WO2014187393A1 - 维护byod安全的客户端及方法 - Google Patents

维护byod安全的客户端及方法 Download PDF

Info

Publication number
WO2014187393A1
WO2014187393A1 PCT/CN2014/079382 CN2014079382W WO2014187393A1 WO 2014187393 A1 WO2014187393 A1 WO 2014187393A1 CN 2014079382 W CN2014079382 W CN 2014079382W WO 2014187393 A1 WO2014187393 A1 WO 2014187393A1
Authority
WO
WIPO (PCT)
Prior art keywords
management
user
mobile device
service
authentication
Prior art date
Application number
PCT/CN2014/079382
Other languages
English (en)
French (fr)
Inventor
李春霞
冯燕青
丁岩
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2014187393A1 publication Critical patent/WO2014187393A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications

Definitions

  • the present invention relates to the field of communications, and in particular to a client and method for maintaining BYOD security. Background technique
  • BYOD Back Your Own Device refers to the office that carries its own equipment.
  • BYOD implements 5A smart office (any anyone authorized by the enterprise, can access any company's office resources (Anything) at any time ( Anywhere), anywhere through any Any device. And innovatively enhance the security of office solutions.
  • enterprise information security you need to consider the security management of mobile devices, securely authenticate and manage the devices in the access system, authenticate the identity of enterprise resource visitors, and ensure that the enterprise network is not attacked and enterprise data is not Copy stealing, etc.
  • the existing BYOD security solution usually uses the software of the smart mobile access client, but the software only authenticates the user's username and password, and does not adopt the alternate authentication method.
  • the user forgets to authenticate the username or password, he or she cannot enter the enterprise system to handle the emergency. It needs to wait for re-approval and certification to complete the system, which may delay valuable time or even lose business opportunities.
  • the present invention provides a client and method for maintaining BYOD security to at least solve the above problems.
  • An embodiment of the present invention provides a client for maintaining BYOD security, including: a device and a user identity authentication module, configured to perform preset authentication according to a user who uses the mobile device when the mobile device that determines that the accessed mobile device is a legitimate device
  • the authentication mode selected in the mode is used to authenticate the user.
  • the mobile device management system is configured to provide management operations for the entire life cycle of the mobile device, where the management operations include: an always-on push message service.
  • the device and user identity authentication module comprises:
  • the device detecting unit is configured to upload the user ID of the mobile device to the server for legal judgment, and receive the validity judgment result of the mobile device on the mobile device, and determine whether the mobile device belongs to the legal device;
  • User identity authentication unit configured to authenticate the user's choice of username and password
  • the user name and password input by the user are encrypted and uploaded to the server for verification; when the user selects the authentication method based on the face image recognition, the user is prompted to take a photo to obtain the face avatar of the user, and the face avatar is encrypted. Upload to the server to compare with the standard data to get the verification results.
  • the management operation further includes: any one of a management operation of the device resource management, the mobile security management, and the mobile application management;
  • the preset authentication method includes: an authentication method based on a username and a password, and an authentication method based on a face image recognition.
  • the device resource management includes: at least one of terminal information collection and management, parameter configuration statistics, alarm maintenance, and location tracking;
  • Mobile security management includes: at least one of user identity authentication, access control, policy setting, data erasure, certificate management, and key management;
  • Mobile application management includes: at least one management method in application publishing, installation and upgrade management, and operation control;
  • the management operation further includes: any one of management operations such as backup management, test management, log and report, and application behavior statistics.
  • the full life cycle includes the following phases:
  • the registration phase includes: registering devices and users, setting an initial password, and storing user image information:
  • an access control phase including: authenticating devices and users, and issuing security The policy, and the user's sub-rights and group operations;
  • the operation of the supervision phase including: monitoring the device when the device is running in the enterprise scenario, publishing the enterprise application APP, and issuing the announcement information;
  • the payback period including: The user performs account logout, device logout, and clearing the corresponding enterprise data operations, and clears the enterprise data of the lost device and redistributes the account.
  • the mobile device management module comprises: an always-on push message platform, wherein the always-on push message platform comprises: an always-on engine configured to provide the user with Line and real-time IP messaging push services.
  • the always-on push message platform further includes:
  • the service processing sub-unit is configured to provide an aggregation function of each access point on the wireless side, and to receive and maintain a long connection of the access terminal;
  • the authentication subunit is configured to authenticate the access of the user and the service provider, and authenticate the internet service and the enterprise service;
  • the support subunit is configured to perform statistical analysis on the online business data and perform system monitoring.
  • the mobile device management unit comprises: an open device platform client ODP-C and an open device platform server ODP-S, wherein
  • the ODP-C is configured to invoke a predefined management object corresponding to the terminal function and an application programming interface API of the mobile device management unit to control the hardware of the terminal, and control the installation of the upper application through the framework of the mobile device management unit.
  • the ODP-S is configured to centralize the business logic for managing the device, where the business logic includes: a service presentation layer, a service logic layer, a service support platform, and a service layer.
  • the service presentation layer is configured to provide an interface for service access, a user-used usage portal, and an application release;
  • the business logic layer is configured to implement device information collection, parameter configuration, backup and recovery, firmware update, and application management;
  • the business support platform includes: SyncML/XML protocol parser, OM A DM protocol family, certificate release management, and key generation management;
  • the basic service layer includes: HTTP, FTP, and SNMP and application layer protocols, database access management, SSL link management, and messaging services.
  • the embodiment of the invention provides a method for maintaining BYOD security, including:
  • the user is authenticated according to the authentication mode selected by the user of the mobile device from the preset authentication mode; Providing a management operation for the entire life cycle of the mobile device, wherein the management operation includes: an always-on push message service.
  • the user is authenticated according to the authentication mode selected by the user of the mobile device from the preset authentication mode, including:
  • the user is authenticated according to the authentication method selected by the user using the mobile device from the preset authentication mode.
  • the authenticating the user according to the authentication mode selected by the user of the mobile device from the preset authentication mode includes:
  • the user is prompted to take a photo to obtain a face avatar of the user, and the face avatar is encrypted and uploaded to the server for comparison with standard data to obtain a verification result.
  • the management operation further includes: any one of a management operation of the device resource management, the mobile security management, and the mobile application management;
  • the preset authentication method includes: an authentication method based on a username and a password, and an authentication method based on a face image recognition.
  • the device resource management includes: at least one of terminal information collection and management, parameter configuration statistics, alarm maintenance, and location tracking;
  • the mobile security management includes: at least one of user identity authentication, access control, policy setting, data erasure, certificate management, and key management;
  • the mobile application management includes: at least one management mode of application publishing, installation and upgrade management, and operation control;
  • the management operation further includes: any one of management operations such as backup management, test management, log and report, and application behavior statistics.
  • the embodiment of the present invention adopts an authentication method selected by a user using the mobile device according to an authentication mode selected by a user using the mobile device, and determines that the accessed mobile device is a legitimate device.
  • the management process includes: the always-on push message service, and therefore, the BYOD security solution in the related technology cannot effectively balance enterprise information security and employee information security by using the embodiment of the present invention.
  • the problem can ensure that authorized personnel can smoothly enter the enterprise system for office work, thereby achieving the effect of avoiding the situation that employees cannot enter the internal network to deal with urgent problems.
  • FIG. 1 is a structural block diagram of a client for maintaining BYOD security according to an embodiment of the present invention
  • FIG. 2 is a structural block diagram of a client for preferably maintaining BYOD security according to an embodiment of the present invention
  • FIG. 3 is a diagram for maintaining BYOD security according to an embodiment of the present invention.
  • FIG. 4 is a schematic diagram of a security structure of a BYOD system according to a preferred embodiment of the present invention
  • FIG. 5 is a flowchart of BYOD user identity authentication according to a preferred embodiment of the present invention
  • FIG. 6 is a schematic diagram of a BYOD life cycle according to a preferred embodiment of the present invention
  • FIG. 7 is a schematic structural diagram of a message push platform according to a preferred embodiment of the present invention
  • FIG. 8 is a logic diagram of an MDM system according to a preferred embodiment of the present invention
  • FIG. 9 is a schematic diagram of a data interaction process in accordance with a preferred embodiment of the present invention. detailed description
  • the embodiment of the present invention provides a A new security solution to solve the above technical problems.
  • the main idea of the embodiment of the present invention is to integrate a user identity authentication method based on the face image.
  • the user identity authentication method based on the face image may be used for identity authentication.
  • MDM secure mobile device management
  • the embodiment of the invention provides a client for maintaining BYOD security.
  • 1 is a structural block diagram of a client for maintaining BYOD security according to an embodiment of the present invention.
  • the client includes: a device and user identity authentication module 10 and a mobile device management unit 20. among them:
  • the device and user identity authentication module 10 is configured to perform identity authentication on the user according to the authentication mode selected by the user using the mobile device according to the authentication mode selected by the user using the mobile device, where the mobile device is determined to be a legitimate device;
  • the unit 20 is configured to provide a management operation for the entire life cycle of the mobile device, where the management operations include: an always-on push message service.
  • the device and user identity authentication module 10 includes: a device detecting unit 12, configured In order to upload the user ID of the mobile device to the server for legality judgment, the server determines the validity of the mobile device, and determines whether the mobile device belongs to the legal device.
  • the user identity authentication unit 14 is configured to select the user name and the user.
  • the password authentication method the user name and password information input by the user are encrypted and uploaded to the server for verification.
  • the user selects the authentication method based on the face image recognition, the user is prompted to take a photo to obtain the user's face avatar. , upload the face avatar encrypted to the server and compare it with the standard data to get the verification result.
  • Management operations can also include: device resource management, mobile security management, mobile application management And other management; the preset authentication method may include: a user name and password authentication method and a face image recognition based authentication method.
  • the client that maintains BYOD security can also preset other authentication methods, such as the currently used fingerprint recognition technology.
  • Device resource management can include: terminal information collection and management, parameter configuration statistics, alarm maintenance, and location tracking; mobile security management includes: user identity authentication, access control, policy setting, data erasure, certificate management, and key management; Mobile application management includes: application publishing, installation and upgrade management, and operational control; other management includes: backup management, test management, log and report, and application behavior statistics.
  • the entire life cycle can include the following phases:
  • the registration phase includes: registering devices and users, setting initial passwords, and storing user image information:
  • the access control phase includes: authenticating devices and users, and issuing security policies. And the user is divided into rights and group operations;
  • the operation supervision phase includes: monitoring the device when the device is running in the enterprise scenario, publishing the enterprise application APP, and issuing the announcement information;
  • the payback period includes: Account logout, device logout, and clearing of enterprise data operations, clearing corporate data for lost devices, and reallocating accounts.
  • the mobile device management unit may include: an always-on push message platform, wherein the always-on push message platform includes: an always-on engine configured to provide the user with an always-on and real-time IP message push service.
  • the always-on push messaging platform can also include:
  • the service processing sub-unit is configured to provide an aggregation function of each access point on the wireless side, and to receive and maintain a long connection of the access terminal;
  • the authentication subunit is configured to authenticate the access of the user and the service provider, and authenticate the internet service and the enterprise service;
  • the support subunit is configured to perform statistical analysis on the online business data and perform system monitoring.
  • the mobile device management unit may also include: an open device platform client ODP-C and an open device The platform server ODP-S, wherein the ODP-C is configured to invoke a predefined management object corresponding to the terminal function feature and an application programming interface API of the mobile device management unit to control the hardware of the terminal, and through the mobile device
  • the management unit's framework controls the installation and operation of the upper-layer application.
  • the ODP-S centralizes the business logic for managing the device.
  • the business logic includes: the business presentation layer, the business logic layer, the service support platform, and the service layer.
  • the service presentation layer is configured to provide an interface for service access, a user-used portal, and application publishing; a service logic layer configured to implement device information collection, parameter configuration, backup and recovery, firmware update, and application management.
  • the business support platform includes: SyncML/XML protocol parser, OMA DM protocol suite, certificate release management, and key generation management; basic service layer includes: HTTP, FTP, and SNMP and application layer protocols, database access management, SSL links Management, messaging services.
  • FIG. 3 is a flowchart of a method for maintaining BYOD security according to an embodiment of the present invention. As shown in FIG. 3, the method mainly includes the following steps (step S302-step S304):
  • Step S302 Upload the user ID of the mobile device to the server for legality judgment, and receive the validity judgment result of the mobile device to the mobile device, determine whether the mobile device belongs to the legal device step S304, and determine that the accessed mobile device is legal.
  • the user is authenticated according to the authentication mode selected by the user of the mobile device from the preset authentication mode, wherein the management operation of the mobile device's full life cycle is provided by the mobile device management system, and the management operations include: Always push messaging service online.
  • the management operation may further include: device resource management, mobile security management, mobile application management, and other management;
  • the preset authentication manner may include: a username and a password authentication manner and a face image recognition-based authentication method.
  • a security sandbox isolation enterprise can be set up. Data and user data to ensure that enterprise data cannot be copied to user data, and user data cannot be copied to enterprise data. In this way, illegal programs such as Trojans that exist in user data can be prevented from entering enterprise data, polluting the enterprise data environment, and at the same time ensuring that personal data does not flow into the corporate environment and endangers personal privacy.
  • the terminal When the user is switched from the personal application scenario to the enterprise application scenario, the terminal needs to be authenticated first, and the terminal ID is uploaded to the server. After the server confirms that it is a legally accessed terminal, the two authentication modes (user name and One of the authentication methods for password authentication and face image recognition is to authenticate the end user: (1) If the user selects the authentication method for the username and password, the client software can carry the encrypted username and password to the server. After confirming the identity, the terminal logs in to the document security management system and the secure mailbox. At this point, the user can access the resources inside the company.
  • the two authentication modes user name and One of the authentication methods for password authentication and face image recognition is to authenticate the end user: (1) If the user selects the authentication method for the username and password, the client software can carry the encrypted username and password to the server. After confirming the identity, the terminal logs in to the document security management system and the secure mailbox. At this point, the user can access the resources inside the company.
  • the terminal can prompt the user to take a photo to face the camera, and then automatically open the camera function to capture the photo and upload the photo (ie the above-mentioned face avatar) to the service.
  • the terminal is compared with the standard data to confirm the identity of the user.
  • the mobile device management system can support the management of the BYOD device life cycle, which mainly provides device registration, security policy configuration, enterprise mobile application release and upgrade, GPS positioning, data erasure, remote locking and unlocking, etc. .
  • the introduction of the always-on push service platform can reduce the server network overhead and ensure the device management module supervises the device.
  • the client and method for maintaining BYOD security provided by the foregoing embodiments can ensure that authorized personnel can smoothly enter the enterprise system for office work, thereby achieving the effect of avoiding the situation that employees cannot enter the internal network to handle urgent problems.
  • FIG. 4 is a schematic diagram of a security structure of a BYOD system according to a preferred embodiment of the present invention.
  • the security structure of the BYOD system mainly includes three major aspects: data security management, and mobile device. Management, device and user identity authentication.
  • the preferred embodiment provides a unified client for the user.
  • the smart terminal shown in FIG. 4 includes: mobile device management (MDM), virtual private network (VPN), network security, and network monitoring.
  • MDM mobile device management
  • VPN virtual private network
  • Security secure mailboxes, document security tools, security sandboxes, transport security, and antivirus are a series of secure applications.
  • Users can obtain authentication and enterprise information through the interaction between the client and the server. Through the client, employees can easily and quickly access the enterprise environment through device legality detection and user identification, and work to protect personal data and enterprise-level data.
  • the enterprise registers devices and personal accounts for employees in advance.
  • the information required for registration includes: device unique identifier, employee login account and password, employee face image data, employee permission group information, account number and device expiration date. After registration, this information is stored in the server for subsequent authentication operations and device management.
  • the preferred embodiment adopts a security sandbox technology, which can successfully isolate enterprise data and personal data.
  • Enterprises do not have to worry about enterprise data entering personal data, being leaked by employees, and employees no longer worry about private information being Enterprise acquisition, personal applications and enterprise applications cannot access each other, that is, it can block the transmission between business and personal data.
  • enterprise data not only has isolation protection, but also encryption protection. All data is encrypted and saved by security tools. Users need to use identity cards to access enterprise resources according to their own permissions. For example, members of the A project team cannot access the resources of the B project team, and ordinary employees cannot access resources that are only open to employees above the ministerial level.
  • the client provides anti-virus security protection tools to protect corporate data from viruses.
  • Network security management monitors the network and shields websites that are not related to the enterprise or poses a security risk to the enterprise security, preventing malicious attacks by hackers and leaking enterprise data through the network.
  • gateway and data encryption can be used to prevent data interception and malicious tampering.
  • MDM Mobile Device Management
  • MDM Mobile Device Management
  • Device resource management terminal information collection and management, parameter configuration statistics, alarm maintenance, location tracking
  • Mobile security management identity authentication, access control, policy setting, data erasure, certificate management, key management
  • mobile application management application release, installation and upgrade management, operation control
  • other management functions backup management, test management, log and 4 reports, application behavior statistics, information push.
  • the BYOD user identity authentication includes the following contents: By default, the user name and password are used for authentication, and the user name and password information are encrypted and transmitted to the server for verification.
  • the user can also choose to change the authentication method and use face image recognition to authenticate.
  • the client After the user selects the face image recognition mode, the client will prompt the user to take a picture and grab the image. Please align the face with the front of the camera. The client will automatically open the camera photo, grab the photo and do the grayscale processing, and then upload it to the server for comparison with the standard data, and finally get the authentication result.
  • the specific steps are shown in Figure 5.
  • FIG. 5 is a flow chart of BYOD user identity authentication according to a preferred embodiment of the present invention, including the following steps:
  • Step 401 Identify a user identity.
  • Step 402 Determine whether to adopt a face recognition mode, and if yes, perform step 403; Then, step 410 is performed. Step 410 is to perform user identification by using the username + password. After step 410 is performed, step 409 is performed.
  • Step 403 Perform face recognition by using a face image recognition method.
  • Step 404 prompting the user to take a photo.
  • Step 405 Automatically turn on the camera to take a photo.
  • Step 406 Perform grayscale processing on the photo.
  • Step 407 Encrypted and uploaded to the server.
  • Step 409 comparing with standard data.
  • Step 409 Obtain a recognition result.
  • the BYOD life cycle diagram mainly includes four phases: registration, access control, operation supervision, and recycling.
  • registration phase the device and the user are registered, the initial password is set, and the user image information is stored;
  • access control phase the device and the user identity are authenticated, the security policy is issued, and the user is divided.
  • operation supervision phase when the equipment is running in the enterprise scenario, the equipment is monitored, the enterprise app is issued, and the announcement information is issued;
  • the payback period refers to the account and equipment of the equipment of the departing employee. Logout, clear enterprise data, etc., clear enterprise data, etc. for lost devices. And redistribute the account.
  • the preferred embodiment introduces an always-on message push platform, the platform includes two parts: a platform server, and an always-on engine on the terminal side (may Called terminal middleware).
  • the platform is responsible for accessing the always-online service of the mobile Internet, providing users with always-on and timely IP push services.
  • the application on the terminal interacts with the platform-side messages through the always-on engine to achieve link sharing and reduce network-side pressure.
  • the always-on engine is a service process built in the terminal and is responsible for message forwarding between the terminal application and the platform.
  • FIG. 7 is a schematic structural diagram of a message pushing platform according to a preferred embodiment of the present invention, as shown in FIG. 7.
  • the structure of the message push platform mainly includes:
  • the service processing sub-unit 406 is configured to provide an aggregation function of each access point on the wireless side, and to accept and maintain a long connection of the terminal. At the same time, it is responsible for the wake-up of the long connection, and cooperates with the Push of the long connection mode to provide an efficient, stable and timely Push function.
  • the authentication sub-unit 407 is configured to be responsible for authentication of the access of the end user and the service provider, and authentication of the Internet application 412 and the enterprise application 411.
  • the support subunit 408 is configured to be responsible for statistical analysis of online business data, system monitoring, and upgrade of middleware.
  • the message push platform is shown in the enterprise gateway 405 of FIG. 7, and the enterprise gateway 405 is composed of a service processing sub-unit 406, an authentication sub-unit 407, and a support sub-unit 408.
  • the enterprise gateway 405 completes the query of the user identity through the interface with the DNS.
  • the enterprise gateway 405 implements the program wake-up function of the mobile terminal 403 by sending a short message to the interface between the short message gateway 401.
  • the socket message can be directly sent to wake up.
  • the enterprise gateway 405 completes the transmission of the charging data and the synchronization of the user's overhead household data through the interface with the business operation supporting subunit 409.
  • the enterprise gateway 405 implements access of the mobile network management system through an interface with the network management system 410.
  • the enterprise gateway 405 interacts with the enterprise application 411 and the Internet application 412 to process the interaction results and return to the mobile terminal 403.
  • the server of the enterprise gateway 405 is deployed on a specific server, and the terminal-side always-on engine is introduced into the BYOD client in the form of a client component.
  • the client When the client first starts, it starts the component and initiates a registration with the always-on engine. Since the component is a general-purpose module, other applications on the terminal may have been introduced.
  • the engine component of the BYOD client Before the BYOD client is started, if the terminal has an always-on-line component that has been started, the engine component of the BYOD client is compared. Version and the version of the engine that has been started. If the former version is higher, start the engine component in BYOD. The replacement is now started. Conversely, the BYOD client registers directly with the engine that was started.
  • the always-on engine will carry the registration information of the device to the platform side to complete the registration process.
  • the BYOD server After BYOD completes the registration, the BYOD server also needs to complete the registration to the platform side. After the registration process is completed, the link is established.
  • the BYOD server can send a NOTIFY message to the client through the push platform, initiate management of the client, and issue announcement information to the client.
  • the MDM system is a platform for mobile Internet development, and the platform is a service component based on an underlying distributed cache, and is upwardly
  • the product provides a unified and open development platform.
  • the various service components include: Open Device Platform Client 502, Open Device Platform Framework 503.
  • the open device platform service includes: a business presentation layer 504, a business logic layer 505, a service support platform 506, a basic service layer 507, a database 508, a user center 509, a search platform 510, and a fine platform 511.
  • the upper product layer 501 includes: a set top box, a cloud terminal, a mobile phone, and a tablet.
  • Service component 512 such as a distributed cache, is also included in FIG.
  • the Open Device Platform Client (ODP-C) 502 is one of the components in the mobile terminal development platform, which defines a set of management objects corresponding to the terminal function characteristics, and is responsible for calling the system API to control the terminal hardware; It can control the installation and operation of the upper application through the framework of the operating system.
  • the Open Device Platform Server (ODP-S) runs on the service platform side of the mobile Internet development platform. It is mainly responsible for synchronizing information with the ODP-C to complete the instruction of the service platform to manage the mobile terminal and to process the ODP-C. The status report message changes the terminal status information. It should be noted that ODP-S centralizes the main business logic of mobile device management. The business logic is further divided into four parts: business presentation layer 504, business logic layer 505, service support platform 506 and service layer 507. among them,
  • the service presentation layer 504 provides an interface for service access and a user operation using the portal. In addition, the release of the application is also implemented at this layer;
  • the business logic layer 505 includes the functional unit (supporting scalability configuration) for completing the business process. In the initial stage, the device information collection, parameter configuration, backup and recovery, firmware update, application management and other functions are mainly implemented here. unit;
  • the business support platform 507 which includes the SyncML/XML protocol parser, the protocol family of OMA DM, certificate release management and key generation management functions.
  • Service layer 507 which includes protocol support for general application services, such as HTTP, FTP, SNMP and other application layer protocols, database access management, SSL link management, message services, etc., which are all at the service support layer. Service basis.
  • general application services such as HTTP, FTP, SNMP and other application layer protocols, database access management, SSL link management, message services, etc.
  • FIG. 9 is a schematic diagram of a data interaction process according to a preferred embodiment of the present invention. As shown in FIG. 9, the data interaction process includes two phases:
  • Preparation phase Pass notification and authentication information, including PACKAGE 0 (only required for NOTIFY messages), PACKAGE 1, PACKAGE 2;
  • Management phase The management phase is issued by the command, and the information interaction of the command response process includes PACKAGE 3 and PACKAGE 4.
  • the two PACKAGEs can have more than one interaction process.
  • the server sends a NOTIFY message to the client to notify the device to establish a connection with the server.
  • the terminal is pre-registered on the push platform, and the platform can find the terminal according to the unique identifier of the terminal and send a message.
  • the device After receiving the NOTIFY message pushed by the platform, the device carries the message and the authentication information to the server for authentication, and starts a new session.
  • the server initiates a session and sends management commands Commands to the client.
  • PACKAGE 3 The server initiates a session and sends management commands Commands to the client.
  • PACKAGE 3 and PACKAGE 3 are sent multiple times after PACKAGE 4 still has a management command to be sent, until all instructions are sent.
  • the application security of BYOD can be ensured from three aspects of device legality and user identity authentication, data security protection, and device management, and the promotion of BYOD intelligent mobile office can be promoted. In this way, it can be guaranteed Authorized personnel can smoothly enter the enterprise system to work, to avoid the situation that employees can not enter the internal network to deal with urgent problems.
  • each of the above modules can be implemented by hardware.
  • a processor including the above modules, or each of the above modules is located in one processor.
  • a software is also provided for performing the technical solutions described in the above embodiments and preferred embodiments.
  • a storage medium is also provided, the software being stored, including but not limited to: an optical disk, a floppy disk, a hard disk, a rewritable memory, and the like.
  • the present invention achieves the following technical effects: Guarantees the application security of BYOD from three aspects of device legality and user identity authentication, data security protection, and device management, and promotes the promotion of BYOD intelligent mobile office.
  • Two user authentication methods are provided to ensure the security and efficiency of BYOD, so that the authentication method of username and password and the authentication method based on face image recognition can be used in combination, especially for face image recognition based authentication. It can play an important role when the user forgets the password. At this time, the user only needs to select the face recognition authentication method, and then take the photo with the camera to continue the authentication process. In this way, authorized personnel can smoothly enter the enterprise system to work, avoiding employees from entering.
  • the internal network handles the occurrence of an emergency problem.
  • the embodiment of the present invention adopts an authentication method selected by a user using the mobile device according to an authentication mode selected by a user using the mobile device, and determines that the accessed mobile device is a legitimate device.
  • the management process includes: the always-on push message service, and therefore, the BYOD security solution in the related technology cannot effectively balance enterprise information security and employee information security by using the embodiment of the present invention.
  • the problem can ensure that authorized personnel can smoothly enter the enterprise system for office work, thereby achieving the effect of avoiding the situation that employees cannot enter the internal network to deal with urgent problems.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Telephonic Communication Services (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明公开了一种维护BYOD安全的客户端及方法。其中，该客户端包括：设备与用户身份认证模块，配置为在确定接入的移动设备是合法设备的情况下，根据使用移动设备的用户从预置认证方式中选择的认证方式，对用户进行身份认证；移动设备管理系统，配置为给移动设备的全生命周期提供管理操作，其中，管理操作包括：永远在线的推送消息服务。

Description

维护 BYOD安全的客户端及方法 技术领域
本发明涉及通信领域，具体而言， 涉及一种维护 BYOD安全的客户端及 方法。 背景技术
BYOD ( Bring Your Own Device )指携带自己的设备办公。 BYOD实现 了 5A智能办公 (任何经过企业授权的员工（ Anyone ), 可以通过任何智能设 备 ( Any device ), 在任意时间 ( Anytime )、 任意地点 ( Anywhere ), 访问公 司的任何办公资源 （Anything ) ), 并创新性地增强了办公方案的安全性。
智能终端的普及、 3G/4G移动通信技术的发展， 促使了 5A智能办公方 案的诞生， 开启了智能办公的新时代。 移动办公使办公随时发生， 提升了 效率。 传统办公方案存在的问题也迎刃而解： 过去， 员工不在公司时， 无 法获取公司的网络资源和相关信息， 导致维护人员无法立即处理紧急故障、 管理人 不能及时处理审批、 在外销售人 不能获取最新库存信息等， 进 而对公司带来经济上的损失。 BYOD办公方案，允许员工用自己的设备接入 公司网络办公， 及时处理各种问题。
移动办公在给我们带来便利的同时， 也给我们带来了另外一个不容忽 视的问题和挑战： 信息安全。 由于是员工的个人终端， 这就涉及到两个方 面的安全： 一是企业信息安全， 二是 工个人信息安全。 对于企业信息安 全， 需要考虑对移动设备的安全管理， 对接入系统的设备进行安全认证和 管理， 对企业资源访问者进行身份认证， 同时企业还要保障企业网络不被 攻击、 企业数据不被拷贝窃取等。
企业信息安全固然重要，但 BYOD办公所涉及到的终端是私人设备， 需 要顾及员工的个人隐私， 过度监控会触及员工隐私红线， 最终导致 BYOD 办公的夭折。如何平衡企业信息安全与员工信息安全，是 BYOD急需有效解 决的问题。 只有解决了这个问题， 企业和员工才能获得双贏， 既提升员工 满意度和工作效率， 又不对公司信息安全造成影响， 同时还能促进 BYOD 的发展。
针对如何平衡企业信息安全与员工信息安全的问题，现有的 BYOD安全 解决方案通常使用智能移动接入客户端的软件， 但是该软件只对用户的用 户名和密码作认证， 并没有采取备用认证方式。 当用户忘记认证用户名或 密码时， 就无法进入企业系统处理紧急事务， 需要等待重新审批和认证完 成才能重新进入系统， 这期间可能会耽误宝贵的时间， 甚至失去商机。
针对相关技术中 BYOD安全解决方案无法有效平衡企业信息安全与员 工信息安全的问题， 目前尚未提出有效的解决方案。 发明内容
本发明提供了一种维护 BYOD安全的客户端及方法，以至少解决上述问 题。
本发明实施例提供了一种维护 BYOD安全的客户端， 包括：设备与用户 身份认证模块， 配置为在确定接入的移动设备是合法设备的情况下， 根据 使用移动设备的用户从预置认证方式中选择的认证方式， 对用户进行身份 认证； 移动设备管理系统， 配置为给移动设备的全生命周期提供管理操作， 其中， 管理操作包括： 永远在线的推送消息服务。
优选地， 设备与用户身份认证模块包括：
设备检测单元， 配置为将移动设备的用户标识 ID上传至服务端进行合 法性判断， 接收服务端对移动设备的合法性判断结果， 确定移动设备是否 属于合法设备；
用户身份认证单元， 配置为在用户选择用户名和密码的认证方式的情 况下， 将用户输入的用户名和密码加密上传至服务端进行验证； 在用户选 择基于人脸图像识别的认证方式的情况下， 提示用户进行拍照以获取用户 的人脸头像， 将人脸头像加密上传至服务端与标准数据进行对比以得到验 证结果。
优选地， 所述管理操作还包括： 设备资源管理、 移动安全管理、 移动 应用管理中的任意一种管理操作；
所述预置认证方式包括： 基于用户名和密码的认证方式、 基于人脸图 像识别的认证方式中的任意一种认证方式。
优选地， 设备资源管理包括： 终端信息采集和管理、 参数配置统计、 告警维护、 位置跟踪中的至少一种管理方式；
移动安全管理包括： 用户身份认证、 访问控制、 策略设置、 数据擦除、 证书管理、 密钥管理中的至少一种管理方式；
移动应用管理包括： 应用发布、 安装与升级管理、 运行控制中的至少 一种管理方式；
所述管理操作还包括： 备份管理、 测试管理、 日志和报告、 应用行为 统计中的任意一种管理操作。
优选地， 全生命周期包括以下阶段： 注册阶段， 包括： 对设备和用户 进行注册、 设定初始密码， 以及存储用户图像信息： 接入控制阶段， 包括： 对设备和用户进行认证、 下发安全策略， 以及对用户进行分权限和分组操 作； 运行监管阶段， 包括： 当设备运行于企业场景时对设备进行监控、 发 布企业应用 APP, 以及下发公告信息； 回收期阶段， 包括： 对丧失权限用户 进行账号注销、 设备注销， 以及清除相应企业数据操作， 对清除丢失设备 的企业数据， 以及对账号进行再分配。
优选地， 移动设备管理模块包括： 永远在线的推送消息平台， 其中， 永远在线的推送消息平台包括： 永远在线引擎， 配置为给用户提供永远在 线的和实时的 IP消息推送 务。
优选地， 永远在线的推送消息平台还包括：
业务处理子单元， 配置为提供无线侧各接入点的汇聚功能， 接纳并维 护接入终端的长连接；
鉴权子单元， 配置为对用户和业务提供商的接入进行鉴权， 和对互联 网业务和企业业务进行鉴权；
支撑子单元， 配置为对在线业务数据进行统计分析、 进行系统监控。 优选地， 移动设备管理单元包括： 开放设备平台客户端 ODP-C和开放 设备平台服务端 ODP-S , 其中，
ODP-C， 配置为调用预先定义的与终端功能特性对应的管理对象和移 动设备管理单元的应用程序编程接口 API对终端的硬件进行控制， 并通过移 动设备管理单元的 framework控制上层应用的安装和运行；
ODP-S ,配置为集中了用以管理设备的业务逻辑，其中，业务逻辑包括： 业务表现层、 业务逻辑层、 业务支撑平台和^出服务层。
优选地， 业务表现层， 配置为提供业务接入的接口、 用户操作的使用 门户， 以及应用的发布；
业务逻辑层， 配置为实现设备信息采集、 参数配置、 备份与恢复、 固 件更新， 以及应用管理；
业务支撑平台包括： SyncML/XML协议解析器、 OM A DM的协议族、 证书发布管理， 以及密钥生成管理；
基础服务层包括： HTTP、 FTP以及 SNMP及应用层协议， 数据库访问 管理， SSL链接管理， 消息服务。
本发明实施例提供了一种维护 BYOD安全的方法， 包括：
在确定接入的移动设备是合法设备的情况下， 根据使用所述移动设备 的用户从预置认证方式中选择的认证方式， 对用户进行身份认证； 给所述移动设备的全生命周期提供管理操作， 其中， 所述管理操作包 括： 永远在线的推送消息服务。
优选地， 所述在确定接入的移动设备是合法设备的情况下， 根据使用 所述移动设备的用户从预置认证方式中选择的认证方式， 对用户进行身份 认证， 包括：
将移动设备的用户标识 ID上传至服务端进行合法性判断， 接收服务端 对移动设备的合法性判断结果， 确定移动设备是否属于合法设备， 在确定 接入的移动设备是合法设备的情况下， 根据使用移动设备的用户从预置认 证方式中选择的认证方式， 对用户进行身份认证。
优选地， 所述根据使用所述移动设备的用户从预置认证方式中选择的 认证方式， 对用户进行身份认证， 包括：
将用户输入的用户名和密码加密上传至所述服务端进行验证； 或者，
提示用户进行拍照以获取用户的人脸头像， 将所述人脸头像加密上传 至所述服务端与标准数据进行对比以得到验证结果。
优选地， 所述管理操作还包括： 设备资源管理、 移动安全管理、 移动 应用管理中的任意一种管理操作；
所述预置认证方式包括： 基于用户名和密码的认证方式、 基于人脸图 像识别的认证方式中的任意一种认证方式。
优选地， 所述设备资源管理包括： 终端信息采集和管理、 参数配置统 计、 告警维护、 位置跟踪中的至少一种管理方式；
所述移动安全管理包括： 用户身份认证、 访问控制、 策略设置、 数据 擦除、 证书管理、 密钥管理中的至少一种管理方式；
所述移动应用管理包括： 应用发布、 安装与升级管理、 运行控制中的 至少一种管理方式； 所述管理操作还包括： 备份管理、 测试管理、 日志和报告、 应用行为 统计中的任意一种管理操作。
由于本发明实施例采用在确定接入的移动设备是合法设备的情况下， 根据使用所述移动设备的用户从预置认证方式中选择的认证方式， 对用户 进行身份认证； 给所述移动设备的全生命周期提供管理操作， 其中， 所述 管理操作包括： 永远在线的推送消息服务， 因此， 采用本发明实施例， 解 决了相关技术中 BYOD安全解决方案无法有效平衡企业信息安全与员工信 息安全的问题， 可以保证被授权人员可以顺利进入企业系统进行办公， 进 而达到了避免员工无法进入内网处理紧急问题的情况的发生的效果。 附图说明
图 1是根据本发明实施例的维护 BYOD安全的客户端的结构框图； 图 2是根据本发明实施例的优选维护 BYOD安全的客户端的结构框图； 图 3是根据本发明实施例的维护 BYOD安全的方法流程图；
图 4是根据本发明优选实施例的 BYOD系统的安全结构示意图； 图 5是根据本发明优选实施例的 BYOD用户身份认证流程图； 图 6是根据本发明优选实施例的 BYOD生命周期的示意图；
图 7是根据本发明优选实施例的消息推送平台的结构示意图； 图 8是根据本发明优选实施例的 MDM系统的逻辑示意图；
图 9是根据本发明优选实施例的数据交互过程的示意图。 具体实施方式
下文中将参考附图并结合实施例来详细说明本发明。 需要说明的是， 在不冲突的情况下， 本申请中的实施例及实施例中的特征可以相互组合。
在 BYOD应用场景中，针对如何有效平衡企业信息安全与 工信息安全 的问题， 现有技术并没有给出有效的解决方案， 本发明实施例将提供一种 新型的安全解决方案， 以解决上述技术问题。 本发明实施例的主要思想是 融合一种基于人脸图像别的用户身份认证方式， 当员工忘记用户名或密码， 可以采用这种基于人脸图像别的用户身份认证方式进行身份鉴权以， 以保 证被授权人员可以顺利进入企业系统进行办公， 避免员工无法进入内网处 理紧急问题的情况的发生。 同时，还提供一个安全的移动设备管理（MDM ) 系统（或模块集成）， 提供 BYOD全生命周期的安全保障。
本发明实施例提供了一种维护 BYOD安全的客户端。 图 1是根据本发明 实施例的维护 BYOD安全的客户端的结构框图，如图 1所示，该客户端包括： 设备与用户身份认证模块 10和移动设备管理单元 20。 其中：
设备与用户身份认证模块 10, 配置为在确定接入的移动设备是合法设 备的情况下， 根据使用移动设备的用户从预置认证方式中选择的认证方式， 对用户进行身份认证； 移动设备管理单元 20, 配置为给移动设备的全生命 周期提供管理操作， 其中， 管理操作包括： 永远在线的推送消息服务。
图 2是根据本发明实施例的优选维护 BYOD安全的客户端的结构框图， 如图 2所示， 在优选维护 BYOD安全的客户端中， 设备与用户身份认证模块 10包括： 设备检测单元 12, 配置为将移动设备的用户标识 ID上传至服务端 进行合法性判断， 接收服务端对移动设备的合法性判断结果， 确定移动设 备是否属于合法设备； 用户身份认证单元 14, 配置为在用户选择用户名和 密码的认证方式的情况下， 将用户输入的用户名和密码信息加密上传至服 务端进行验证， 在用户选择基于人脸图像识别的认证方式的情况下， 提示 用户进行拍照以获取用户的人脸头像， 将人脸头像加密上传至服务端与标 准数据进行对比以得到验证结果。
需要说明的是，在图 1所示的维护 BYOD安全的客户端和图 2所示的优选 维护 BYOD安全的客户端的实现过程中：
管理操作还可以包括： 设备资源管理、 移动安全管理、 移动应用管理 以及其它管理； 预置认证方式可以包括： 用户名和密码的认证方式和基于 人脸图像识别的认证方式。 当然， 在实际应用中， 该维护 BYOD安全的客户 端中也可以预置其它的认证方式， 例如目前比较常用的指纹识别技术。
设备资源管理可以包括： 终端信息采集和管理、 参数配置统计、 告警 维护， 以及位置跟踪； 移动安全管理包括： 用户身份认证， 访问控制， 策 略设置， 数据擦除， 证书管理， 以及密钥管理； 移动应用管理包括： 应用 发布， 安装与升级管理， 以及运行控制； 其它管理包括： 备份管理， 测试 管理， 日志和 ^艮告， 以及应用行为统计。
全生命周期可以包括以下阶段： 注册阶段， 包括： 对设备和用户进行 注册、 设定初始密码， 以及存储用户图像信息： 接入控制阶段， 包括： 对 设备和用户进行认证、 下发安全策略， 以及对用户进行分权限和分组操作； 运行监管阶段， 包括： 当设备运行于企业场景时对设备进行监控、 发布企 业应用 APP, 以及下发公告信息； 回收期阶段， 包括： 对丧失权限用户进行 账号注销、 设备注销， 以及清除相应企业数据操作， 对清除丢失设备的企 业数据， 以及对账号进行再分配。
移动设备管理单元可以包括： 永远在线的推送消息平台， 其中， 永远 在线的推送消息平台包括： 永远在线引擎， 配置为给用户提供永远在线的 和实时的 IP消息推送服务。
永远在线的推送消息平台还可以包括：
业务处理子单元， 配置为提供无线侧各接入点的汇聚功能， 接纳并维 护接入终端的长连接；
鉴权子单元， 配置为对用户和业务提供商的接入进行鉴权， 和对互联 网业务和企业业务进行鉴权；
支撑子单元， 配置为对在线业务数据进行统计分析、 进行系统监控。 移动设备管理单元还可以包括： 开放设备平台客户端 ODP-C和开放设 备平台服务端 ODP-S , 其中， ODP-C, 配置为调用预先定义的与终端功能特 性对应的管理对象和移动设备管理单元的应用程序编程接口 API对终端的 硬件进行控制， 并通过移动设备管理单元的 framework控制上层应用的安装 和运行； ODP-S中集中了用于管理设备的业务逻辑， 其中， 业务逻辑包括： 业务表现层、 业务逻辑层、 业务支撑平台和^出服务层。
其中， 业务表现层， 配置为提供业务接入的接口、 用户操作的使用门 户， 以及应用的发布； 业务逻辑层， 配置为实现设备信息采集、 参数配置、 备份与恢复、 固件更新， 以及应用管理； 业务支撑平台包括： SyncML/XML 协议解析器、 OMA DM的协议族、 证书发布管理， 以及密钥生成管理； 基 础服务层包括： HTTP、 FTP以及 SNMP及应用层协议， 数据库访问管理， SSL链接管理， 消息服务。
本发明实施例还提供了一种维护 BYOD安全的方法。 图 3是根据本发明 实施例的维护 BYOD安全的方法流程图， 如图 3所示， 该方法主要包括以下 步骤（步骤 S302-步骤 S304 ):
步骤 S302, 将移动设备的用户标识 ID上传至服务端进行合法性判断， 接收服务端对移动设备的合法性判断结果， 确定移动设备是否属于合法设 步骤 S304 , 在确定接入的移动设备是合法设备的情况下， 根据使用移 动设备的用户从预置认证方式中选择的认证方式， 对用户进行身份认证， 其中， 移动设备的全生命周期的管理操作由移动设备管理系统提供， 管理 操作包括： 永远在线的推送消息服务。
在本实施例中， 管理操作还可以包括： 设备资源管理、 移动安全管理、 移动应用管理以及其它管理； 预置认证方式可以包括： 用户名和密码的认 证方式和基于人脸图像识别的认证方式。
在实际应用中， 为了保证 BYOD的安全性，可以设置安全沙箱隔离企业 数据与用户数据， 以保证企业数据就不能拷贝到用户数据中， 用户数据也 不能拷贝到企业数据中。 通过这样的方式， 可以防止用户数据中存在的木 马等非法程序进入企业数据， 污染企业数据环境， 同时保证了个人数据不 会流入企业环境， 危及个人隐私。
当用户由个人应用场景切换至企业应用场景时， 需要先对终端进行认 证， 将终端 ID上传至服务端， 服务端在确认是合法接入的终端后， 再使用 上述两种认证方式（用户名和密码认证、 基于人脸图像识别的认证方式） 之一对终端用户身份进行认证： ( 1 )若用户选择用户名和密码的认证方式， 客户端的软件可以携带加密的用户名和密码至服务端， 由服务端进行比对 确认身份正确后， 再登录文档安全管理系统和安全邮箱， 至此， 用户可访 问公司内部的资源。 （2 )若用户选择基于人脸图像识别的认证方式， 终端 可以提示用户即将进行拍照需要正脸对准摄像头， 再自动开启拍照功能抓 取照片后将照片 （即上述人脸头像）上传至服务端与标准数据进行比对， 以确认用户身份。
在实际应用中，移动设备管理系统可以支持对 BYOD设备全生命周期的 管理， 其主要提供设备注册、 安全策略配置、 企业移动应用发布和升级、 GPS定位、 数据擦除、 远程锁定与解锁等功能。 另外， 永远在线推送服务平 台的引入， 可以减少服务端网络开销， 保障设备管理模块对设备的监管。
采用上述实施例提供的维护 BYOD安全的客户端及方法，可以保证被授 权人员可以顺利进入企业系统进行办公， 进而达到了避免员工无法进入内 网处理紧急问题的情况的发生的效果。
下面结合图 4至图 9以及优选实施例对上述实施例提供的维护 BYOD安 全的客户端及方法进行更加详细的描述和说明。
图 4是根据本发明优选实施例的 BYOD系统的安全结构示意图， 如图 4 所示， BYOD系统的安全结构主要包括三大方面： 数据安全管理、 移动设备 管理、 设备与用户身份认证。
本优选实施例为用户提供一个统一的客户端， 该客户端即图 4中所示的 智能终端包含：移动设备管理（ MDM )、虚拟专用网络（ VPN, Virtual Private Network ) 的网络安全及网络监控、 安全邮箱、 文档安全工具、 安全沙箱、 传输安全及防病毒等一系列保障安全的应用， 用户可以通过该客户端与服 务端之间的交互获取认证和企业信息。 通过该客户端， 员工通过设备合法 性检测及用户身份识别可以方便、 快捷的接入企业环境， 进行工作， 对个 人数据和企业级的数据进行安全保护。
在本优选实施例中， 企业会预先为员工注册设备和个人账号。 注册需 要的信息包括： 设备唯一标识、 员工登录账号和密码、 员工人脸图像数据、 员工权限分组信息、 账号和设备的有效期等信息。 注册后将这些信息存入 服务器， 以待后续认证操作和设备管理使用。
为了保证企业数据安全和个人隐私， 本优选实施例采用安全沙箱技术， 这样可以成功隔离企业数据和个人数据， 企业不用担心企业数据进入个人 数据， 被员工泄露， 员工也不再担心私人信息被企业获取， 个人应用和企 业应用不能互相访问， 即， 可以阻止企业与个人数据之间的传输。 而且， 企业数据不仅有隔离保护， 还有加密保护， 所有数据都由安全工具加密保 存， 用户需要通过身份人证， 根据用户自身的权限， 访问企业资源。 例如， A项目组成员无法访问 B项目组的资源， 普通员工不能访问只为部长级以上 员工开放的资源。
另外， 客户端还提供防病毒安全防护工具， 保证企业数据免受病毒的 攻击。 网络安全管理对网络进行监控， 对企业无关或会对企业安全带来安 全隐患的网站进行屏蔽， 防止黑客的恶意攻击和企业数据通过网络泄露。 在数据传输安全方面， 可以通过网关和数据加密， 防止数据被截取和恶意 篡改。 在员工由个人应用场景切换至企业应用场景时， 需要通过双重身份 认证（设备合法性检测、 用户身份认证）。
需要说明的是， 图 1所示的 BYOD系统的安全结构的另一个重要部分就 是 MDM (即移动设备管理） 系统， 正如前面所描述， 其可以提供完整的设 备生命周期管理， 例如， 当设备遗失时， MDM可以执行远程锁定、 GPS定 位、 数据擦除、 数据备份等操作， 以保证数据的安全， 还可以帮助找回设 具体地， MDM担任着 BYOD全生命周期管理的重要任务， 包括以下子 功能： 1、设备资源管理： 终端信息采集和管理， 参数配置统计， 告警维护， 位置跟踪； 2、 移动安全管理： 身份鉴别， 访问控制， 策略设置， 数据擦除， 证书管理， 密钥管理； 3、 移动应用管理： 应用发布， 安装与升级管理， 运 行控制； 4、 其它管理功能： 备份管理， 测试管理， 日志和 4艮告， 应用行为 统计， 信息推送。
通过本优选实施例提供的两种身份认证方式， 可以避免员工在用户忘 记密码时， 无法进入企业网而不能处理紧急任务的情况。
根据本发明优选实施例的 BYOD用户身份认证， 包括以下内容： 默认情况下采用用户名和密码方式认证， 用户名和密码信息被加密上 传至服务端进行验证。 同时， 用户也可以选择更换认证方式， 采用人脸图 像识别的方式认证。 在用户选择人脸图像识别方式后， 客户端会提示用户 即将拍照抓取图像， 请脸部正面对准摄像头。 客户端会自动打开摄像机拍 照， 抓取照片后做灰度处理， 再加密上传至服务器与标准数据作对比， 最 终得出认证结果， 具体的步骤如图 5所示。
图 5是根据本发明优选实施例的 BYOD用户身份认证流程图， 包括以下 步骤：
步骤 401、 对用户身份进行识别。
步骤 402、 判断是否采用人脸识别方式， 如果是， 则执行步骤 403; 否 则， 执行步骤 410, 步骤 410是采用用户名 +密码的方式进行用户身份识别， 执行完步骤 410后， 执行步骤 409。
步骤 403、 采用人脸图像识别方式进行用户身份识别。
步骤 404、 提示用户拍照。
步骤 405、 自动开启摄像头拍照。
步骤 406、 对照片做灰度处理。
步骤 407、 加密上传至服务器。
步骤 409、 与标准数据比对。
步骤 409、 获得识别结果。
图 6是根据本发明优选实施例的 BYOD生命周期的示意图， 如图 6所示， BYOD生命周期示意图主要包括四个阶段： 注册、接入控制、 运行监管、 以 及回收。 其中， （1 ) 注册阶段， 对设备和用户进行注册， 设定初始密码， 存储用户图像信息； （2 )接入控制阶段， 对设备和用户身份进行认证、 下 发安全策略、 对用户分权限和分组； （3 )运行监管阶段， 在设备运行于企 业场景中， 对设备进行监控、 发布企业 app、 下发公告信息等； （4 ) 回收期 阶段， 指对离职员工的设备进行账号和设备注销， 清除企业数据等操作， 对丢失的设备清除企业数据等。 并对账号进行再分配。
为了缓解服务端的网络压力， 并同时保证设备不脱离 MDM的监管， 本 优选实施例引入了永远在线的消息推送平台， 该平台包括两个部分： 平台 服务端， 和终端侧的永远在线引擎（可以称之为终端中间件）。 该平台负责 接入移动互联网的永远在线业务， 为用户提供永远在线的及时的 IP推送业 务， 终端上应用通过永远在线引擎实现与平台侧的消息交互， 实现链路的 共享， 降低网络侧的压力。 其中， 永远在线引擎是内置在终端上的服务进 程， 负责终端应用与平台之间的消息转发。
图 7是才 据本发明优选实施例的消息推送平台的结构示意图， 如图 7所 示， 消息推送平台的结构主要包括：
业务处理子单元 406, 配置为提供无线侧各接入点的汇聚功能， 接纳并 维护终端的长连接。 同时负责长连接的唤醒， 与长连接方式的 Push相配合 提供高效、 稳定、 及时的 Push功能。
鉴权子单元 407, 配置为负责终端用户和业务提供商接入的鉴权以及互 联网应用 412和企业应用 411的鉴权。
支撑子单元 408, 配置为负责在线业务数据的统计分析、 系统监控、 中 间件的升级等功能。
消息推送平台如图 7中的企业网关 405所示， 企业网关 405由业务处理子 单元 406、 鉴权子单元 407和支撑子单元 408构成。
企业网关 405通过与 DNS的接口完成用户身份的查询。
企业网关 405通过与短信息网关 401间的接口下发短信实现移动终端 403的程序唤醒功能。 当企业网关 405和移动终端 403存在网络连接时， 可直 接下发 socket消息唤醒。
企业网关 405通过与业务运营支撑子单元 409间的接口完成计费数据的 传送以及用户开销户数据的同步。
企业网关 405通过与网管 410的接口实现移动网管的接入。 企业网关 405 与企业应用 411和互联网应用 412存在交互， 将交互结果处理后返回移动终 端 403。
企业网关 405的服务端部署在特定的服务器上， 终端侧永远在线引擎以 客户端组件的形式引入 BYOD客户端。 当客户端第一次启动时，会先启动该 组件， 并向永远在线引擎发起注册。 由于该组件是一个通用的模块， 终端 上的其他应用有可能已经引入，在 BYOD客户端启动之前，终端如果有已经 启动的永远在线弓 I擎组件，则会比较 BYOD客户端所带的引擎组件的版本和 已经启动的引擎的版本， 如果前者版本较高， 则启动 BYOD中的引擎组件， 替换现已启动的，反之， BYOD客户端直接向已启动的引擎注册。 永远在线 引擎会携带设备的注册信息至平台侧， 完成注册过程。
BYOD完成注册后， BYOD的服务端也需要完成到平台侧的注册。 整个 注册过程完成后， 链接建立， BYOD服务端就可以通过推送平台下发 NOTIFY消息至客户端， 发起对客户端的管理， 也可以下发公告信息至客户 端。
图 8是才 据本发明优选实施例的 MDM系统的逻辑示意图， 如图 8所示， MDM系统 于移动互联网开发的平台， 该平台是一种基于底层的分布式 缓存等服务组件， 并向上层产品提供统一开放的开发平台。 各种服务组件 包括： 开放设备平台客户端 502、 开放设备平台框架 503。 开放设备平台服 务端包括： 业务表现层 504、 业务逻辑层 505、 业务支撑平台 506、 基础服务 层 507、 数据库 508、 用户中心 509、 搜索平台 510、 精分平台 511。 上层的产 品层 501包括： 机顶盒、 云终端、 手机及平板。 图 8中还包括分布式缓存等 服务组件 512。
开放设备平台客户端（ ODP-C ) 502是移动终端开发平台中的组件之一， 其定义了一套与终端功能特性相对应的管理对象， 负责调用系统 API来对终 端硬件进行控制； 另外， 其可以通过操作系统的 framework控制上层应用的 安装运行。 开放设备平台服务端（ ODP-S )运行在移动互联网开发平台的服 务平台侧， 其主要负责与 ODP-C进行信息同步， 以完成服务平台对移动终 端的管理的指令下达和处理 ODP-C的状态上报消息更改终端状态信息。 需 要说明的是， ODP-S集中了移动设备管理的主要业务逻辑，该业务逻辑又具 体分为： 业务表现层 504, 业务逻辑层 505 , 业务支撑平台 506和^^服务层 507四个部分。 其中，
( 1 ) 业务表现层 504, 提供业务接入的接口和用户操作使用门户， 另 外， 应用的发布也在这一层实现的； ( 2 ) 业务逻辑层 505 , 包含了完成业务流程的功能单元（支可扩展性 配置）， 在开始阶段， 这里主要实现了设备信息采集， 参数配置， 备份与恢 复， 固件更新， 应用管理等功能单元；
( 3 ) 业务支撑平台 507 , 包含了 SyncML/XML协议解析器， OMA DM 的协议族， 证书发布管理和密钥生成管理功能。
( 4 ) ^出服务层 507, 包含了通用应用服务的协议支撑， 例如 HTTP, FTP, SNMP及其它应用层协议， 数据库访问管理， SSL链接管理， 消息服 务等等， 这些都是业务支撑层的服务基础。
图 9是根据本发明优选实施例的数据交互过程的示意图， 如图 9所示， 该数据交互过程示包含两个阶段：
准备阶段： 传递通知和鉴权信息， 包含 PACKAGE 0 (仅 NOTIFY消息需 要)、 PACKAGE 1、 PACKAGE 2;
管理阶段： 管理阶段为指令下发， 指令响应过程的信息交互， 包含 PACKAGE 3和 PACKAGE 4, 这两个 PACKAGE在一次交互过程中可以有多 个。
对图 9中各个 PACKAGE代表的含义说明如下：
PACKAGE 0:
通过推送平台， 下发服务器的 NOTIFY消息至客户端， 通知设备与服务 器建立连接。 终端已预先在推送平台注册， 平台可根据终端唯一标识找到 终端， 下发消息。
PACKAGE 1 :
设备在收到平台推送的 NOTIFY消息后，携带设^言息和认证信息至服 务端进行认证， 开启一次新的会话。
PACKAGE 2:
服务器启动会话， 向客户端发送管理指令 Commands。 PACKAGE 3:
回复 PACKAGE 2中的 Commands命令执行结果。
PACKAGE 4:
继续下发管理指令或者结束对话。
PACKAGE 4之后仍有管理指令待下发时， 重复多次下发 PACKAGE 3 和 PACKAGE 3 , 直到所有指令下发完成。
通过上述优选实施例的实施， 可以从设备合法性和用户身份认证、 数 据安全防护、设备管理三个方面保证了 BYOD的应用安全， 促进 BYOD智能 移动办公的推广， 通过这样的方式， 可以保证被授权人员可以顺利进入企 业系统进行办公， 避免员工无法进入内网处理紧急问题的情况的发生。
需要说明的是， 上述各个模块是可以通过硬件来实现的。 例如： 一种 处理器， 包括上述各个模块， 或者， 上述各个模块分别位于一个处理器中。
在另外一个实施例中， 还提供了一种软件， 该软件用于执行上述实施 例及优选实施方式中描述的技术方案。
在另外一个实施例中， 还提供了一种存储介质， 该存储介质中存储有 上述软件， 该存储介质包括但不限于： 光盘、 软盘、 硬盘、 可擦写存储器 等。
从以上的描述中， 可以看出， 本发明实现了如下技术效果： 从设备合 法性和用户身份认证、数据安全防护、设备管理三个方面保证了 BYOD的应 用安全，促进 BYOD智能移动办公的推广，提供两种用户身份认证方式来保 证 BYOD的安全和效率，从而实现了用户名加密码的认证方式和基于人脸图 像识别的认证方式可以融合使用， 尤其是对于基于人脸图像识别的认证方 式， 其可以在用户忘记密码时发挥重要作用， 此时用户只需选择人脸识别 认证方式， 再用摄像头拍取照片， 即可继续认证流程。 通过这样的方式， 可以保证被授权人员可以顺利进入企业系统进行办公， 避免员工无法进入 内网处理紧急问题的情况的发生。
以上所述， 仅为本发明的较佳实施例而已， 并非用于限定本发明的保 护范围。 工业实用性
由于本发明实施例采用在确定接入的移动设备是合法设备的情况下， 根据使用所述移动设备的用户从预置认证方式中选择的认证方式， 对用户 进行身份认证； 给所述移动设备的全生命周期提供管理操作， 其中， 所述 管理操作包括： 永远在线的推送消息服务， 因此， 采用本发明实施例， 解 决了相关技术中 BYOD安全解决方案无法有效平衡企业信息安全与员工信 息安全的问题， 可以保证被授权人员可以顺利进入企业系统进行办公， 进 而达到了避免员工无法进入内网处理紧急问题的情况的发生的效果。

Claims

权利要求书
1.一种维护 BYOD安全的客户端， 包括：
设备与用户身份认证模块， 配置为在确定接入的移动设备是合法设备 的情况下， 根据使用所述移动设备的用户从预置认证方式中选择的认证方 式， 对用户进行身份认证；
移动设备管理模块， 配置为给所述移动设备的全生命周期提供管理操 作， 其中， 所述管理操作包括： 永远在线的推送消息服务。
2.根据权利要求 1所述的客户端， 其中， 所述设备与用户身份认证模块 包括：
设备检测单元， 配置为将所述移动设备的用户标识 ID上传至服务端进 行合法性判断， 接收所述服务端对所述移动设备的合法性判断结果， 确定 所述移动设备是否属于合法设备；
用户身份认证单元， 配置为在用户选择用户名和密码的认证方式的情 况下， 将用户输入的用户名和密码加密上传至所述服务端进行验证； 在用 户选择基于人脸图像识别的认证方式的情况下， 提示用户进行拍照以获取 用户的人脸头像， 将所述人脸头像加密上传至所述服务端与标准数据进行 对比以得到验证结果。
3.根据权利要求 1所述的客户端， 其中，
所述管理操作还包括： 设备资源管理、 移动安全管理、 移动应用管理 中的任意一种管理操作；
所述预置认证方式包括： 基于用户名和密码的认证方式、 基于人脸图 像识别的认证方式中的任意一种认证方式。
4.根据权利要求 3所述的客户端， 其中，
所述设备资源管理包括： 终端信息采集和管理、 参数配置统计、 告警 维护、 位置跟踪中的至少一种管理方式； 所述移动安全管理包括： 用户身份认证、 访问控制、 策略设置、 数据 擦除、 证书管理、 密钥管理中的至少一种管理方式；
所述移动应用管理包括： 应用发布、 安装与升级管理、 运行控制中的 至少一种管理方式；
所述管理操作还包括： 备份管理、 测试管理、 日志和报告、 应用行为 统计中的任意一种管理操作。
5.根据权利要求 1所述的客户端，其中，所述全生命周期包括以下阶段： 注册阶段， 包括： 对设备和用户进行注册、 设定初始密码， 以及存储 用户图像信息：
接入控制阶段， 包括： 对设备和用户进行认证、 下发安全策略， 以及 对用户进行分权限和分组操作；
运行监管阶段， 包括： 当设备运行于企业场景时对设备进行监控、 发 布企业应用 APP , 以及下发公告信息；
回收期阶段， 包括： 对丧失权限用户进行账号注销、 设备注销， 以及 清除相应企业数据操作， 对清除丢失设备的企业数据， 以及对账号进行再 分配。
6.根据权利要求 1所述的客户端， 其中， 所述移动设备管理模块包括： 永远在线的推送消息平台， 其中， 所述永远在线的推送消息平台包括： 永远在线引擎， 配置为给用户提供永远在线的和实时的 IP消息推送服
7.根据权利要求 6所述的客户端， 其中， 所述永远在线的推送消息平台 还包括：
业务处理子单元， 配置为提供无线侧各接入点的汇聚功能， 接纳并维 护接入终端的长连接；
鉴权子单元， 配置为对用户和业务提供商的接入进行鉴权， 和对互联 网业务和企业业务进行鉴权；
支撑子单元， 配置为对在线业务数据进行统计分析、 进行系统监控。
8.根据权利要求 1至 7中任一项所述的客户端， 其中， 所述移动设备管 理单元包括：开放设备平台客户端 ODP-C和开放设备平台服务端 ODP-S ,其 中，
所述 ODP-C, 配置为调用预先定义的与终端功能特性对应的管理对象 和移动设备管理单元的应用程序编程接口 API对终端的硬件进行控制 , 并通 过移动设备管理单元的 framework控制上层应用的安装和运行；
所述 ODP-S , 配置为集中了用以管理设备的业务逻辑， 其中， 所述业务 逻辑包括： 业务表现层、 业务逻辑层、 业务支撑平台和^出服务层。
9.根据权利要求 8所述的客户端， 其中，
所述业务表现层， 配置为提供业务接入的接口、 用户操作的使用门户， 以及应用的发布；
所述业务逻辑层， 配置为实现设备信息采集、 参数配置、 备份与恢复、 固件更新， 以及应用管理；
所述业务支撑平台包括： SyncML/XML协议解析器、 OM A DM的协议 族、 证书发布管理， 以及密钥生成管理；
所述基础服务层包括： HTTP、 FTP以及 SNMP及应用层协议， 数据库 访问管理， SSL链接管理， 消息服务。
10.—种维护 BYOD安全的方法， 包括：
在确定接入的移动设备是合法设备的情况下， 根据使用所述移动设备 的用户从预置认证方式中选择的认证方式， 对用户进行身份认证；
给所述移动设备的全生命周期提供管理操作， 其中， 所述管理操作包 括： 永远在线的推送消息服务。
11.根据权利要求 10所述的方法， 其中， 所述在确定接入的移动设备是 合法设备的情况下， 根据使用所述移动设备的用户从预置认证方式中选择 的认证方式， 对用户进行身份认证， 包括：
将移动设备的用户标识 ID上传至服务端进行合法性判断， 接收所述服 务端对所述移动设备的合法性判断结果， 确定所述移动设备是否属于合法 设备， 在确定接入的移动设备是合法设备的情况下， 根据使用所述移动设 备的用户从预置认证方式中选择的认证方式， 对用户进行身份认证。
12. 根据权利要求 11所述的方法， 其中， 所述根据使用所述移动设备 的用户从预置认证方式中选择的认证方式， 对用户进行身份认证， 包括： 将用户输入的用户名和密码加密上传至所述服务端进行验证； 或者，
提示用户进行拍照以获取用户的人脸头像， 将所述人脸头像加密上传 至所述服务端与标准数据进行对比以得到验证结果。
13.根据权利要求 10所述的方法， 其中，
所述管理操作还包括： 设备资源管理、 移动安全管理、 移动应用管理 中的任意一种管理操作；
所述预置认证方式包括： 基于用户名和密码的认证方式、 基于人脸图 像识别的认证方式中的任意一种认证方式。
14.根据权利要求 13所述的方法， 其中， 所述设备资源管理包括： 终端 信息采集和管理、 参数配置统计、 告警维护、 位置跟踪中的至少一种管理 方式；
所述移动安全管理包括： 用户身份认证、 访问控制、 策略设置、 数据 擦除、 证书管理、 密钥管理中的至少一种管理方式；
所述移动应用管理包括： 应用发布、 安装与升级管理、 运行控制中的 至少一种管理方式；
所述管理操作还包括： 备份管理、 测试管理、 日志和报告、 应用行为 统计中的任意一种管理操作。
PCT/CN2014/079382 2013-12-31 2014-06-06 维护byod安全的客户端及方法 WO2014187393A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201310752147.1A CN104754582B (zh) 2013-12-31 2013-12-31 维护byod安全的客户端及方法
CN201310752147.1 2013-12-31

Publications (1)

Publication Number Publication Date
WO2014187393A1 true WO2014187393A1 (zh) 2014-11-27

Family

ID=51932941

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/079382 WO2014187393A1 (zh) 2013-12-31 2014-06-06 维护byod安全的客户端及方法

Country Status (2)

Country Link
CN (1) CN104754582B (zh)
WO (1) WO2014187393A1 (zh)

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWM514703U (zh) * 2015-07-24 2015-12-21 Aten Int Co Ltd 網路應用服務裝置
CN105162798A (zh) * 2015-09-24 2015-12-16 西安未来国际信息股份有限公司 一种智能终端专有网络访问的安全认证方法
CN105844142B (zh) * 2016-03-16 2019-04-05 上海新炬网络技术有限公司 一种数据库帐号安全集中管控方法
CN107786486B (zh) * 2016-08-18 2020-03-24 成都鼎桥通信技术有限公司 操作系统的激活方法及装置
CN106572112A (zh) * 2016-11-09 2017-04-19 北京小米移动软件有限公司 访问控制方法及装置
CN106647560A (zh) * 2016-11-23 2017-05-10 中国南方电网有限责任公司 移动应用统一管理方法
CN106713270A (zh) * 2016-11-24 2017-05-24 北京康易联技术有限公司 一种进行信息验证的方法和设备
CN107172008B (zh) * 2017-04-01 2019-10-18 北京芯盾时代科技有限公司 一种在移动设备中进行多系统认证及同步的系统和方法
CN109842600B (zh) * 2017-11-29 2021-08-17 中国移动通信集团山西有限公司 一种实现移动办公的方法、终端设备及mdm设备
CN108073901B (zh) * 2017-12-18 2020-10-27 武汉普利商用机器有限公司 一种人脸比对应用集成方法与系统
CN108076069A (zh) * 2017-12-28 2018-05-25 武汉虹旭信息技术有限责任公司 基于Android平台的移动办公安全系统及其方法
CN108667843A (zh) * 2018-05-14 2018-10-16 桂林电子科技大学 一种针对byod环境的信息安全保护系统与方法
CN111093183B (zh) 2019-11-13 2022-02-11 华为技术有限公司 一种移动设备管理方法及设备
CN111061790A (zh) * 2019-12-13 2020-04-24 江苏智谋科技有限公司 一种用于客户数据管理的信息采集系统及方法
CN113162905A (zh) * 2021-02-26 2021-07-23 山东浪潮通软信息科技有限公司 一种企业移动设备的管控方法、设备及介质
CN115225372B (zh) * 2022-07-18 2024-02-13 镁佳(北京)科技有限公司 一种mqtt客户端接入方法、系统、装置及电子设备

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2010101697A2 (en) * 2009-02-06 2010-09-10 Oculis Labs, Inc. Video-based privacy supporting system
CN103297470A (zh) * 2012-02-29 2013-09-11 中国移动通信集团公司 永远在线业务的处理方法、应用服务器、用户终端和系统
US20130254837A1 (en) * 2013-05-16 2013-09-26 Sky Socket, Llc Rights Management Services Integration with Mobile Device Management

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8068870B2 (en) * 2008-04-14 2011-11-29 Aruba Networks, Inc. Enterprise location discovery in dual-mode phones
CN102149153B (zh) * 2010-07-15 2016-08-17 优视科技有限公司 一种用于移动通讯设备终端的网络自动切换方法及装置
CN103297515A (zh) * 2013-05-06 2013-09-11 北京启创卓越科技有限公司 移动办公系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2010101697A2 (en) * 2009-02-06 2010-09-10 Oculis Labs, Inc. Video-based privacy supporting system
CN103297470A (zh) * 2012-02-29 2013-09-11 中国移动通信集团公司 永远在线业务的处理方法、应用服务器、用户终端和系统
US20130254837A1 (en) * 2013-05-16 2013-09-26 Sky Socket, Llc Rights Management Services Integration with Mobile Device Management

Also Published As

Publication number Publication date
CN104754582A (zh) 2015-07-01
CN104754582B (zh) 2019-10-11

Similar Documents

Publication Publication Date Title
WO2014187393A1 (zh) 维护byod安全的客户端及方法
US10104128B2 (en) Automatically configuring mobile devices and applying policy based on device state
US10200412B2 (en) Security policy enforcement for mobile devices based on device state
EP3843329B1 (en) Device authentication based upon tunnel client network requests
US9240977B2 (en) Techniques for protecting mobile applications
CN102047262B (zh) 用于分布式安全内容管理系统的认证
US10237732B2 (en) Mobile device authentication in heterogeneous communication networks scenario
US8387131B2 (en) Enforcing secure internet connections for a mobile endpoint computing device
CN107005442B (zh) 用于远程接入的方法和装置
JP6337642B2 (ja) パーソナルデバイスからネットワークに安全にアクセスする方法、パーソナルデバイス、ネットワークサーバ、およびアクセスポイント
US9270454B2 (en) Public key generation utilizing media access control address
US20070143408A1 (en) Enterprise to enterprise instant messaging
JP2016201150A (ja) 安全移動体フレームワーク
EP2924944B1 (en) Network authentication
CN107426174A (zh) 一种可信执行环境的访问控制系统及方法
CN105991647B (zh) 一种数据传输的方法
US11362827B2 (en) IOT security mechanisms for industrial applications
US20180248892A1 (en) Location-Based Continuous Two-Factor Authentication
JP2017152880A (ja) 認証システム、鍵処理連携方法、および、鍵処理連携プログラム
KR101310631B1 (ko) 네트워크 접근 제어 시스템 및 방법
CN104918248A (zh) 应用流量管理、应用加速和安全的企业移动安全网关方法
US8910250B2 (en) User notifications during computing network access
CN103475491A (zh) 一种无密码安全登录的远程维护系统和实现方法
CN105812218A (zh) 用于实现应用多vpn协议接入的方法、中间件和移动终端
CN115277237A (zh) 移动终端接入企业内网的控制方法及装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14801250

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14801250

Country of ref document: EP

Kind code of ref document: A1