基于通信服务商的终端安全准入系统研究

2023-01-11陈华明

数字通信世界 2022年12期

陈华明

（福信富通科技股份有限公司，福建福州 350001）

本文着重描述基于通信服务商的终端安全接入系统平台总体设计。在现有物联网终端安全准入架构中，新增物联卡安全准入环节，通过本平台向应用平台及各专业平台提供物联卡机卡注册及认证信息，确保各单位、各部门应用终端承载的物联卡合规使用，提升物联网终端设备接入业务平台的安全要求；并结合平台的物联卡机卡分离、用量异常、APN设置异常的预警联动，做到从设备接入到使用的完整生命周期跟踪反馈管理，同时增加对接入终端注册以完善信息线上自动归集能力。

1 接入终端范围

根据物联卡使用范围物联网边缘终端分为以下三类。一是APN专网设备，内网作业PDA、车载终端、视频摄像头、设备状态在线监测设备、融合终端；二是3A认证的设备，集中器、充电桩、中继器；三是互联网直连设备，传感器终端、烟雾检测终端等。

2 系统平台结构

2.1 系统平台设计

终端安全准入平台遵循“实用性”“统一性”“安全性”“适用性”等设计原则，依托管理平台在物联卡安全准入认证，实现接入专网及互联网终端用卡的合规性、安全性。在面向应用平台及各专业平台的物联网终端的安全接入中，提供物联卡的安全准入注册、认证服务，提高各平台对终端用卡校验的有效性，为该平台在终端接入决策提供更多的数据依据。同时在终端线上注册或者申请终端证书的审批流程中，新增用卡合规确认审批流转环节，平台收到审批流转单后可对相应用卡合规性进行审批，从而增强线上审批可行性，实现无纸化办公，增强平台间的数据留痕，让用卡行为有迹可循，有据可依，具体措施如下。

一是对于未通过应用平台进行接入认证的，业务系统调用终端安全准入平台提供的安全认证接口，认证不通过时安全准入管理平台调用服务商平台断网停卡对接口进行管控，同时产生处置待办流程；业务人员在安全准入平台进行机卡重新绑定操作，安全准入管理平台调用数据接口进行管控恢复操作。

二是对于通过应用平台进行接入认证的，业务系统调用终端安全准入管理平台提供的安全认证接口，认证不通过时终端安全准入管理平台返回认证失败状态信息给应用平台，应用平台根据认证状态信息进行禁止连网操作，同时产生处置待办流程，业务人员在终端安全准入管理平台进行机卡重新绑定操作，本平台返回认证成功状态给应用平台，应用平台根据认证状态信息进行允许连网操作。如图1所示。

图1 总体架构图

2.2 应用架构设计

平台包含对一卡一终端、IMEI号信息维护的功能，作为设备安全准入的唯一性数据判定标准，当各业务系统通过注册认证接口验证设备安全时，平台针对异常设备的绑定生成待办处置流程：审批后才可通过接入。

平台安全准入审批流程，各级物联卡应用单位在批次卡领用流程结束后，发起资源安全准入审批流程，审批单应包含使用人信息、部门、用途、专业、APN信息、套餐、数量等信息，各级通信应用使用单位通过本部门审批后，各级资源管理单位进行资源准入审批，由公司部门审批通过后，该批次物联卡纳入安全准入列表。如图2所示。

图2 准入流程

平台相关功能包含设备注册绑定接口、认证信息管理、服务密钥管理、通信接口SDK。设备注册绑定接口用于将卡号和设备号进行绑定关联，为认证和终端信息获取提供基础数据；认证信息管理用于在业务平台对用卡及终端信息认证确认时提供认证接口及认证待办审批管理；服务密钥管理用于管理接口对接开通账号及密钥申请；通信接口SDK用于业务系统快速接入。

同时应对安全认证要素进行管理，其中APN通道管理用于管理在用APN通道及新增APN的信息收集，专业APN划分管理用于对APN在专业使用中进行关联管理，以及从运营商同步APN信息的能力；针对认证过程新增认证记录管理、认证流程推送管理逻辑、认证流程待办管理等功能。

从应用平台中同步终端绑定信息，数据被收集后调用安全准入平台注册接口进行绑定。认证信息获取流程由应用平台和各专业平台向安全准入管理平台获取认证信息。安全管控可通过三种方式结合实现，一是由应用平台向安全准入平台获取认证信息，认证不通过的阻断违规设备联网；二是各物联管理平台向安全准入平台获取认证信息，认证不通过的阻断违规设备上传数据到业务平台；三是针对存在的物联卡、运营商提供断网停卡服务接口，直接由安全准入平台通知通信服务商做断网或停卡处理。针对未接入安全接入平台的设备，可通过应用系统对接安全准入平台接口，资源使用部门第一次注册录入，后续常态认证使用。

通过接口对接互联网业务系统终端与物联卡的信息，由本平台进行统一的汇集管理。终端安全认证管控可通过两种方式结合实现：一是各互联网业务平台向本平台获取认证信息，认证不通过的阻断违规设备上传数据到业务平台；二是针对存在的物联卡，运营商提供断网停卡服务接口，直接由本平台通知运营商做断网或停卡处理。

2.3 集成架构

安全准入平台可以向各业务系统提供的认证信息包括卡基础信息、APN信息、领用信息、认证结果信息、卡绑定信息。在对接方式方面：一是业务系统根据设备接入要求通过HTTP或集成SDK调用本平台接口进行注册认证；二是安全准入平台主动检查维护数据库字段维护认证信息。在数据共享方面：本平台的实时数据通过物联网管理平台的MQ向各个业务系统提供数据；将准实时数据定时同步至数据中台，各个业务系统可定向到中台获取。

与业务系统集成关系：各业务系统与安全准入平台数据融合，专网终端接入新增物联卡信息判断要素获取，在终端集中管控系统平台通过数据解密获取终端和卡信息，通过本平台提供验证触点进行机卡绑定注册，卡信息认证确认，向各专业平台提供注册认证服务，在本平台增加物联卡安全接入流程及认证服务接口；各专业平台发起流程信息包括终端信息、卡识别号、业务平台目标、前置流程结果描述。

2.4 数据架构

共有三类数据来源：一是终端认证数据，主要通过物联网终端获取接入认证信息类数据；二是物联卡信息，主要通过安全准入平台采集获取信息；三是终端信息，主要通过物联管理平台、各互联网设备管理平台获取终端的维护信息。如图3所示。

图3 数据架构

2.5 安全架构

在公网访问侧，终端接入通过APN通道安全访问应用平台，将经过通道加密及数据加密后的数据在通过统一密服验证后才可进入物联管理平台，确保终端数据数据安全可靠；安全准入平台对通信服务商数据及接口进行内外网逻辑隔离，并在接入层增加入侵防御系统，内网对外访问都无法直接通过接口进行数据交互，需要经过单项隔离装置反向更新数据，外层通过防火墙防护数据访问权限；本平台与中台的数据访问均采用非对称加密结合访问时间戳进行签名验证，确保数据访问不可篡改；互联网区管理平台通过隔离层访问公网终端通信平台接口，对访问进行加密处理，保证数据安全访问；应用系统通过数据中台进行数据隔离访问共享，本平台提供安全接口服务；本平台与物联管理平台的数据访问可使用加密算法对交互数据进行加解密处理，确保数据安全[1]。如图4所示。