摘要：互联网安全本身的问题同移动网络的安全问题结合在一起，加大了人们使用移动互联网的风险，本文探讨移动互联网的信息安全问题，力求在安全使用移动网络方面探索一条有效途径。
关键词：移动互联网；信息安全
前言
随着物联网的发展，有线网络在支持网络连接方面已经远远落后于实际的需求。物联网要求万物互联，移动的设备与网络连接的最好方式就是无线网络。近年来，人民银行积极推动移动金融的发展，移动金融首先必须有移动网络的支持。但由于移动网络出现较晚，在技术上没有完整完善的信息安全规划，各单位在无线网络的使用方面面一直持谨慎态度，部分机构内部禁止私自使用无线网络。为了明确移动互联网存在的安全问题并探索解决方案，本文通过调研、座谈、测试等多种方式，探讨移动互联网的信息安全问题，力求为安全使用移动网络探索一条有效途径。
1基本概念
移动互联网是移动通信技术与互联网技术融合而生，其主要特征是用户在移动的过程中通过移动设备随时随地访问互联网。以移动通信作为接入网络是狭义的移动互联网，以各种无线网络作为接入网是广义的移动互联网。中国工业和信息化部电信研究院在2011年的《移动互联网白皮书》中给出：“移动互联网是以移动网络作为接入网络的互联网及服务，包括3个要素：移动终端、移动网络和应用服务。
2主要问题
与固定互联网相比，移动互联网的特征可以总结为3个方面，即移动性、私密性和融合性。移动互联网与传统互联网的不同给信息安全带来了新的问题，主要体现在如下几方面。一是如何对接入网络的地点、设备、人员进行认证；二是如何保证网络数据不被窃听；三是如何保证发生信息安全问题后的追查；四是病毒、木马等恶意代码的防范。
2.1认证问题
一是身份认证方式简单，普遍使用静态口令，安全性不够。二是数字证书的形式不够灵活，复杂的操作、较高的计算负荷不能满足移动终端快速响应的要求。三是跨域信任的问题，身份认证中广泛应用的PKI体系在移动终端应用时会产生跨域信任的问题。四是客户端应用实现存在安全风险，部分手机SIM卡采用的加密技术存在安全漏洞，网络犯罪分子可以利用这一漏洞，控制人们的手机。
2.2数据通信问题
无线电波传输的开放性和无线信号获取的便利性，使得不法分子对移动网络中的信息窃取是比较容易的。服务提供商提供了发送与接收双向服务，为合法的用户发送需求的数据，接收合法的用户的访问请求及数据提交。若缺乏相应的保密机制与技术措施，非法用户通过窃听等手段能够轻易的得到合法用户的访问权限，获取用户与服务提供商之间的交互信息，可利用这些信息伪装成合法用户获取资源，或伪装成服务提供商向用户提供恶意信息。
2.3审计问题
传统的网络安全防护措施有防火墙、入侵检测、防DDOS攻击设备等，但这些监管技术手段难以在移动互联网上应用，针对移动互联网的监控和保护措施非常缺乏。移动互联网具有跨地区、跨网段、跨平台的特点，在为人们随时随地提供便捷上网服务的同时，也存在着众多的安全弊端以及审计漏洞。
2.4病毒防范
病毒软件是危害移动互联网安全的首要问题，虽然相关机构早已开始对病毒软件开展整治工作，但病毒软件在我国依旧十分猖獗。在现阶段相关部门的调查中，我国现阶段移动互联网上大约活动着超过600种，并且增加的速度越来越明显。当前，手机病毒已经泛滥成灾，维护移动互联网安全，任重而道远。
3主要措施
移动互联网主要有两种接入方式：移动通信方式接入和企业级WLAN接入。移动通信方式主要是通过手机卡、无线上网卡等终端接入移动通信网络，如3G、4G网络，实现与互联网的连接，对信息安全的管理主要有运营商和手机厂商实现，普通用户从技术上无法干预。企业级WLAN由企业自行构建，安全体系可自行控制。因此，我们讨论移动互联网信息安全的措施与手段，主要从企业级WLAN构建的角度出发。
3.1技术架构
企业级WLAN构建方案如图1所示，主要包括无线的接入与无线的管控两方面。3.1.1无线的接入无线接入AP分为两种，在楼层的公共区域（如走廊过道顶部）安装放装型AP，均匀分布，保证信号覆盖。个别信号覆盖不到的地方，补充安装面板型AP，实现无线信号的全覆盖。3.1.2无线的管控无线的管控主要由无线接入控制交换机完成，在该设备上，通过配置接入终端的MAC地址，实现设备的准入，为配置物理信息的设备无法访问无线网络。上网管理行为系统能够将无线接入与有线接入一样，对用户的上网进行监测，对网络的流量进行控制。防火墙、防DDOS攻击设备都是通用的安全设备，当无线接入汇入有线设备后，其攻击行为能够受到安全设备的有效防范。
3.2注意事项
安全风险管理重在超前防范，在使用移动互联网时，提前学习相关风险防范措施，紧绷信息安全这根弦，是防止信息安全事件发生，保护个人隐私数据不受侵犯的有效手段。一是安全使用WiFi。（1）不要随意使用来源不明的无线网络，免费又不需密码的公共WiFi，安全风险最大；（2）在使用手机支付或者转账时，尽量使用移动网络，因为手机移动4G网络比无线WiFi安全系数高。二是注重终端安全防范。手机作为移动终端，应关闭移动共享，防止文件泄露；应安装防病毒软件，防范病毒入侵；应关闭WiFi自动连接功能，防止误入钓鱼网站，导致账户信息泄密与资金风险。三是安全使用浏览器。浏览器是互联网的入口，是用户最常使用的软件，漏洞的存在使其成为很多攻击者追寻的目标，导致一系列的安全问题。因此，在笔记本电脑或智能手机使用无线网络，应经常对浏览器进行升级，并安装一些安全控件进行加固。四是安全设置路由器。家里使用的路由器管理后台的用户名、密码，不要使用默认的用户名密码，密码最好更改为数字+字母+字符的高强度密码，同时设置的WiFi密码选择WPA2加密认证方式，防止非法用户篡改设备配置。五是防止非法外联。在办公区域使用移动互联网，应高度谨慎，防止非法外联。当移动设备接入内部网络前，可通过关闭或者禁用无线网卡来杜绝非法外联事件发生。
3.3管理措施
3.3.1建立接入审批制度建立移动互联网申请审批流程，由申请人提交申请书，由本部门负责人、保密部门负责人和科技部门负责人审批后，登记移动终端设备MAC地址，并签署保密协议，方可接入移动互联网。用户手机终端设备的变更，同样需要报备审批，便于所有上网用户的信息及时更新。3.3.2加强日常行为监测通过部署上网行为管理系统，对用户日常上网行为，设定相关策略，阻止非法操作，防止信息安全事件发生。上网行为管理具备专业的行为管理、应用控制、流量管控、信息管控、非法热点管控、行为分析、无线网络管理等功能，能够做到全网全终端统一上网行为管理，有效防止员工进行与工作无关的网络行为。提高带宽资源利用率，规避泄密和法规风险、保障内网数据安全，实现可视化管理以及全面管控无线AP。3.3.3强化操作日志审计用户访问日志的保存是相当重要的，信息安全管理规定通常要求日志保存在三个月以上。无线管控需要部署日志服务器，增加日志审计功能模块，包含Web访问审计、文件传输审计、邮件审计、用户行为审计等内容。一方面，网络管理员可以通过查询系统日志记录，随时了解本单位网络系统的运行情况，及时发现系统异常事件；另一方面，通过事后分析和丰富的报表系统，管理员可以高效地对用户群体进行有针对性的安全审计。遇到特殊安全事件和系统故障，日志审计系统可以帮助网管人员对故障进行快速定位，并为责任追查和数据恢复提供客观依据。3.3.4加大安全宣传力度人是决定移动互联网安全问题的关键性因素，只有拥有遵守法律法规和操作规范的使用人群，才能保证移动互联网不再出现安全问题。因此，应加大信息安全宣传力度，通过宣传板、公示栏、单位广播等方式向人们宣传移动互联网安全问题，在讲述移动互联网安全问题对人们的危害时，也要讲明相关安全问题在人们生活中的体现，提高人们对移动互联网安全问题的认识，降低相关安全问题对人们的影响。
参考文献：
[1]赵玉雪.移动互联网中的认证机制研究[D].南京邮电大学，2011.
[2]李佳.移动互联网的信息安全研究[D].首都经济贸易大学，2014.
[3]罗军舟等.移动互联网：终端、网络与服务[J].计算机学报，2011.
[4]李志永.移动互联网数据传输安全机制研究与审计陕西职称[D].南京航空航天大学，2010.
[5]杜元胜.移动互联网安全问题与应对策略探讨[J].电子技术与软件工程，2014.
[6]周鹏东.银行无线网络的安全性探讨[J].金融电子化，2008.
作者：谭旺 侯爱莲 单位：中国人民银行长沙中心支行
