中國移動開放平臺迅猛發展“體系化”安全防護方案保駕護航

本刊記者 | 黃海峰

中國移動開放平臺迅猛發展“體系化”安全防護方案保駕護航

本刊記者 | 黃海峰

平臺開放的尺度太大，安全就沒保障；開放尺度太小，則失去靈活性，如何尋找開放性與安全性的平衡點成為運營商平臺建設的關注焦點。

當前移動互聯網蓬勃發展，電信運營商、互聯網巨頭BAT甚至互聯網初創企業都在逐漸向平臺化戰略進行演進，依托各自優勢的資源和能力，將其開放成API，形成自己完善的生態圈。

這其中，中國移動開放平臺于2011年底推出了能力開放服務，共開放21個能力，重點能力包括應用內計費、有數、統一認證、靈犀云、有推等，憑借移動互聯網行業快速增長的勢頭，在合作規模、業務規模、收入規模方面都呈現出良好的增長勢頭。

但是，在平臺開放過程也遇到不少的問題，其中比較關鍵的一環是在平臺的開放性和安全性之間找到一個平衡點。同時，移動互聯網時期的安全由于涉及多個層面，正變得越來越復雜。如何應對這些安全問題，成為中國移動關注焦點之一。

“安全是開放平臺的第一要務，開放目的是發展收入、匯聚信息、匯聚流量，這必然涉及管控。”在近日舉行的2014移動互聯網國際研討會中“面向移動互聯網的開放API及應用安全”分論壇上，中國移動互聯網基地經理孔繁盛表示。

開放平臺背后存安全挑戰

中國移動開放平臺增長勢頭良好。據統計，截至2014年7月，中國移動開放平臺累計拓展AP逾4000家，同比增長逾150%；累計拓展應用數逾20000款，同比增長逾67%；2014年7月合作應用收入超過3億元，同比增長733%。

盡管迅猛發展，但是中國移動開放平臺也面臨安全防護與開放性的平衡問題。這是因為，平臺開放的尺度太大，安全就沒保障；開放尺度太小，則失去靈活性，不能給生態圈企業提供足夠的能力支持。

對這些問題，中國移動正在從多方面應對。“我們結合互聯網和大網技術特點，充分利用軟硬件結合鑒權、應用數字指紋及大數據稽核等核心技術，解決用戶安全、應用安全、能力安全，保障用戶和開發者利益。”孔繁盛表示。

以移動互聯網應用身份認證為例，移動互聯網應用面臨多個身份認證困境，其中重要一個就是亟需安全、便捷的認證手段。這是因為傳統密碼、明文短信驗證碼存在安全隱患（如手機木馬攔截認證短信），且現有的USB Key等強安全認證方式門檻高。

對此，中國移動推出的“統一認證”產品，實現“一個賬號+一個密碼”通行所有業務，打通通信用戶向互聯網用戶轉化的通道。“‘統一認證’基于中國移動特色的USIM卡信息提取，提供SIM快捷確認、SIM盾認證功能，采用數據短信交互，具備極大的安全優勢。”孔繁盛表示。

據悉，中國移動“統一認證”產品由于安全優勢得到客戶親睞，目前已經對接了人人網、一號店等8家企業，正在接入走秀網等5家企業。

發力“端管云”防護體系

移動互聯網的移動性和邊界模糊性，及其各種服務與能力的開放性，使得安全威脅可能體現在每個節點、不同路徑之上。“依靠單一的技術與防護設備，已經不能滿足需要，必須發展整合的、協同的、體系化的安全防護體系。”中國移動研究院安全技術研究所何申表示。

事實上，移動互聯網的快速發展，融入人們的生活中，隨之而來，手機病毒、惡意吸費等安全威脅也一直“在身邊”。對政企用戶而言，APT攻擊、巨量DDoS攻擊嚴重。這些安全威脅的解決，需要體系化防護方案。

何申指出，基于“端管云”架構，中國移動正在整合各種優勢安全能力，通過協同，構建完善的云安全服務體系。

在云安全服務方面，何申介紹，企業可以依托中國移動公有云提供全面的安全服務，將安全產品以運營服務方式整合，結合中國移動大網流量分析和調度能力，企業可以獲得安全檢測、監控防護、安全評估、安全應急響應等服務。如中國移動通過對Web漏洞、異常流量、系統漏洞、非法訪問和暴力破壞等安全風險和事件的檢測，綜合分析得到量化的安全健康度指數，使得客戶的安全情況能夠一目了然。

在管安全方面，中國移動從數據隔離和交換能力兩方面入手，一方面針對內外網數據交換工作提出新的管理框架，建立安全邊界，統一進行數據的交互；另一方面建立內外部數據交互的“傳達室”，通過“挖壕溝、建圍墻、放吊橋和巡邏隊”等方式手段，解決企業環境內的內外部交互數據的安全保護。如中國移動IMS加密語音電話業務，該業務是面向黨政機關、軍隊、公安等專用領域客戶和對安全需求較高的企業單位提供的加密語音通信服務。用戶可通過智能手機客戶端實現終端與終端、終端與企業內網之間的加密語音電話互通。

在端方面，中國移動面向移動應用市場和開發者提供全生命周期的APP測評能力，包括安全檢測、安全評估、安全加固、APP發布渠道監測服務。中國移動還提供移動終端管理平臺定位服務，面向企業客戶提供安全防護，提供基礎安全防護、設備安全管理、數據安全、安全審計、安全策略、企業資源管理。

何申認為，多方合作能使安全服務更加廣泛、更加深入、更加專業，全面提升我國的網絡和信息安全水平，維護國家安全。