给移动互联网用户进行授权，首先需要在内网目录服务器中针对移动互联网建立一个专门的用户小组，并且把已经顺利获得授权的用户拉入到这一组别中，从而完成授权。同时还可以在该组中设置管理员，利用访问控制设置相关措施，使该用户具备对访问小组进行管理的能力。而且内网目录服务器中的信息可以复制到外网之中，通过各个路局信息节点的同步复制功能来实现数据同步。

VPN接入网关和MDM服务器分别使用移动互联网访问组管理员账户从访问组中获取授权用户的全部信息，并储存在本地磁盘之中，这些用户便称之为LDAP用户。

移动终端访问应用时，需要借助安全防护软件和VPN接入网关构建应用级SSLVPN隧道。在构建隧道时，第一步需要认证用户身份。认证可以有多重渠道，比如通过数字证书用户名、口令、设备信息等。数字证书是中铁CA给予的，并且对X.509字段进行了扩充，加入了UID字段，这一字段在整个网络平台上是唯一的。安全防护软件会对这一字段进行读取，用户输入对应的PIN进入系统之中，VPN接入网关负责对证书进行认证，然后将UID字段拎出来，和LDAP用户进行比对，如果在LDAP用户中成功找到该用户，则完成认证。

用户完成认证之后，还必须完成移动终端管理安全策略和应用权限检查，然后才可以对移动应用进行访问。如果移动终端存在危险迹象，那么会阻止其连接网络。通过和MDM之间的相互合作，只有完成身份认证，获得授权，并且不会对安全性构成威胁的移动终端，才能访问外部服务网应用。

2.1.3细粒度的访问控制

VPN网关在进行访问控制时可以采取网关源IP访问、用户访问、用户组访问等方法。

网关源IP访问控制可以根据用户源IP地址选择允许或拒绝用户接入网关。通过对用户源IP地址访问进行控制，对用户可以接入的IP地址范围进行约束，从而降低安全风险。

用户访问和用户组访问控制可以对某些客户制定其独有的访问控制，从用户源和目的IP地址、端口、目的URL等几个方面来限制用户的访问。

通过配置访问控制可以对已经获得授权的用户在访问时进一步对访问进行控制。应用级SSLVPN能够实现基于URL、IP、端口的细粒度访问控制。并且控制的粒度越小，内网的信息数据越安全。该种类型的访问控制使管理用户在配置时更加方便和快捷。

2.2 运营商3G／4G传输安全

移动终端接入铁路外部服务网时可以采取两种方法来实现，第一种是通过运营商的移动网络来访问互联网，构建应用级SSLVPN隧道，第二种方法是借助运营商的移动数据专用通道，通过SIM卡来访问互联网。这个专门的通道，也就是VPDN通道，它其实也是一种VPN业务，是移动运营商通过二层隧道协议技术来创建一个不和外界网络相连通的网络区域供用户使用。用户在这一网络中只能借助运营商网络对铁路外部服务网进行访问，不会进入到外部网络中，能够有效地保障数据的安全性。根据用户所用的移动终端的种类，选择适合自己的方式进行接入。通用终端只能选择第一种方式进行接入，而不能通过第二种方式中的专用终端借助专用通道来访问。

移动终端无论采取上述两种方法中的哪种来接入铁路外部互联网，都需要通过安全接入平台来实现。移动终端和VPN接入网关需要构建应用级SSLVPN隧道，这个隧道可以充分的保障数据传输的安全性，并且将不同应用之间的数据进行分隔，使数据能够在保密的状态下进行传输。VPDN和SSLVPN隧道传输如图４所示。

图4 VPDN和SSLVPN隧道传输

2.3 应用安全

图5 应用VPN 报文封装流程

SSLVPN或者IPSec VPN应用程序中，移动终端必须要装有虚拟网卡，各个移动应用中的数据信息需要先通过它，然后才能进入到VPN通道中[3]。各个移动应用产生的数据信息在中转过程中，面临着安全方面的威胁，此时手机上其他的移动应用有可能会通过中转过程窃取该应用的相关数据，从而出现信息泄露的情况。

应用级SSLVPN接入网关可以有效地把客户端和应用软件联系在一起，使用户能够方便快捷地使用移动终端上的应用软件，同时还能够增强SSL安全防护的水平，能够有效地降低上面提到的安全风险，应用VPN报文封装流程如图5所示。

在客户端编程组件中，可以找到非常全面的应用层TCP/IP虚拟协议栈。因此，移动终端应用中的相关数据信息可以借助此协议栈对TCP/IP进行封装，在应用内部产生一个IP信息文件。也就表明，信息数据在MDM提供的应用VPN中传输过程是加密的。MDM的应用VPN能够对加密的IP信息文件进行传输，这带来了很大的便利性，MDM移动办公安全防护方案中可以对全部基于IP协议的移动应用的数据传输提供安全保障，而不仅仅指对HTTP或者TCP协议移动用户进行防护。

应用级SSLVPN操作程序中，应用可以借助安全防护软件中能够保障信息传输安全的接口，在应用内部便对其数据信息进行加密处理。数据信息只有经过保密防护之后才能从移动应用中传出，进入OS系统。因此，即便移动终端上出现了一些会对数据安全构成威胁的应用，OS系统中已经获得的数据信息的安全性也能够得到有效的保障，这些应用并不能窃取或监听到终端或互联网相关信息。对比SSLVPN或者IPSec VPN，应用级SSLVPN可以对移动终端应用进行控制，能够实现更小的粒度，能够更加全面的保护数据信息的安全性。

3 结语

移动终端接入移动互联网首先必须进行数字证书认证。过去这一过程较为繁琐并且不够灵活，本方案针对之前存在的问题对数字证书认证过程进行了改进，使过程更加的简便，并且通过和用户目录服务平台的合作，对用户进行统一的授权。移动终端上的应用可以借助应用级VPN使各个应用之间的数据能够分离开来，从而保障数据传输的安全性，还能防止机密信息在移动终端上被窃取。

[1]周峰.电力移动互联网的运用与安全防护[J].中国电力企业管理，2019（36）：86.

[2]陈韶华.试论移动互联网时代信息安全新技术的展望[J].网络安全技术与应用，2019（11）：2-3.

[3]徐洁君.浅谈当下移动互联网技术的安全与应用[J].科技资讯，2019，17（16）：15-17.