警用移动信息网构建及关键技术研究

警用移动信息网构建及关键技术研究喻波1常艳2卢煜3刘强4王勇51.北京明朝万达科技股份有限公司2.大唐移动通信设备有限公司3.北京迅安网络系统有限责任公司4.上海辰锐信息科技公司5.中国移动政企客户分公司摘要：随着移动通信技术的迅猛发展，无线服务深入人们生活方方面面，也预示着移动警务欣欣向荣的远景。移动警务已不再局限于移动终端与公安信息网交互上传和查询数据，一批新形态业务出现了，如移动即时通信、移动视频会议等。但当前各地公安机关建设的移动警务系统，无法很好满足这些新形态业务开展的需要。同时，各地孤立的移动警务安全接入平台制约了全国性业务的开展和普及。因此，迫切需要研究在新形态业务的推动下，创新突破，探索新的移动警务系统建设方案。一、背景2015年3月5日十二届全国人大三次会议上，李克强总理在政府工作报告中首次提出“互联网+”计划，推动移动互联网、云计算、大数据、物联网等与现代制造业结合，促进电子商务、工业互联网和互联网金融健康发展，引导互联网企业拓展国际市场。随着物联网、云时代的出现，犯罪动态化与智能化加剧，对公安机关警务效能提出更高的要求，警用微信等一系列移动警务轻应用需求随之而生，原有的移动警务安全接入平台由于带宽、时延等限制，已经无法满足新型的移动警务应用。警用移动信息网基于“互联网＋”的时代大背景，以公安部为主导，利用先进组网技术，在现有的移动警务接入平台中开辟联网服务区，在联网服务区部署移动警务轻应用，终端可以同时接入联网服务区和公安信息网，支持警用轻应用同时兼容现有高安全等级公安业务，旨在以最小的投入解决新型移动警务轻应用的承载问题，以期增强公安机关快速反应、协同作战能力，提高公安机关的工作效率和侦查破案水平，适应新形势下社会治安的需求。联网服务区规划和构建需要提供移动警务轻应用跨平台、甚至全网服务能力和解决各地市已经部署在安全接入平台的警务轻应用相互独立、无法互通的问题。二、警用移动信息网架构探讨警用移动信息网规划与现有公安信息网相互独立、平行存在，二者通过安全接入平台实现互联互通，形成“井字形”结构。警用移动信息网构建以公安部为核心，通过联网服务区实现公安部、省公安厅、各地市公安三级网络互联互通，承载跨平台的移动警务轻应用等新型公安移动警务业务。警用移动信息网网络架构如图1所示，主要包括无线终端、无线传输链路、联网服务区和安全接入区。联网服务区主要功能是部署移动警务轻应用业务服务器，实现公安各级单位互联互通。联网服务区规划应满足以下要求：（一）业务服务器统一部署以公安部为核心，全局考虑，统一规划移动警务轻应用业务，并部署相应的业务服务器。（二）安全互联互通采用虚拟组网技术实现公安各级单位安全互联互通，同时考虑对敏感信息增加保护机制，防止未授权访问等行为。（三）及时、准确传递信息要在正确的时间将正确的信息传送到正确的人，建立智能信息过滤和分发机制。（四）更好的用户体验充分考虑终端警员的良好体验，一个终端兼容现有的公安信息网业务和警用移动轻应用业务。（五）可持续演进充分考虑各种类型的网络环境变化、业务需求扩展、用户容量增加等因素，保证良好的兼容性。同时为了方便统一管理，考虑在大区或省级设置无线接入点，逐步取消地市级平台接入点。（六）低成本最大可能利用原有可用的网络基础设施，警用移动信息网络部署和维护应广泛采用成熟的技术，确保投入的成本最小。三、面向联网服务区的安全接入探讨新开辟的联网服务区有必要基于移动警务安全接入平台的接入安全体系，从安全管理、安全监控、安全隔离、访问控制、接入认证、数据加密、终端加固等七个方面，对联网服务区的安全接入进行探讨。（一）安全管理为了避免私接非法业务，在联网服务区应仅允许部署经备案许可的应用服务器；需要在联网服务区应用服务器（以下简称“联网区服务器”）上部署带有移动警务身份证书的安全卡，以实现与公安内网服务区（以下简称“内网区”）交互的接入认证和加密传输；基于实战场景，移动终端上需要同时运行访问内网区的应用和访问联网服务区的应用，为了避免应用取得内网区的数据后非法传入联网服务区，我们需要严格区分访问内网区的应用与访问联网服务区的应用。为了确认以上要求的落实，应用需取得指定的第三方检测机构的检测合格证书，才可申请在移动警务应用仓库上进行发布。申请通过后，再由指定机关给应用加以数字签名区分应用类型。（二）安全监控需要监控联网服务区是否与移动互联网、安全接入区、内网区存在直连，以避免安全保护措施被旁路；为了保证联网服务区资源的安全，需要监控是否存在接入联网服务区的非法移动终端，并对其进行审计；需要监控并发现联网服务区部署的未经备案许可的应用服务器。（三）安全隔离由于联网服务区不发生与新的网络的连接，因此不需要增加新的安全隔离。（四）访问控制基于移动警务身份信息进行访问控制，对违规行为进行报警和阻断，并对访问过程进行记录；同时，为了保护内网区的资源安全，联网区服务器可依照指导书和规范的要求，使用移动警务数字证书，按备案情况接入安全接入区，保证内网区资源只能被授权的联网区服务器访问。（五）接入认证为了避免非法终端接入联网服务区，可基于SIM卡号码实现移动终端的接入认证。（六）数据加密根据《GB/T25056-2010信息安全技术证书认证系统密码及其相关安全技术规范》规定，加密存储和加密传输过程需使用国密算法。（七）终端加固可参照已颁布的《GA/T1085-2013手持式移动警务终端通用技术要求》，在移动终端上安装含有移动警务身份证书的安全卡和安全加固软件。四、警用移动信息网的基础无线网络建设思路中国已经全面进入4G移动宽带互联网阶段，中国技术主导的TD-LTE技术在国内外大放异彩。我国4G基站覆盖各省、市、地县、乡镇、村级单位，提供更加稳定、宽带的无线接入网络，满足警务人员日益增长的带宽需求。（一）行业APN组建无线虚拟网基于运营商的公网广覆盖、高带宽能力，以及广泛应用的4GTD-LTE网络技术，实现警用移动信息网的无线侧接入，为下一步众多创新应用开展铺路搭桥。考虑到突发事件下警用移动信息网的高可用性，运营商4G网络可以实现QoS保障，基于PCC（PolicyControlandCharging）能力，提供更加丰富的策略控制能力，保障重点区域重要城市的警用SIM卡的高优先级。（二）全国无线接入网使用分析关于全国警用移动信息网无线侧警务通等执法终端接入，可采用全国集中、一点接入和各省分散接入两种大的建设思路。方式一：基于4G公网搭建以省为单位的接入专网，各省当地配发无线专网4G卡，本地汇聚接入警用移动信息网。方式二：基于4G公网搭建全国统一的高速无线接入专网，一点发卡，全国使用，全国一点接入。如各省自有信息平台或特色应用较多，建议采用第一种方式；如全国警用移动信息网采用统一数据大集中、业务统一规划统一建设，则建议采用第二种方式。同时针对前期基于运营商网络搭载SSL或IPsec等三层VPN时出现的部分问题，如握手时延过长、断线重连终端耗电增加等，通过在链路层和网络层合理叠加安全加密手段，基于“云-管-端”整体安全保障策略，找寻系统安全与网络性能的平衡点。五、联网服务区互联互通建设思路联网服务区的互联互通可以通过两种方式解决：利用公安信息网现有资源实现或者新租用运营商网络实现。方式一的最大优点是利用现有网络设备，建设费用低，缺点是网络架构较复杂，带来额外运维工作量，以及新VPN网络业务和原有网络业务共享底层传输带宽问题。方式二新租运营商网络，这种方式的优点是网络独立、有保障，缺点是建设成本高，新增业务上线需向运营商提出需求，由后者修改网络配置或升级网络予以支持，使得新业务上线周期长。综合考虑，警用信息网初期业务相对较少，对网络要求简单，可以先采用公安网构建VPN。后续建设费用充足、网络带宽逐渐满负荷时，再考虑租用新链路实现网络部署。警用移动信息网采用部、省/市两级组网。公安部和各省市之间骨干网基于MPLS组网，部署传输网络核心路由器P、传输网络边缘路由器PE。在上述传输路由设备上，根据各联网服务区之间VPN的规划动态或静态配置标签交换规则。公安部和各省市的联网服务区内部基于IP路由组网，部署常规路由器、交换机组成。同时在联网服务区部署边缘交换设备CE，通过该设备接入MPLSVPN专网。在该设备上配置VPN策略，逻辑上实现以公安部为中心节点的星型网络连接，如图6所示。对于省部级统一部署业务，对边缘交换设备要求透传，采用二层组网。对于各省市独立规划业务，采用三层组网。比如，对于省部级公安统一规划部署、全网通用的业务（如警用微信、综合信息查询等），建议采用MPLSL2VPN；对于各省市独立规划的特有业务（如维稳动态、应急联动等），建议采用MPLSL3VPN。在网络规划上，需要重点考虑边缘交换设备PE配置，如VPN的规划和IP的规划。就VPN的规划而言，需要根据上下级业务要求确定公安部和各省市公安厅之间哪些部门（或哪些业务）规划到一个VPN；同时根据各省市公安厅间横向互访需求确定将哪些部门（或哪些业务）规划到一个VPN。在VPN确定后再确定每个VPN内部门或业务组IP地址。综上所述，警用移动信息网联网服务区组网拓扑如图7所示。六、警用移动信息网安全体系建设构思警用移动信息网以新的网络架构满足业务应用发展需求的同时，必须要考虑安全体系如何建立这一重要问题。管理体系的主要思想仍然是面向开放、共享和创新的移动警务应用，主要的工作就是定制各种安全底线的规范并监督执行。运维体系需要针对警用移动信息网的安全运维问题建立统一的集中监测平台来辅助完成管理工作，根据管理体系的指导规范，确保各项安全措施都能落实到位。安全技术体系的目标是实现身份可信、行为可控、内容可管。身份可信和行为可控也是现阶段移动警务的安全目标并有成熟的技术。内容可管是新安全体系最重要的创新，也是让应用能创新的基础。只有实现了细致的内容管理，才能帮助业务实现按需要获取数据、无障碍使用数据、无感知保护数据。内容可管是安全体系的核心部分，通过内容管理，降低对身份、行为的依赖程度。内容管理将贯彻警用移动信息网的各个组成部分，在之前的安全监测系统的基础上，扩展对内容的监测系统。下面按终端、边界、联网服务区、接入区和公安信息网的顺序来介绍监测系统。终端侧扩展了用户范围，因此从专用终端到个人终端均需要支持，终端上的内容监测从形态上需要从独立客户端或嵌入接入客户端，变为使用SDK方式嵌入到应用中。在监测内容上，除了传统的外设、访问信息等，还需要增加应用的内容访问监测、应用数据存储加密、应用存储数据扫描，确保在终端使用的内容符合安全管理要求，并且得到了恰当的保护措施。边界由原来单一的公安网边界防护扩展为联网服务区和接入区、视频专网、互联网等边界，在这些边界上，监测系统除了要确保设备工作正常，还需要增加内容监测功能，配合各边界安全设备，控制内容的出和入。内容监测确保交换数据的合规性。通过对交换内容的实时检查，对于不合规的数据拒绝通过，对于规定不能直接出的数据进行脱敏处理。这里的合规不仅仅是内容本身，还有根据用户身份的内容限制、数量限制等。联网服务区内主要的设备是应用服务器和存储，是警用移动信息网的数据集中区域，各个区域的数据将集中在这里进行应用服务，因此这个区域的内容可控是重点。在这个区域的内容可控的主要思想是主动监测。利用爬虫和扫描技术，通过对区域内所有应用服务器、数据存储进行主动的数据抓取和扫描，将搜索到的数据进行合规性检查，例如按规范需要加密的数据但是是明文存储，按规定需要脱敏的数据但是没有脱敏，按规范不能在联网服务区落地存储的数据但是落地了。上述各区域的内容控制措施都可以集成到现有的安全监测系统中，通过部署在省、部级的多级平台，形成全网统一的安全管控平台。七、自主多模式操作系统终端实现移动警务终端的真正安全，必须要建立安全的生态环境，做到从硬件到软件、从操作系统层到应用层、从端到云的闭环安全可控。（一）安全可靠的PMOS三模式终端设备已进入公安部定型列装试用阶段的PMOS安全手机终端采用了自主可控的PMOS（policemobileoperating