CN103795736B

CN103795736B - 针对移动终端不同联网通道的防火墙联网系统

Info

Publication number: CN103795736B
Application number: CN201410083859.3A
Authority: CN
Inventors: 朱雄关; 刘晓岩
Original assignee: Chengdu Reaches Letter Communicate Via Communication Equipment Co Ltd
Current assignee: BEIJING SYNQNC TECHNOLOGY Co.,Ltd.
Priority date: 2014-03-10
Filing date: 2014-03-10
Publication date: 2017-04-12
Anticipated expiration: 2034-03-10
Also published as: CN103795736A; WO2015135314A1

Abstract

本发明提出的一种针对移动终端不同联网通道的防火墙系统，在含有移动终端操作系统和应用软件的应用层与移动终端联网模块之外，设有用于区分不同联网通道的联网分类模块，以及用于实施联网安全防护策略的防火墙，且一个防火墙对应一个接入点名称APN联网通道，应用层和联网分类模块分别通过数据通道链接每个对应联网通道的防火墙；其中，应用层向移动终端联网模块发起联网请求，联网分类模块根据移动终端联网模块成功联网的通道类型，启动对应的防火墙，联网分类模块在收到移动终端联网模块发布的断网消息时，联网分类模块关闭联网通道对应的防火墙。使得不同联网通道的防火墙在启用与关闭的设置相互间不干扰，杜绝了病毒或木马对内网信息的窃取。

Description

针对移动终端不同联网通道的防火墙联网系统

技术领域

本发明涉及移动终端操作系统和在操作系统中实现针对不同联网通道提供不同安全防护策略防火墙进行联网的系统和创建方法。

背景技术

对于普通用户而言，APN（Access Point Name，接入点名称）只是为了上网而在手机终端上预先配置或手工设定的一组参数。而对于移动网络来说，APN是用来实现用户互联网协议IP报文路由至相应GPRS网络路由器GGSN及外部网络的必不可少的标识，其作用具体包括：APN作为路由标识：GPRS服务支持节点SGSN根据APN，向特定域名系统DNS服务器查询该APN对应的GGSN IP地址，以确定用户应接入的GGSN；APN作为业务域标识：GGSN根据APN不同，将用户的业务流送到不同的业务域，而不同的业务域则对应了不同的业务承载组网方式、用户标识获取方式、计费模式等。服务支持节点SGSN作为GPRS/TD-SCDMA(WCDMA)核心网分组域设备重要组成部分，主要完成分组数据包的路由转发、移动性管理、会话管理、逻辑链路管理、鉴权和加密、话单产生和输出等功能。SGSN即GPRS服务支持节点，它通过Gb接口提供与无线分组控制器PCU的连接，进行移动数据的管理，如用户身份识别，加密，压缩等功能；通过Gr接口与HLR相连，进行用户数据库的访问及接入控制；它还通过Gn接口与GGSN相连，提供IP数据包到无线单元之间的传输通路和协议变换等功能；SGSN还可以提供与MSC的Gs接口连接以及与SMSC之间的Gd接口连接，用以支持数据业务和电路业务的协同工作和短信收发等功能。SGSN与GGSN配合，共同承担TD-SCDMA(WCDMA)的PS功能。当作为GPRS网络的一个基本的组成网元时，通过Gb接口和BSS相连。其主要的作用就是为本SGSN服务区域的MS进行移动性管理，并转发输入/输出的IP分组，其地位类似于GSM电路网中的VMSC。此外，SGSN中还集成了类似于GSM网络中VLR的功能，当用户处于GPRS Attach（GPRS附着）状态时，SGSN中存储了同分组相关的用户信息和位置信息。当SGSN作为TD-SCDMA(WCDMA)核心网的PS域功能节点，它通过Iu_PS接口与UTRAN相连，主要提供PS域的路由转发、移动性管理、会话管理、鉴权和加密等功能。GGSN9811主要提以中国移动最早提供、也是目前用户使用最广的两个APN——CMWAP、CMNET为例：

1)CMWAP APN

CMWAP和CMNET是中国移动人为划分的两个GPRS接入通道。前者是为手机WAP上网而设立的，后者则主要是为PC、笔记本电脑、PDA等利用GPRS上网服务。CMWAPAPN在设计之初主要面向基于HTTP协议的业务，如WAP上网浏览，彩信等。随着数据业务的不断发展，为了支持逐渐引入的非超文本传输协议HTTP的业务，无线应用协议WAP域通过进行升级改造和配置，逐渐演变为面向绝大多数自营业务和合作业务的默认业务域，面向用户提供彩信、PIM、流媒体、通用下载、快讯、音乐随身听、游戏等业务。CMWAPAPN使用了WAP网关作为HTTP访问的代理节点，同时可面向用户提供一些辅助功能，例如免输手机号码、内容转换、适配预判等。

2)CMNET APN

CMNET是为了开展开放的互联网接入服务设置的APN，用户可使用任何协议访问互联网，没有任何控制和限制策略，但同时也不提供其他辅助功能。使用CMNET APN时，移动终端通过接入地SGSN就近接入GGSN，业务数据流通过GGSN对应的防火墙进行NAT地址转换后接入互联网。除了APN通道以外，移动终端还有WIFI上网的联网通道。

在当前一些金融机构、政府等应用中，常常会使用完全与互联网相隔离的联网通道来进行办公或信息化工作。

随着移动互联网的高速发展，各类移动应用层出不穷，应用纷繁复杂，网络危机四伏，黑客入侵、钓鱼网站等各种非法手段无时无刻不在侵害互联网的安全，各种预装软件、病毒打包等威胁手机网络安全的问题日益突出，并逐渐形成黑色产业链。互联网应用系统的安全，日益成为人们关注的焦点。棱镜门之后，人们发现，在拥有强大技术实力的美国政府面前，任何互联网公司包括当前拥有互联网技术最顶尖科技的苹果和谷歌公司，只要在互联网上建立的信息系统，即使拥有各类安全防护措施，都无法避免信息被窃取的安全漏洞。

在传统技术领域，物理隔离是保障内部网络安全最重要最有效的举措，无论银行信息系统还是政府信息系统都是使用与互联网物理隔离的内部网络来保障信息安全的。使用与互联网物理隔离的内部网络由于杜绝了互联网的联网通道，任何黑客都无法进行入侵。现有技术防火墙，一般是通过设备提供的BYOD管理功能封堵来历不明的移动终端，将防火墙作为网关设备部署在互联网出口，而现有移动终端内部并未提供相应的防火墙。防火墙是指设置在不同网络（如可信任的企业内部网和不可信的公共网）或网络安全域之间的一系列部件的组合。它可通过监测、限制、更改跨越防火墙的数据流，尽可能地对外部屏蔽网络内部的信息、结构和运行状况，以此来实现网络的安全保护。

当前的移动终端操作系统在设计时，往往仅仅通过权限管理来管理应用程序的使用权限，来达到安全防护的目的，在移动终端实施联网的过程，没有任何防火墙策略，仅仅实现移动终端与网络的连接。但是由于广大用户普遍没有专业知识，对于移动终端操作系统的权限管理的功能非常不了解，很多安卓手机用户在删除系统软件或者是实用某些工具的时候都会提示需要获取root权限。Root是手机的神经中枢，它可以访问和修改手机几乎所有的文件。黑客在入侵系统时，都要把权限提升到Root权限，将非法帐户添加到Root用户组。在手机root或安装应用程序的过程中，用户往往会打开手机的权限，从而被植入病毒，导致账户或密码失窃，发生安全隐患。随着iPad、智能手机等移动终端的广泛应用，而于移动设备的威胁呈几何倍数的增长，对终端防护更加处于失控的状态，高级持续性攻击APT攻击者通过以智能手机、平板电脑等移动设备为跳板继而入侵企业信息系统的方式也显著增加。伴随着新时代网络带来的各种问题，在安全应用的通道联网过程中，增加手机的联网防护和防火墙管理，有效杜绝移动终端在使用内网APN时，连接互联网，阻止账户或信息的泄露，是较为安全的构想。

发明内容

本发明的目的是针对上述现有技术存在不足之处，提供一种面向应用框架层设计，能够在移动终端的操作系统上，针对不同联网通道的联网请求提供不同安全防护策略的防火墙系统，以满足不同应用程序在不同联网通道进行联网实施不同安全防护策略的需求。

本发明的上述目的可以通过以下措施来得到，一种针对移动终端不同联网通道的防火墙系统，包括：应用层、移动终端联网模块、驱动模块和防火墙，其特征在于：在含有移动终端操作系统和应用软件的应用层与移动终端联网模块之外，设有用于区分不同联网通道的联网分类模块，以及用于实施联网安全防护策略的防火墙，且一个防火墙对应一个接入点名称APN联网通道，应用层和联网分类模块分别通过数据通道链接每个对应联网通道的防火墙；其中，应用层向移动终端联网模块发起联网请求，联网分类模块根据移动终端联网模块成功联网的通道类型，启动对应的防火墙，联网分类模块在收到移动终端联网模块发布的断网消息时，联网分类模块关闭联网通道对应的防火墙。

本发明相比现有移动终端操作系统有以下有益效果：

1）本发明在移动终端操作系统中针对不同联网通道设置对应不同的防火墙，使用户在使用不同的联网通道时，可以使用不同的安全防护策略。

2）本发明在移动终端操作系统中针对不同联网通道设置对应不同的防火墙对移动终端的联网控制，通过可以互相并列叠加的多重防火墙，使得不同联网通道的防火墙在启用与关闭的设置相互间不干扰。

3）本发明在移动终端操作系统中针对不同联网通道设置对应不同的防火墙，可全面应对应用层威胁。通过深入洞察网络流量中应用和内容，能够为用户提供有效的应用层一体化安全防护。防火墙规则按照安全防护要求从高到低，优先保护安全等级高的应用；使得多个业务并发时，优先保护安全等级要求高的应用。

4）本发明针对移动终端操作系统框架层进行修改，修改内容属于系统内核，不在用户权限管理范围之内，移动终端用户无法在root以后，取消防火墙的设置，使得移动终端用户在root以后依然提供保护。增加了移动终端在root以后的联网防护性能，可以保障移动内网应用的安全。

5）本发明通过在移动终端操作系统框架增加防火墙，采用防火墙隔离，控制进出网络的信息流向和信息包；可以阻止病毒或木马程序对安全防护的联网通道进行信息窃取。

本发明在应用软件的应用层与移动终端联网模块之外加入区分不同联网通道的联网分类模块和对应APN联网通道，实施联网安全防护策略的互相并列叠加的多重防火墙，彻底杜绝了病毒或木马对内网信息的窃取，强化了手机安全的性能，在用户root情况下也能保障内网应用的安全。

附图说明

为使本发明的目的、技术方案和优点更加清楚明白，下面将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

图1是本发明针对移动终端不同联网通道的防火墙系统模型的结构示意图。

具体实施方式

参阅图1。在以下实施例的一个最佳实施例中，支持移动终端实现针对不同联网通道实施不同安全策略的防火墙系统模型，主要包括应用层、移动终端联网模块、联网分类模块和防火墙。应用层包括移动终端上的操作系统或应用软件。用于区分不同联网通道的联网分类模块和用于实施联网安全防护策略的防火墙，在含有移动终端操作系统应用软件的应用层与移动终端联网模块之外，一个防火墙对应一个接入点名称APN联网通道。应用层和联网分类模块分别通过数据通道链接每个对应联网通道的防火墙。应用层向移动终端联网模块发起联网请求，移动终端联网模块收到应用层的联网请求后，开始联网，联网成功后发送联网成功的系统消息。移动终端联网模块联网成功后，联网区分模块收到移动终端联网模块成功联网的消息后，根据成功联网的通道类型，启动对应的防火墙。反之，联网区分模块在收到移动终端联网模块发布的断网消息时，关闭联网通道对应的防火墙。

APN联网通道是指包含APN联网参数的移动数据联网通道，不同的APN联网参数代表不同的APN网络。

联网分类模块收到移动终端联网模块发送的联网成功消息后，提取网络名称信息，按照预设的分类对应关系，启动对应的防火墙应用规则，防火墙启动后，对应用层使用联网通道的应用规则进行防护。防火墙的应用规则包括：

1）应用层仅允许连接指定联网通道，其它联网通道一律阻止；

2）应用层仅允许连接APN内网通道，不允许访问互联网通道，例如：WIFI、CMNET、CMWAP或彩信通道。不同运营商指定的访问互联网的通道有所不同，中国移动是CMNET或CMWAP，中国联通是UNINET或UNIWAP，中国电信是CTNET或CTWAP；

3）所有通道可以并发访问；

4）特殊指定的其它网络访问规则。

同理，联网分类模块收到移动终端关闭联网通道的消息后，提取网络名称信息，将对应的防火墙取消。

联网分类模块对于不同联网通道的区分包括：采用特征字符的区分和/或数据名单方式，特征字符采用特征字开头的命名标识来进行联网通道分类，例如以CMA字母开头的联网通道，标记为仅允许通过该通道进行联网，其它联网通道一律阻止；以CMB字母开头的联网通道，标记为仅允许通过内网通道进行联网，不允许访问互联网通道等等；数据名单方式包括在某一类的防火墙对应的联网通道的详细名称或IP地址的方式，例如，在上述某一类防火墙对应的联网通道，在数据库中标识为CMPAY，10.112.113等等。

由于在移动终端的实际联网过程中，IP地址也是用来区分不同网络的重要手段。所述的特征字符包括：采用特征IP地址的区分，还可以使用不同的IP地址范围来标识不同的联网防火墙规范。

防火墙设计策略可以基于特定的Firewall，定义完成服务访问策略的规则。通常有两种基本的设计策略：允许任何服务除非被明确禁止；禁止任何服务除非被明确允许。第一种的特点是安全但不好用，第二种是好用但不安全，通常采用第二种类型的设计策略。而多数防火墙都在两种之间采取折衷。

以上所述的仅是本发明的优选实施例。应当指出，对于本领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以作出若干变形和改进，比如所述程序可以存储于移动终端可读存储介质中，可选地，上述实施例终端各模块/单元可以采用硬件的形式实现，也可采用软件功能模块的形式实现。本发明不限制于任何特定形式的硬件和软件的结合，亦属于本发明的范畴，这些变更和改变应视为属于本发明的保护范围。

Claims

1.一种针对移动终端不同联网通道的防火墙系统，包括：应用层、移动终端联网模块、驱动模块和防火墙，其特征在于：移动终端操作系统针对不同联网通道设置对应不同的互相并列叠加的多重防火墙对移动终端的联网控制，采用防火墙隔离控制进出网络的信息流向和信息包，阻止病毒或木马程序对安全防护的联网通道进行信息窃取；并在含有移动终端操作系统和应用软件的应用层与移动终端联网模块之外，设置用于区分不同联网通道的联网分类模块，以及用于实施联网安全防护策略的防火墙，且一个防火墙对应一个接入点名称APN联网通道，应用层和联网分类模块分别通过数据通道链接每个对应联网通道的防火墙，实施联网安全防护策略的互相并列叠加的多重防火墙；其中，应用层向移动终端联网模块发起联网请求，联网分类模块根据移动终端联网模块成功联网的通道类型，启动对应的防火墙，开始联网；联网分类模块收到移动终端联网模块发送的联网成功消息后，提取网络名称信息，按照预设的分类对应关系，启动对应的防火墙应用规则：1）应用层仅允许连接指定联网通道，其它联网通道一律阻止；2）应用层仅允许连接APN内网通道，不允许访问互联网通道，3）所有通道并发访问；用防火墙启动后，应用层按照安全防护要求从高到低，优先保护安全等级高的应，使用联网通道的应用规则进行防护；联网分类模块采用特征字符的区分和/或数据名单方式对不同联网通道进行区分，采用特征字开头的命名标识特征字符来进行联网通道分类，以CMA字母开头的联网通道标记为仅允许通过该通道进行联网，其它联网通道一律阻止。

2.如权利要求1所述的针对移动终端不同联网通道的防火墙系统，其特征在于：联网区分模块收到移动终端联网模块成功联网的消息后，根据成功联网的通道类型，启动对应的防火墙，反之，联网区分模块在收到移动终端联网模块发布的断网消息时，关闭联网通道对应的防火墙。

3.如权利要求1所述的针对移动终端不同联网通道的防火墙系统，其特征在于：联网分类模块收到移动终端关闭联网通道的消息后，提取网络名称信息，将对应的防火墙取消。

4.如权利要求1所述的针对移动终端不同联网通道的防火墙系统，其特征在于：联网分类模块收到移动终端关闭联网通道的消息后，提取网络名称信息，将对应的防火墙取消。

5.如权利要求1所述的针对移动终端不同联网通道的防火墙系统，其特征在于：联网分类模块对于不同联网通道的区分包括：采用特征字符的区分和/或数据名单方式。

6.如权利要求5所述的针对移动终端不同联网通道的防火墙系统，其特征在于：联网分类模块以CMB字母开头的联网通道标记为仅允许通过内网通道进行联网，不允许访问互联网通道的特征字符。

7.如权利要求5所述的针对移动终端不同联网通道的防火墙系统，其特征在于：数据名单方式包括在某一类的防火墙对应的联网通道的详细名称或IP地址的方式。

8.如权利要求5所述的针对移动终端不同联网通道的防火墙系统，其特征在于：所述的特征字符包括：采用特征IP地址的区分，或使用不同的IP地址范围来标识不同的联网防火墙规范。