6月26日晚，大量用戶反饋QQ號碼被盜，被盜賬號會自動給好友和群發(fā)不雅圖片及賭博性內(nèi)容。6月27日中午，騰訊QQ官方微博聲明，該事件主要原因“系用戶掃描過不法分子偽造的游戲登錄二維碼并授權(quán)登錄，該登錄行為被出黑產(chǎn)團伙劫持并記錄，隨后被不法分子利用發(fā)送不良圖片廣告。”
QQ被盜事件再次引發(fā)了大家對即時通訊產(chǎn)品安全的關(guān)注，融云政企研發(fā)總監(jiān)大池和PMO蘇東升由此事件展開，對不同組織在特殊環(huán)境下的企業(yè)通訊安全防護進行了一系列討論。
融云政企研發(fā)總監(jiān)大池表示，QQ被盜算是比較嚴(yán)重的惡性事件。因為ToC場景下的即時通訊產(chǎn)品，本身用戶基數(shù)非常大，所以它在安全上出現(xiàn)一點點小的漏洞，都會波及全網(wǎng)。而ToB場景下的即時通訊產(chǎn)品，雖然用戶基本都是企業(yè)，用戶基數(shù)相對較小，但是它們傳輸?shù)臇|西更機密，更關(guān)乎于企業(yè)的生存，所以數(shù)據(jù)重要性安全級別更高。
事實上，不同組織內(nèi)部網(wǎng)絡(luò)架構(gòu)各有不同，網(wǎng)絡(luò)安全防護需求不同，所需要的安全通訊保障也不同。
如何滿足組織，在特定網(wǎng)絡(luò)要求中的產(chǎn)品部署?
有一些用戶要求產(chǎn)品實現(xiàn)內(nèi)外網(wǎng)隔離與互通。如圖1，在辦公網(wǎng)環(huán)境中，PC端用戶可接入內(nèi)網(wǎng)服務(wù)，但移動端用戶接入內(nèi)網(wǎng)有難度。而隨著智能手機的普及和5G、大數(shù)據(jù)等技術(shù)的發(fā)展，加上即時通訊產(chǎn)品可多端登錄的特點，移動端用戶可直接接入互聯(lián)網(wǎng)，實現(xiàn)移動辦公，提升辦公效率。
圖1 -內(nèi)外網(wǎng)環(huán)境
比如，針對內(nèi)部機要文件或信息，用戶只能在內(nèi)網(wǎng)環(huán)境通過PC端查閱及處理，因為移動端用戶通過互聯(lián)網(wǎng)查看或處理文件有潛在風(fēng)險。但移動端用戶可通過即時通訊產(chǎn)品的推送功能獲悉該文件或信息的存在，然后登錄內(nèi)網(wǎng)PC端進行查閱或處理。
這樣可以確保用戶該看到的文件可以看到，但在不滿足特定網(wǎng)絡(luò)環(huán)境的情況下，不該看到的文件就不會看到。
另一些用戶要求在專網(wǎng)部署產(chǎn)品，如軍隊和公安。
圖2 -帶網(wǎng)閘網(wǎng)絡(luò)交互圖
為滿足此類用戶對高安全性的需求，融云即時通訊產(chǎn)品選擇通過網(wǎng)閘進行數(shù)據(jù)傳導(dǎo)，提供特定的安全防護和敏感信息的過濾，可實現(xiàn)不同安全級別網(wǎng)絡(luò)之間的安全距離，并提供適度可控的數(shù)據(jù)較短的軟硬件系統(tǒng)。
但網(wǎng)閘的存在，直接影響即時通訊產(chǎn)品在即時性上的用戶體驗。標(biāo)準(zhǔn)的即時通訊產(chǎn)品，如傳統(tǒng)的互聯(lián)網(wǎng)或者B/S結(jié)構(gòu)，基于HTTPS協(xié)議保證即時性。HTTPS協(xié)議是一種短連接，每一次請求都會建立一個連接，而收到應(yīng)答以后就會銷毀掉連接。
如OA或者新聞類網(wǎng)站，用戶收到想要的數(shù)據(jù)以后，在本地進行瀏覽，這么做雖然減輕了服務(wù)端的資源消耗，但同時也會影響即時性，因為當(dāng)連接斷開以后，客戶端和服務(wù)器之間就不存在任何關(guān)系了。
所以為滿足即時性需求，當(dāng)前市面上基本所有即時通訊產(chǎn)品底層都采用TCP長連接。所謂長連接就是當(dāng)連接建立以后不再斷開，和服務(wù)器一直保持聯(lián)系。當(dāng)消息需要傳遞給用戶時，長連接就會在第一時間發(fā)送到用戶客戶端上。
但網(wǎng)閘的存在，對于TCP長連接是一個非常大的挑戰(zhàn)，因為網(wǎng)閘會導(dǎo)致TCP連接受限。融云即時通訊產(chǎn)品會在網(wǎng)閘上部署相關(guān)安全模塊，通過“反向代理服務(wù)”進來的需求，到網(wǎng)閘就會從TCP轉(zhuǎn)化成HTTPS請求，再投遞到內(nèi)網(wǎng)服務(wù)器上。所以，通過優(yōu)化協(xié)議轉(zhuǎn)換模塊，可以在保證安全性的基礎(chǔ)上，兼顧TCP長連接的即時性。
還有一些用戶，針對防火墻、VPN、加密機等有特殊需求。針對VPN，融云一般提供兩種解決方案。一種方案是在系統(tǒng)或手機上安裝VPN軟件撥號，建立和打通安全隧道以后，再啟動應(yīng)用進行安全通訊。
但這種方式有兩個問題，第一是操作比較繁瑣，第二是用戶等待時間相對較長。對于即時通訊產(chǎn)品而言，用戶體驗稍差。
另一種方案是把VPN的SDK嵌入到即時通訊應(yīng)用里，用戶收到通知可直接點開應(yīng)用軟件查看消息。當(dāng)軟件啟動時，VPN隧道會自動建立。即便VPN建立會消耗一定的時間，但它是一個無縫銜接的過程，用戶體驗較好，一般來說我們建議用戶把VPN的SDK集成進來。融云的即時通訊產(chǎn)品為這些VPN的SDK集成預(yù)留了相關(guān)接口，可通過簡單的替換進行不同廠商的VPN SDK封裝。
即時通訊產(chǎn)品，傳輸鏈路安全性如何保證?
即時通訊產(chǎn)品通過基于TLS的HTTPS協(xié)議來保證HTTP鏈路層面的安全性，TLS是國際通用的算法標(biāo)準(zhǔn)。
圖3 - TLS-over-TCP
在TCP長連接層面，融云產(chǎn)品集成了標(biāo)準(zhǔn)的TLS，確保鏈路傳輸?shù)陌踩?。但是在混合用戶場景下，比如除了?nèi)部用戶，即時通訊產(chǎn)品也用于外部互聯(lián)網(wǎng)客戶時，因為要保證互聯(lián)網(wǎng)用戶數(shù)據(jù)回傳到私有部署的數(shù)據(jù)中心鏈路安全，就無法使用VPN方案。
在這種情況下，在數(shù)據(jù)或標(biāo)準(zhǔn)應(yīng)用層面，通過HTTPS確保安全性，而在TCP層面則通過TLS-over-TCP協(xié)議確保達到同一安全標(biāo)準(zhǔn)。
在信創(chuàng)環(huán)境下，如何確保即時通訊產(chǎn)品安全性?
信創(chuàng)整體訴求主要集中于系統(tǒng)安全、網(wǎng)絡(luò)安全和業(yè)務(wù)安全，甚至還有國家安全。所以為了滿足上述安全需求，融云即時通訊產(chǎn)品結(jié)合了信創(chuàng)工委會相關(guān)標(biāo)準(zhǔn)，并支持國密算法。另外，在整體架構(gòu)和在網(wǎng)絡(luò)層面，融云有國密代理或者密碼機。密碼機基于國密，對鏈路層面進行加解密。
具體到業(yè)務(wù)層面，以視頻會議場景為例。
圖4 -視頻會議場景概念圖
在加密層面，融云視頻會議系統(tǒng)有一個加密機的角色，同時通過密管和身份認(rèn)證系統(tǒng)的后臺，去管理業(yè)務(wù)過程中產(chǎn)生的密鑰，并使用密管生成的密鑰搭建支持國密的加密通道。因為融云視頻會議基于WEB RTC的基礎(chǔ)實現(xiàn)，所以流傳輸采用UDP(無連接的傳輸協(xié)議)。在UDP層面，視頻會議采用自定義加密對流進行國密的加密。
而密鑰交換在融云視頻會議系統(tǒng)內(nèi)部進行，以確保發(fā)起方對流的加密在接收方能夠進行正常解密，確保還原畫面聲音等一整套視頻會議業(yè)務(wù)場景正常進行。
音視頻信令控制主要采用TCP，當(dāng)然也支持國密。也就是說融云視頻會議整套系統(tǒng)，在HTTPS、TCP和UDP層面都達到了國密的要求。與此同時，經(jīng)過不斷的優(yōu)化，融云視頻會議系統(tǒng)將音視頻的延遲和卡頓影響降到最低。
可以分享一些融云經(jīng)典案例嗎?
先看一個政府項目案例。它主要體現(xiàn)在國產(chǎn)化私有部署的信創(chuàng)環(huán)境。在整體實施過程中，對桌面端臺式機、筆記本和服務(wù)端進行了相關(guān)適配，在服務(wù)層面、鏈路層面進行了安全優(yōu)化，以符合信創(chuàng)需求。
圖5 -私有化部署示例圖
另一個案例是公安執(zhí)法監(jiān)督管理平臺。受疫情影響，不光是日常辦公日趨線上化，在公安執(zhí)法法院審訊等場景中，部分業(yè)務(wù)也被遷移到了線上。這對音視頻產(chǎn)品提出了很高的安全要求。尤其是像公安有網(wǎng)閘的網(wǎng)絡(luò)環(huán)境中，我們對其執(zhí)法監(jiān)督管理平臺進行了相應(yīng)適配，或者說對進行了一些優(yōu)化調(diào)整。確保在有網(wǎng)閘的網(wǎng)絡(luò)環(huán)境下，用戶體驗與標(biāo)準(zhǔn)產(chǎn)品無異。
圖6 -公安執(zhí)法監(jiān)督管理平臺示例圖
第三個案例是證券行業(yè)客戶，存在內(nèi)部用戶和外部用戶進行溝通交流的場景。為此，融云部署了鏈路傳輸安全相關(guān)模塊，以確保內(nèi)外部員工通訊安全。
圖7 -內(nèi)外網(wǎng)隔離與互通示例圖
融云即時通訊產(chǎn)品，始終強調(diào)安全至關(guān)重要。融云有能力也有信心，滿足政企組織數(shù)字化轉(zhuǎn)型過程中的各種高安全性需求，守好即時通訊“安全”這道門，并將進一步強化研發(fā)實力，發(fā)揮賦能政企數(shù)字化轉(zhuǎn)型“安全推手”作用，促進政企組織高質(zhì)量發(fā)展。
關(guān)注【融云 RongCloud】，了解更多即時通訊安全解決方案。
（免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏，概不負(fù)任何法律責(zé)任。
任何單位或個人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時，應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明，并提供身份證明、權(quán)屬證明及詳細侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。 ）
