探索BYOD應用安全管控的技術方法

韓強 張建沼

摘? 要：隨著智能終端的普及，BYOD應用也越多越流行，數據安全也變得越來越重視。文章分析了BYOD應用安全管控的技術方法，比較不同BYOD安全解決方案的優缺點，讓BYOD管理者根據自身需求選擇最優技術方案。

關鍵詞：BYOD;安全管控;應用重打包

中圖分類號：TP309? ? ? ? ?文獻標志碼：A? ? ? ?文章編號：2095-2945（2019）26-0135-02

Abstract： With the popularity of intelligent terminals， more and more BYOD applications are becoming more and more popular， and data security is becoming more and more important. This paper analyzes the technical methods of BYOD application security control and compares the advantages and disadvantages of different BYOD security solutions， thus allowing BYOD managers to choose the best technical scheme according to their own needs.

Keywords： BYOD; security control; application repackaging

引言

當前企業公司、集團部門、機關事業等單位職員的BYOD（Bring Your Own Device：自帶設備辦公）形式越來越流行，已成為當下一種潮流，非常受歡迎。辦公人員通過智能手機直接接入企業內網，訪問本單位的專有資源。Gartne研究表明：2017年將近50%的公司不再給自家員工提供辦公設備，員工自帶設備辦公（BYOD策略），2018年將近70%的辦公人群參加此潮流，實現BYOD策略工作方式。然而BYOD的流行充滿著機會和挑戰，機會是它可提高生產力和工作效益以及降低辦公設備的成本;挑戰是它的安全性能，若此設備丟失、員工離職或設備帶有惡意病毒軟件，則企業內網將面臨數據泄露和財產損失等安全威脅。那么如何提高BYOD應用的安全管控，將是一項信息安全技術的研究熱點。

1 BYOD安全管控現狀

1.1 數據標記追蹤策略

為了方便查詢或跟蹤數據，人們通常對數據加以標記如分類標注、畫框、注釋、進度標注等方式，這給數據安全檢測提供了一個方式：數據標記追蹤策略。如TaintDroid通過Android手機系統中的Dalvik虛擬機程序，加入隱私流代碼標記，來追蹤監視檢測某隱私信息的數據傳播。又如ContentScope項目中通過數據流標記路徑敏感方式，對手機中的BYOD應用程序中的內容污染或被動泄露的數據，可追蹤找出安全問題。當然，現在數據標記方法很多，有通過修改手機中的操作系統，如應用服務系統，也有通過Content污染數據的跟蹤方法或通過分散數據的方式實現數據安全策略。

1.2 基于權限的控制管理

現在BYOD設備中的權限細粒度的管控，就是防止數據通信過程的信息泄露問題。目前流行采用應用程序重寫方案，此方案可移植性較強可應用于Android手機的各應用程序中。如通過Davis等應用程序中的Dalvik字節碼重寫方案，實現敏感數據的攔截API功能;Retroskeleton通過應用程序中的行為重寫方案，實現靜態或動態干涉方法，改進數據訪問行為的多樣性，從而攔截上層API的異常數據。

1.3 基于角色的權限訪問控制

對于BYOD應用程序來說，靈活、簡單和多層次的RBAC（Role-based Access Control，基于角色權限訪問控制）方案，受到廣泛應用。如Damiani等提出用戶位置識別來分配相應的角色和權限訪問控制，Vaidya等提出一種無監督學習構建角色的權限訪問控制，而Rohrer等實現在金融健康等敏感環境中的RBAC具體問題，但實現機制涉及中間件的修改，缺乏評估的系統原型。

綜上所述，BYOD應用安全管控方法都有一定的局限性，比如虛擬化的方法有點欠缺，應用方案缺乏移植性，這些方法針對性差，沒有BYOD應用場景，無法為智能手機實現自由上網的安全保障。

2 BYOD應用安全管控的解決方案

2.1 構建BYOD安全管控平臺

BYOD的本質就是方便職員自由接入公司內網進行自由辦公。因此構建一套完整的BYOD安全管理體系平臺，更好為企業移動信息化戰略提供綜合管理的服務，其主要功能有移動設備管理（MDM）、應用管理（MAM）、移動內容管理（MCM）、移動用戶管理（MUM）等。

其中MDM主要用于移動設備的配置管理和安全檢測管理，提供一體化的設備注冊、激活、注銷、丟失、淘汰和越獄控制能力;包括對惡意軟件檢測、反病毒軟件的數據預防、應用設備數據加密等功能;而MAM主要用于移動設備的應用程序管理，提供移動應用的終端綁定、權限管理、統計分析等服務，支持黑白名單策略，包括應用版權、訪問敏感數據的安全處理，同時方便職員辦公，對職員的個人應用數據設置權限。MCM主要檢測敏感數據，防止敏感數據訪問和復制，提供終端文檔加密能力。實現用戶數據與敏感數據隔離，若發現被惡意控制，則清理敏感數據。移動用戶管理MUM為移動應用提供標準的注冊、認證、登出等統一接入能力，為移動業務提供帳號關聯、單點登錄支撐。BYOD平臺結構如圖1所示。

2.2 BYOD安全管控技術方法

本文提出的BYOD安全管控方案主要集中在安卓手機系統。為了安全保證，BYOD管理員采用動態靈活的配置數據訪問控制策略，因此BYOD安全管控解決方案主要有以下三種類型：

（1）應用程序重打包。這種方法就是將應用程序重新裝入新的程序中，BYOD管理員將企業管理代碼嵌入到現有的Android應用程序，屬于應用程序二次開發的過程。當然它不需要給應用程序開發人員支付額外的開發成本，也完全適合企業內網對應用程序的操作系統版本要求。但是這種方法無法重寫級別高的應用程序，如基于反編譯技術APP。

（2）軟件開發工具包SDK。SDK都是一些特定的軟件包、軟件框架、硬件平臺、操作系統等建立應用軟件時的開發工具的集合。包括用于調試和其他用途的實用工具、示例代碼、支持性的技術注解或者其他的為基本參考資料澄清疑點的支持文檔。

（3）修改操作系統。這里的操作系統，特指手機Android系統，負責管理與配置數據安全的基本任務。BYOD管理者可直接將MAM特性嵌入于操作系統代碼中，不需要應用程序開發人員的協作，也不怕反編譯程序技術。但是它依賴性強，不適用于廣泛移植。

2.3 BYOD安全管控方案對比

針對上面現有MAM三種類型的BYOD安全解決方法，從其適用系統、數據隔離方式、是否多實體管理、是否采用RBAC、管理粒度如何、數據共享情況、可移植性等方面進行比較，對比結果如表1所示。

從表中數據顯示出，目前BYOD平臺方案都解決了數據隔離的功能，但只有Citrix實現加密功能，即對敏感數據檢測機制。所有BYOD解決方案對數據共享從而降低數據使用率。還有方案中缺乏細粒度動態的權限控制，因此缺乏高度機密數據分析處理能力;有些實現RBAC、多實體管理的功能，缺乏數據共享的監管能力。只有Android L實現自主控制訪問，但其移植性比較差。

3 結束語

綜上可知，現有的BYOD解決方案都有不足之處，企業需要開發新的BYOD安全管控平臺，保障BYOD應用的安全性，同時滿足企業的需求。這樣的BYOD安全管控平臺必須具備企業數據與用戶數據的隔離功能、企業應用間的數據共享功能、用戶角色的多實體管理功能、可實現細粒度的訪問控制功能、還有動態靈活的權限配置功能。

參考文獻：

[1]中國信息通信研究院.2016年移動智能終端暨智能硬件白皮書[EB/OL].[2016-12-24].http：www.catr.cn.kxyj/qwfb/bps/201610/t20161026-2181168.htm.

[2]徐軍.自帶設備（BYOD）安全機制研究[D].廈門：廈門大學，2014.

[3]郭冠宇.BYOD場景下移動應用安全管控的研究與實現[D].杭州：浙江大學，2017.

[4]黃壽孟.基于超網絡模型的混合教學知識傳播研究[J].信息與電腦：理論版，2019（5）：37-39.

[5]黃壽孟.基于Flex的數據通信技術研究與應用[J].中國現代教育裝備，2016（17）：12-15.