6月26日晚，大量用戶反饋QQ號(hào)碼被盜，被盜賬號(hào)會(huì)自動(dòng)給好友和群發(fā)不雅圖片及賭博性內(nèi)容。6月27日中午，騰訊QQ官方微博聲明，該事件主要原因“系用戶掃描過不法分子偽造的游戲登錄二維碼并授權(quán)登錄，該登錄行為被出黑產(chǎn)團(tuán)伙劫持并記錄，隨后被不法分子利用發(fā)送不良圖片廣告。”
QQ被盜事件再次引發(fā)了大家對(duì)即時(shí)通訊產(chǎn)品安全的關(guān)注，融云政企研發(fā)總監(jiān)大池和PMO蘇東升由此事件展開，對(duì)不同組織在特殊環(huán)境下的企業(yè)通訊安全防護(hù)進(jìn)行了一系列討論。
融云政企研發(fā)總監(jiān)大池表示，QQ被盜算是比較嚴(yán)重的惡性事件。因?yàn)門oC場(chǎng)景下的即時(shí)通訊產(chǎn)品，本身用戶基數(shù)非常大，所以它在安全上出現(xiàn)一點(diǎn)點(diǎn)小的漏洞，都會(huì)波及全網(wǎng)。而ToB場(chǎng)景下的即時(shí)通訊產(chǎn)品，雖然用戶基本都是企業(yè)，用戶基數(shù)相對(duì)較小，但是它們傳輸?shù)臇|西更機(jī)密，更關(guān)乎于企業(yè)的生存，所以數(shù)據(jù)重要性安全級(jí)別更高。
事實(shí)上，不同組織內(nèi)部網(wǎng)絡(luò)架構(gòu)各有不同，網(wǎng)絡(luò)安全防護(hù)需求不同，所需要的安全通訊保障也不同。
如何滿足組織，在特定網(wǎng)絡(luò)要求中的產(chǎn)品部署?
有一些用戶要求產(chǎn)品實(shí)現(xiàn)內(nèi)外網(wǎng)隔離與互通。如圖1，在辦公網(wǎng)環(huán)境中，PC端用戶可接入內(nèi)網(wǎng)服務(wù)，但移動(dòng)端用戶接入內(nèi)網(wǎng)有難度。而隨著智能手機(jī)的普及和5G、大數(shù)據(jù)等技術(shù)的發(fā)展，加上即時(shí)通訊產(chǎn)品可多端登錄的特點(diǎn)，移動(dòng)端用戶可直接接入互聯(lián)網(wǎng)，實(shí)現(xiàn)移動(dòng)辦公，提升辦公效率。
圖1 -內(nèi)外網(wǎng)環(huán)境
比如，針對(duì)內(nèi)部機(jī)要文件或信息，用戶只能在內(nèi)網(wǎng)環(huán)境通過PC端查閱及處理，因?yàn)橐苿?dòng)端用戶通過互聯(lián)網(wǎng)查看或處理文件有潛在風(fēng)險(xiǎn)。但移動(dòng)端用戶可通過即時(shí)通訊產(chǎn)品的推送功能獲悉該文件或信息的存在，然后登錄內(nèi)網(wǎng)PC端進(jìn)行查閱或處理。
這樣可以確保用戶該看到的文件可以看到，但在不滿足特定網(wǎng)絡(luò)環(huán)境的情況下，不該看到的文件就不會(huì)看到。
另一些用戶要求在專網(wǎng)部署產(chǎn)品，如軍隊(duì)和公安。
圖2 -帶網(wǎng)閘網(wǎng)絡(luò)交互圖
為滿足此類用戶對(duì)高安全性的需求，融云即時(shí)通訊產(chǎn)品選擇通過網(wǎng)閘進(jìn)行數(shù)據(jù)傳導(dǎo)，提供特定的安全防護(hù)和敏感信息的過濾，可實(shí)現(xiàn)不同安全級(jí)別網(wǎng)絡(luò)之間的安全距離，并提供適度可控的數(shù)據(jù)較短的軟硬件系統(tǒng)。
但網(wǎng)閘的存在，直接影響即時(shí)通訊產(chǎn)品在即時(shí)性上的用戶體驗(yàn)。標(biāo)準(zhǔn)的即時(shí)通訊產(chǎn)品，如傳統(tǒng)的互聯(lián)網(wǎng)或者B/S結(jié)構(gòu)，基于HTTPS協(xié)議保證即時(shí)性。HTTPS協(xié)議是一種短連接，每一次請(qǐng)求都會(huì)建立一個(gè)連接，而收到應(yīng)答以后就會(huì)銷毀掉連接。
如OA或者新聞?lì)惥W(wǎng)站，用戶收到想要的數(shù)據(jù)以后，在本地進(jìn)行瀏覽，這么做雖然減輕了服務(wù)端的資源消耗，但同時(shí)也會(huì)影響即時(shí)性，因?yàn)楫?dāng)連接斷開以后，客戶端和服務(wù)器之間就不存在任何關(guān)系了。
所以為滿足即時(shí)性需求，當(dāng)前市面上基本所有即時(shí)通訊產(chǎn)品底層都采用TCP長(zhǎng)連接。所謂長(zhǎng)連接就是當(dāng)連接建立以后不再斷開，和服務(wù)器一直保持聯(lián)系。當(dāng)消息需要傳遞給用戶時(shí)，長(zhǎng)連接就會(huì)在第一時(shí)間發(fā)送到用戶客戶端上。
但網(wǎng)閘的存在，對(duì)于TCP長(zhǎng)連接是一個(gè)非常大的挑戰(zhàn)，因?yàn)榫W(wǎng)閘會(huì)導(dǎo)致TCP連接受限。融云即時(shí)通訊產(chǎn)品會(huì)在網(wǎng)閘上部署相關(guān)安全模塊，通過“反向代理服務(wù)”進(jìn)來的需求，到網(wǎng)閘就會(huì)從TCP轉(zhuǎn)化成HTTPS請(qǐng)求，再投遞到內(nèi)網(wǎng)服務(wù)器上。所以，通過優(yōu)化協(xié)議轉(zhuǎn)換模塊，可以在保證安全性的基礎(chǔ)上，兼顧TCP長(zhǎng)連接的即時(shí)性。
還有一些用戶，針對(duì)防火墻、VPN、加密機(jī)等有特殊需求。針對(duì)VPN，融云一般提供兩種解決方案。一種方案是在系統(tǒng)或手機(jī)上安裝VPN軟件撥號(hào)，建立和打通安全隧道以后，再啟動(dòng)應(yīng)用進(jìn)行安全通訊。
但這種方式有兩個(gè)問題，第一是操作比較繁瑣，第二是用戶等待時(shí)間相對(duì)較長(zhǎng)。對(duì)于即時(shí)通訊產(chǎn)品而言，用戶體驗(yàn)稍差。
另一種方案是把VPN的SDK嵌入到即時(shí)通訊應(yīng)用里，用戶收到通知可直接點(diǎn)開應(yīng)用軟件查看消息。當(dāng)軟件啟動(dòng)時(shí)，VPN隧道會(huì)自動(dòng)建立。即便VPN建立會(huì)消耗一定的時(shí)間，但它是一個(gè)無縫銜接的過程，用戶體驗(yàn)較好，一般來說我們建議用戶把VPN的SDK集成進(jìn)來。融云的即時(shí)通訊產(chǎn)品為這些VPN的SDK集成預(yù)留了相關(guān)接口，可通過簡(jiǎn)單的替換進(jìn)行不同廠商的VPN SDK封裝。
即時(shí)通訊產(chǎn)品，傳輸鏈路安全性如何保證?
即時(shí)通訊產(chǎn)品通過基于TLS的HTTPS協(xié)議來保證HTTP鏈路層面的安全性，TLS是國(guó)際通用的算法標(biāo)準(zhǔn)。
圖3 - TLS-over-TCP
在TCP長(zhǎng)連接層面，融云產(chǎn)品集成了標(biāo)準(zhǔn)的TLS，確保鏈路傳輸?shù)陌踩?。但是在混合用戶?chǎng)景下，比如除了內(nèi)部用戶，即時(shí)通訊產(chǎn)品也用于外部互聯(lián)網(wǎng)客戶時(shí)，因?yàn)橐ＷC互聯(lián)網(wǎng)用戶數(shù)據(jù)回傳到私有部署的數(shù)據(jù)中心鏈路安全，就無法使用VPN方案。
在這種情況下，在數(shù)據(jù)或標(biāo)準(zhǔn)應(yīng)用層面，通過HTTPS確保安全性，而在TCP層面則通過TLS-over-TCP協(xié)議確保達(dá)到同一安全標(biāo)準(zhǔn)。
在信創(chuàng)環(huán)境下，如何確保即時(shí)通訊產(chǎn)品安全性?
信創(chuàng)整體訴求主要集中于系統(tǒng)安全、網(wǎng)絡(luò)安全和業(yè)務(wù)安全，甚至還有國(guó)家安全。所以為了滿足上述安全需求，融云即時(shí)通訊產(chǎn)品結(jié)合了信創(chuàng)工委會(huì)相關(guān)標(biāo)準(zhǔn)，并支持國(guó)密算法。另外，在整體架構(gòu)和在網(wǎng)絡(luò)層面，融云有國(guó)密代理或者密碼機(jī)。密碼機(jī)基于國(guó)密，對(duì)鏈路層面進(jìn)行加解密。
具體到業(yè)務(wù)層面，以視頻會(huì)議場(chǎng)景為例。
圖4 -視頻會(huì)議場(chǎng)景概念圖
在加密層面，融云視頻會(huì)議系統(tǒng)有一個(gè)加密機(jī)的角色，同時(shí)通過密管和身份認(rèn)證系統(tǒng)的后臺(tái)，去管理業(yè)務(wù)過程中產(chǎn)生的密鑰，并使用密管生成的密鑰搭建支持國(guó)密的加密通道。因?yàn)槿谠埔曨l會(huì)議基于WEB RTC的基礎(chǔ)實(shí)現(xiàn)，所以流傳輸采用UDP(無連接的傳輸協(xié)議)。在UDP層面，視頻會(huì)議采用自定義加密對(duì)流進(jìn)行國(guó)密的加密。
而密鑰交換在融云視頻會(huì)議系統(tǒng)內(nèi)部進(jìn)行，以確保發(fā)起方對(duì)流的加密在接收方能夠進(jìn)行正常解密，確保還原畫面聲音等一整套視頻會(huì)議業(yè)務(wù)場(chǎng)景正常進(jìn)行。
音視頻信令控制主要采用TCP，當(dāng)然也支持國(guó)密。也就是說融云視頻會(huì)議整套系統(tǒng)，在HTTPS、TCP和UDP層面都達(dá)到了國(guó)密的要求。與此同時(shí)，經(jīng)過不斷的優(yōu)化，融云視頻會(huì)議系統(tǒng)將音視頻的延遲和卡頓影響降到最低。
可以分享一些融云經(jīng)典案例嗎?
先看一個(gè)政府項(xiàng)目案例。它主要體現(xiàn)在國(guó)產(chǎn)化私有部署的信創(chuàng)環(huán)境。在整體實(shí)施過程中，對(duì)桌面端臺(tái)式機(jī)、筆記本和服務(wù)端進(jìn)行了相關(guān)適配，在服務(wù)層面、鏈路層面進(jìn)行了安全優(yōu)化，以符合信創(chuàng)需求。
圖5 -私有化部署示例圖
另一個(gè)案例是公安執(zhí)法監(jiān)督管理平臺(tái)。受疫情影響，不光是日常辦公日趨線上化，在公安執(zhí)法法院審訊等場(chǎng)景中，部分業(yè)務(wù)也被遷移到了線上。這對(duì)音視頻產(chǎn)品提出了很高的安全要求。尤其是像公安有網(wǎng)閘的網(wǎng)絡(luò)環(huán)境中，我們對(duì)其執(zhí)法監(jiān)督管理平臺(tái)進(jìn)行了相應(yīng)適配，或者說對(duì)進(jìn)行了一些優(yōu)化調(diào)整。確保在有網(wǎng)閘的網(wǎng)絡(luò)環(huán)境下，用戶體驗(yàn)與標(biāo)準(zhǔn)產(chǎn)品無異。
圖6 -公安執(zhí)法監(jiān)督管理平臺(tái)示例圖
第三個(gè)案例是證券行業(yè)客戶，存在內(nèi)部用戶和外部用戶進(jìn)行溝通交流的場(chǎng)景。為此，融云部署了鏈路傳輸安全相關(guān)模塊，以確保內(nèi)外部員工通訊安全。
圖7 -內(nèi)外網(wǎng)隔離與互通示例圖
融云即時(shí)通訊產(chǎn)品，始終強(qiáng)調(diào)安全至關(guān)重要。融云有能力也有信心，滿足政企組織數(shù)字化轉(zhuǎn)型過程中的各種高安全性需求，守好即時(shí)通訊“安全”這道門，并將進(jìn)一步強(qiáng)化研發(fā)實(shí)力，發(fā)揮賦能政企數(shù)字化轉(zhuǎn)型“安全推手”作用，促進(jìn)政企組織高質(zhì)量發(fā)展。
關(guān)注【融云 RongCloud】，了解更多即時(shí)通訊安全解決方案。
（免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。
任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。 ）
