6月26日晚，大量用戶反饋QQ號碼被盜，被盜賬號會自動給好友和群發(fā)不雅圖片及賭博性內容。6月27日中午，騰訊QQ官方微博聲明，該事件主要原因“系用戶掃描過不法分子偽造的游戲登錄二維碼并授權登錄，該登錄行為被出黑產團伙劫持并記錄，隨后被不法分子利用發(fā)送不良圖片廣告。”
QQ被盜事件再次引發(fā)了大家對即時通訊產品安全的關注，融云政企研發(fā)總監(jiān)大池和PMO蘇東升由此事件展開，對不同組織在特殊環(huán)境下的企業(yè)通訊安全防護進行了一系列討論。
融云政企研發(fā)總監(jiān)大池表示，QQ被盜算是比較嚴重的惡性事件。因為ToC場景下的即時通訊產品，本身用戶基數非常大，所以它在安全上出現一點點小的漏洞，都會波及全網。而ToB場景下的即時通訊產品，雖然用戶基本都是企業(yè)，用戶基數相對較小，但是它們傳輸的東西更機密，更關乎于企業(yè)的生存，所以數據重要性安全級別更高。
事實上，不同組織內部網絡架構各有不同，網絡安全防護需求不同，所需要的安全通訊保障也不同。
如何滿足組織，在特定網絡要求中的產品部署?
有一些用戶要求產品實現內外網隔離與互通。如圖1，在辦公網環(huán)境中，PC端用戶可接入內網服務，但移動端用戶接入內網有難度。而隨著智能手機的普及和5G、大數據等技術的發(fā)展，加上即時通訊產品可多端登錄的特點，移動端用戶可直接接入互聯(lián)網，實現移動辦公，提升辦公效率。
圖1 -內外網環(huán)境
比如，針對內部機要文件或信息，用戶只能在內網環(huán)境通過PC端查閱及處理，因為移動端用戶通過互聯(lián)網查看或處理文件有潛在風險。但移動端用戶可通過即時通訊產品的推送功能獲悉該文件或信息的存在，然后登錄內網PC端進行查閱或處理。
這樣可以確保用戶該看到的文件可以看到，但在不滿足特定網絡環(huán)境的情況下，不該看到的文件就不會看到。
另一些用戶要求在專網部署產品，如軍隊和公安。
圖2 -帶網閘網絡交互圖
為滿足此類用戶對高安全性的需求，融云即時通訊產品選擇通過網閘進行數據傳導，提供特定的安全防護和敏感信息的過濾，可實現不同安全級別網絡之間的安全距離，并提供適度可控的數據較短的軟硬件系統(tǒng)。
但網閘的存在，直接影響即時通訊產品在即時性上的用戶體驗。標準的即時通訊產品，如傳統(tǒng)的互聯(lián)網或者B/S結構，基于HTTPS協(xié)議保證即時性。HTTPS協(xié)議是一種短連接，每一次請求都會建立一個連接，而收到應答以后就會銷毀掉連接。
如OA或者新聞類網站，用戶收到想要的數據以后，在本地進行瀏覽，這么做雖然減輕了服務端的資源消耗，但同時也會影響即時性，因為當連接斷開以后，客戶端和服務器之間就不存在任何關系了。
所以為滿足即時性需求，當前市面上基本所有即時通訊產品底層都采用TCP長連接。所謂長連接就是當連接建立以后不再斷開，和服務器一直保持聯(lián)系。當消息需要傳遞給用戶時，長連接就會在第一時間發(fā)送到用戶客戶端上。
但網閘的存在，對于TCP長連接是一個非常大的挑戰(zhàn)，因為網閘會導致TCP連接受限。融云即時通訊產品會在網閘上部署相關安全模塊，通過“反向代理服務”進來的需求，到網閘就會從TCP轉化成HTTPS請求，再投遞到內網服務器上。所以，通過優(yōu)化協(xié)議轉換模塊，可以在保證安全性的基礎上，兼顧TCP長連接的即時性。
還有一些用戶，針對防火墻、VPN、加密機等有特殊需求。針對VPN，融云一般提供兩種解決方案。一種方案是在系統(tǒng)或手機上安裝VPN軟件撥號，建立和打通安全隧道以后，再啟動應用進行安全通訊。
但這種方式有兩個問題，第一是操作比較繁瑣，第二是用戶等待時間相對較長。對于即時通訊產品而言，用戶體驗稍差。
另一種方案是把VPN的SDK嵌入到即時通訊應用里，用戶收到通知可直接點開應用軟件查看消息。當軟件啟動時，VPN隧道會自動建立。即便VPN建立會消耗一定的時間，但它是一個無縫銜接的過程，用戶體驗較好，一般來說我們建議用戶把VPN的SDK集成進來。融云的即時通訊產品為這些VPN的SDK集成預留了相關接口，可通過簡單的替換進行不同廠商的VPN SDK封裝。
即時通訊產品，傳輸鏈路安全性如何保證?
即時通訊產品通過基于TLS的HTTPS協(xié)議來保證HTTP鏈路層面的安全性，TLS是國際通用的算法標準。
圖3 - TLS-over-TCP
在TCP長連接層面，融云產品集成了標準的TLS，確保鏈路傳輸的安全性。但是在混合用戶場景下，比如除了內部用戶，即時通訊產品也用于外部互聯(lián)網客戶時，因為要保證互聯(lián)網用戶數據回傳到私有部署的數據中心鏈路安全，就無法使用VPN方案。
在這種情況下，在數據或標準應用層面，通過HTTPS確保安全性，而在TCP層面則通過TLS-over-TCP協(xié)議確保達到同一安全標準。
在信創(chuàng)環(huán)境下，如何確保即時通訊產品安全性?
信創(chuàng)整體訴求主要集中于系統(tǒng)安全、網絡安全和業(yè)務安全，甚至還有國家安全。所以為了滿足上述安全需求，融云即時通訊產品結合了信創(chuàng)工委會相關標準，并支持國密算法。另外，在整體架構和在網絡層面，融云有國密代理或者密碼機。密碼機基于國密，對鏈路層面進行加解密。
具體到業(yè)務層面，以視頻會議場景為例。
圖4 -視頻會議場景概念圖
在加密層面，融云視頻會議系統(tǒng)有一個加密機的角色，同時通過密管和身份認證系統(tǒng)的后臺，去管理業(yè)務過程中產生的密鑰，并使用密管生成的密鑰搭建支持國密的加密通道。因為融云視頻會議基于WEB RTC的基礎實現，所以流傳輸采用UDP(無連接的傳輸協(xié)議)。在UDP層面，視頻會議采用自定義加密對流進行國密的加密。
而密鑰交換在融云視頻會議系統(tǒng)內部進行，以確保發(fā)起方對流的加密在接收方能夠進行正常解密，確保還原畫面聲音等一整套視頻會議業(yè)務場景正常進行。
音視頻信令控制主要采用TCP，當然也支持國密。也就是說融云視頻會議整套系統(tǒng)，在HTTPS、TCP和UDP層面都達到了國密的要求。與此同時，經過不斷的優(yōu)化，融云視頻會議系統(tǒng)將音視頻的延遲和卡頓影響降到最低。
可以分享一些融云經典案例嗎?
先看一個政府項目案例。它主要體現在國產化私有部署的信創(chuàng)環(huán)境。在整體實施過程中，對桌面端臺式機、筆記本和服務端進行了相關適配，在服務層面、鏈路層面進行了安全優(yōu)化，以符合信創(chuàng)需求。
圖5 -私有化部署示例圖
另一個案例是公安執(zhí)法監(jiān)督管理平臺。受疫情影響，不光是日常辦公日趨線上化，在公安執(zhí)法法院審訊等場景中，部分業(yè)務也被遷移到了線上。這對音視頻產品提出了很高的安全要求。尤其是像公安有網閘的網絡環(huán)境中，我們對其執(zhí)法監(jiān)督管理平臺進行了相應適配，或者說對進行了一些優(yōu)化調整。確保在有網閘的網絡環(huán)境下，用戶體驗與標準產品無異。
圖6 -公安執(zhí)法監(jiān)督管理平臺示例圖
第三個案例是證券行業(yè)客戶，存在內部用戶和外部用戶進行溝通交流的場景。為此，融云部署了鏈路傳輸安全相關模塊，以確保內外部員工通訊安全。
圖7 -內外網隔離與互通示例圖
融云即時通訊產品，始終強調安全至關重要。融云有能力也有信心，滿足政企組織數字化轉型過程中的各種高安全性需求，守好即時通訊“安全”這道門，并將進一步強化研發(fā)實力，發(fā)揮賦能政企數字化轉型“安全推手”作用，促進政企組織高質量發(fā)展。
關注【融云 RongCloud】，了解更多即時通訊安全解決方案。
（免責聲明：本網站內容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網站出現的信息，均僅供參考。本網站將盡力確保所提供信息的準確性及可靠性，但不保證有關資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網站對有關資料所引致的錯誤、不確或遺漏，概不負任何法律責任。
任何單位或個人認為本網站中的網頁或鏈接內容可能涉嫌侵犯其知識產權或存在不實內容時，應及時向本網站提出書面權利通知或不實情況說明，并提供身份證明、權屬證明及詳細侵權或不實情況證明。本網站在收到上述法律文件后，將會依法盡快聯(lián)系相關文章源頭核實，溝通刪除相關內容或斷開相關鏈接。 ）
