随着社会的不断进步和发展，计算机和网络已逐步渗透到人们的日常工作和生活中。伴随网络应用的不断深入，许多企业的信息化已经发展到相当成熟的阶段，很多业务与日常办公都通过计算机来完成，因而新的应用矛盾日益突出。企业办公中常见的问题是：领导或者重要人员出差、外出不在工作岗位时，许多通过内部办公网络进行的工作就会出现停顿，极大地降低了工作效率。因此，如何实现企业员工方便地通过网络利用企业的内部信息系统完成工作，保证工作不间断和事务及时处理，真正实现无论何时何地都能办公，已经是许多企业正在考虑的实际问题。

移动办公系统要求可以通过公共网络登录到企业内部的多个应用系统，并完成各类操作，例如：登录内部ＯＡ等系统；完成文件的下载和处理；完成对业务数据的处理；完成邮件的发送和接收；完成基于Ｉｎｔｅｒｎｅｔ技术的视频电话会议等。而实现这一目标的最大问题是安全问题，企业的内部网络中存在大量商业机密，这就要求能对来访用户进行严格的身份识别，对通过公网传输的信息进行加密，并抵抗可能来自公网的各种攻击行为。

一、移动办公系统面临的安全问题
 
移动办公系统意味着允许用户使用计算机从开放的外部网络访问不对外开放的内部计算机信息系统，同时将内部信息通过开放的外部网络传送到用户的计算机设备上。要使整个方案可行，需要考虑很多安全问题：
 
（１）准确识别访问用户的真实身份，阻止企业以外的用户利用移动办公系统非法访问该银行的内部资源。必须通过专用的安全保密硬件实现高安全度的证书身份认证登录。
 
（２）能够抵抗来自Ｉｎｔｅｒｎｅｔ的各种攻击行为。
 
（３）在提供对外连接的访问通道时，为了保护内部应用系统的安全，不能把应用服务器及其ＩＰ地址直接暴露在公共网络上，需要采用安全网关（安全通信代理服务器）技术进行隐藏。
 
（４）利用密码技术保证企业内部的办公信息不在Ｉｎｔｅｒｎｅｔ网络中扩散，不被黑客截取。因此，数据在客户端与服务器之间的传输必须采用加密通信技术来保障其私密性和完整性。
 
（５）由于移动计算机系统很难实现安全管理，其风险比固定计算机系统大，因此移动系统上的信息资源必须能够得到安全可靠的保护。

二、目前国内移动办公客户端硬件安全产品状况
 
根据移动办公系统的特点和上述安全要求，下面介绍三种国内的客户端密码硬件产品。
 
１．适用于笔记本电脑的ＰＣＭＣＩＡ加密卡
 
ＰＣＭＣＩＡ加密卡是一种直接插在笔记本电脑ＰＣＭＣＩＡ插槽内使用的加密模块。由于ＰＣＭＣＩＡ插槽是笔记本电脑的专用插槽，所以台式计算机不能采用这种加密模块。该产品的优点是加/解密速度比较快，其加/解密速度一般在４ＭＢ/ｓ～５０ＭＢ/ｓ之间，不但能实现认证、数据完整性鉴别、数字签名等安全功能，还能完成大文件的加/解密和传输协议的加密功能，甚至可以满足多媒体系统的加密要求。
 
２．适用于各种电脑的ＵＳＢ终端加密器
 
由于笔记本电脑和台式电脑都配备了ＵＳＢ接口，所以近几年一些专业密码公司在研究用于ＵＳＢ接口的小型密码设备。目前在计算机上配备的ＵＳＢ接口多为１．０版或１．１版（通用串行总线规范１．１版），数据传输速率标称值１２ＭＢ/ｓ。最新出品的计算机配备的ＵＳＢ接口有的为２．０版，数据传速率４８０ＭＢ/ｓ。
 
３．ＵＳＢ－Ｋｅｙ微型密码设备
 
在ＩＣ卡安全技术得到广泛认可和应用之后，又出现了一种ＵＳＢ－Ｋｅｙ技术，由于一个小小的ＵＳＢ－Ｋｅｙ同时具备ＩＣ卡和ＩＣ卡读卡器两种产品的功能，所以很快被认可，并在一些系统的安全客户端得到应用。
 
从２００２年底开始，在ＵＳＢ－Ｋｅｙ的产品系列里又多了一种新产品——将Ｕ盘和ＵＳＢ－Ｋｅｙ集成到一个ＵＳＢ－Ｋｅｙ中，使ＵＳＢ－Ｋｅｙ具有一定的存储功能，给使用者提供了一定的方便。

三、安全移动办公解决方案
 
安全移动办公系统由三部分组成：安全代理服务器、客户端ＵＳＢ－Ｋｅｙ、客户端代理软件，如图１所示。
 
１．客户端ＵＳＢ－Ｋｅｙ
 
本方案采用ＵＳＢ－Ｋｅｙ加密硬件产品，它由１２ＭＢ的高速ＵＳＢ接口、高速专用加密芯片和大容量闪存共同组成，１２８位密钥加密的专用芯片对数据流加密的速度大于１ＭＢ/ｓ，它还支持１０２４位和２０４８位ＲＳＡ密码算法，可以生成ＲＳＡ密钥、安全保存个人密钥、完成ＲＳＡ加密或解密运算，以及安全存放个人证书；闪存为６４Ｍ或１２８Ｍ（也可以更大），构成一个移动使用的Ｕ盘。它不但能支持企业内部网络基于ＰＫＩ的ＣＡ认证系统对客户端的要求，也同时能满足公共网络上移动办公对安全客户端的使用要求。
 
ＵＳＢ－Ｋｅｙ硬件内的Ｕ盘可以被Ｗｉｎｄｏｗｓ ＭＥ/２０００/ＸＰ等操作系统自动识别，即插即用，因此，可以把安全客户端的软件和《用户手册》等存放在Ｕ盘内，便于携带、安装和使用，充分满足移动办公的需要。为了减少在使用过的计算机内遗留软件，在安全客户端的安装过程中，将把软件程序安装在Ｕ盘上，整个移动办公安全软件的运行过程也在Ｕ盘上完成。
 
２．客户端代理软件
 
客户端软件主要由四个部分组成：代理通信模块、嵌入Ｗｉｎｄｏｗｓ操作系统的ＣＳＰ模块、用户工具模块、盘文件加密存放软件包（可选）。这四个部分可以独立运行，也可以同时工作，提供了多种安全功能。这些软件配合客户端的ＵＳＢ－Ｋｅｙ硬件设备来使用，特别是要使用ＵＳＢ－Ｋｅｙ设备内的密钥、证书和密码算法，完成基于证书的身份认证、数据加密和ＳＳＬ安全通信、数字签名等。
 
移动办公系统的使用环境通常没有安全保障，如果一些内部信息存放在这些系统中风险会很大。例如笔记本电脑丢失，存放在磁盘上的文件肯定会非常容易被获得者读取，没有什么安全可言。盘文件加密软件包就是解决文件存储的安全保密问题，它具有隐藏磁盘（或Ｕ盘）目录和对文件加密的功能，保证文件在移动过程中的安全性和保密性。在使用台式电脑时移动文件可安全保存在Ｕ盘中，每个人对文件加密的密码由总行密钥管理中心托管，一旦个人的ＵＳＢ－Ｋｅｙ丢失，可以申请由密管中心管理人员解密被加密的文件，或重新申请新的ＵＳＢ－Ｋｅｙ后自己还原。
 
对于建有ＣＡ认证系统的企业来说，客户端安全套件可适应企业各种安全应用系统，对企业的用户来说不用分在内网使用还是在外网使用。为了适应各种应用和各种操作系统，它集成了客户端代理功能和客户端ＣＳＰ插件功能，而ＵＳＢ－Ｋｅｙ能同时支持这两种安全功能的调用，见图２。

客户端的客户安全代理软件首先利用新的ＵＳＢ－Ｋｅｙ硬件内的密钥和证书，与安全网关之间完成安全通信连接，形成一个安全通信通道。然后，客户端ＣＳＰ软件再次利用ＵＳＢ－Ｋｅｙ硬件内的密钥和证书，与应用系统Ｗｅｂ服务器之间实现认证、建立ＳＳＬ连接以及证书登录。
 
这种工作方式可以理解为：移动办公设备上的客户安全代理软件先和安全网关之间建立安全保密通道，在安全保密通道的保护下，客户端便可像在内部网上操作一样使用ＣＳＰ插件安全登录应用系统。
 
３．安全代理服务器
 
安全代理服务器的主要作用是隔离外部网和内部网的直接访问连接，从而达到保护内部网的目的。安全代理服务器有两个网络接口，一个网络接口用于连接上述的外部网络，这个接口称为“外网接口”。另一个网络接口连接上述的内部网络（或网段），称为“内网接口”。通常在被保护的内网上连接着应用服务器。这两个网络接口在设计上采用两个独立的网卡，一个称作“外网卡”，一个称作“内网卡”。两个网卡在ＩＰ层是隔离的，只有通过安全代理服务器的代理软件，才能把一个网卡接到的记录经过处理后，通过另一个网卡送到应用服务器。
 
在网络中，客户只能见到安全代理服务器外网卡的地址，安全代理服务器屏蔽内网卡所在的整个网络以及网络上的服务器ＩＰ地址，客户只能通过安全代理服务器访问与安全代理服务器内网卡连接的服务器。安全代理服务器实际上是外网和内网之间的网关设备。
 
安全代理服务器可以同时建立对外网客户端和对内网服务器的两个连接，实现外网客户端到内网服务器的访问通道。客户发来ＴＣＰ连接请求后，安全代理服务器将连接请求加入缓冲队列，再从队列中顺序取出每个连接请求并启动代理服务线程。代理服务线程依据访问控制表，完成与客户方和服务器方的连接。从客户经安全代理服务器到服务器形成了一个完整连接，完整连接由两个子连接组成：客户到安全代理服务器和从安全代理服务器到应用服务器。
 
客户端访问服务器的过程，是由安全代理服务器代替客户端，和服务器之间建立间接连接完成的，整个过程可分为两步。
 
第一步：安全代理服务器代替服务器接受客户端的访问请求。安全代理服务器在处理从客户端发来的连接请求时，首先检查必要的通信协议信息，安全代理服务器的代理服务线程作为服务方执行ＴＬＳ协议（ＴＬＳ握手协议），代替被访问的服务器验证客户端的身份（验证Ｘ．５０９证书）。此身份验证的依据是客户是否拥有有效的数字证书和私钥，身份验证成功后，根据ＴＬＳ协议产生数据传输时使用的对称密钥（会话密钥），使用对称密钥建立客户端与安全代理服务器之间的加密传输通道。
 
第二步：安全代理服务器代替客户端向服务器提出连接请求。安全代理服务器根据连接控制表项中定义的服务器地址与服务端口连接到服务器，根据连接控制表项的规定，此连接请求可以是ＴＬＳ请求，也可以是ＴＣＰ请求，用户在初始设置安全代理服务器时可以选择与服务器之间建立“普通ＴＣＰ通道”或“ＴＬＳ通道”。如果选择ＴＣＰ通道，则安全代理服务器与服务器之间不做认证和传输加密；否则安全代理服务器和服务器之间相互验证证书和私钥，产生会话密钥，建立加密传输通道。
 
上述两个步骤完成后，客户端与服务器之间就建立起了安全保密传输通道，服务器和客户通过这一完整连接交换数据，直至通信结束，切断对客户端与服务器的连接，释放占用的资源，结束线程。
 
本方案的技术难点是安全客户端的硬件产品：既要体积小、价格相对便宜；又要能适用各种计算机设备；还要能满足通信传输加密所需要的实时加密速率，满足国家主管部门对安全的要求和对密码的使用规定。正是因为这些技术特点，使得该方案实现了真正意义上的移动办公。