GB/T34079.5-2021
基于云计算的电子政务公共平台服务规范第5部分：移动服务
Servicespecificationofelectronicgovernmentcommonplatformbasedoncloudcomputing—Part5:Mobilityservice
- 中国标准分类号（CCS）M67
- 国际标准分类号（ICS）35.240.01
- 实施日期2021-10-01
- 文件格式PDF
- 文本页数21页
- 文件大小1.78M
以图片形式预览基于云计算的电子政务公共平台服务规范第5部分：移动服务
基于云计算的电子政务公共平台服务规范第5部分：移动服务
国家标准 GB/34079.5一2021 基于云计算的电子政务公共平台服务规范 第5部分:移动服务 Servieespeeifieationofeleetromicgovernmentcommonplatform hasedoncoudcomputing一Part5.obhilityserviee 2021-03-09发布 2021-10-01实施 国家市场监督管理总局 发布 国家标涯花警理委员会国家标准
GB;/T34079.5一2021 目 次 前言 引言 范围 2 规范性引用文件 术语和定义、缩略语 总体框架 终端 安全信道 移动安全网关 8 服务端管理 移动政务应用 10安全要求 13 计量要求 1 15 参考文献
GB;/T34079.5一2021 前 言 GB/T34079《基于云计算的电子政务公共平台服务规范》预计分为以下5个部分 -第1部分服务分类与编码 -第2部分:应用部署和数据迁移 第3部分:数据管理; 第4部分;应用服务; 第5部分:移动服务
本部分为GB/T34079的第5部分
本部分按照GB/T1.1一2009给出的规则起草
本部分由工业和信息化部(通信)提出
本部分由全国通信标准化技术委员会(SAC/TC485)归口
请注意本文件的某些内菩可能沙及专利
本文件的发布机构不承担识别这些专利的武任 本部分起草单位;北京中海纪元数字技术发展股份有限公司、联通研究院、信息通信研究 院、中兴通讯股份有限公司、电子科技集团第二十八研究所
本部分主要起草人徐起、马书惠、石友康、聂秀英、李拯、刘威、张春晖、范小平,尧川,张敏、丁广告、 杨森
GB/T34079.5一2021 引 言 电子政务发展正处于转变发展方式、深化应用和突出成效的关键转型期
政府职能转变和服务型 政府建设对电子政务发展提出了更新,更高的要求
以云计算为代表的新兴信息技术、产业和应用不断 涌现,深刻改变了电子政务发展的技术环境及条件
构建基于云计算的电子政务公共平台既可充分利 用已有资源,又可充分发挥新兴信息技术的潜能,加快电子政务发展创新,提高应用支撑服务能力,增强 安全保障能力,减少重复建设,避免各自为政的信息孤岛
本部分是基于云计算的电子政务移动应用管理需求,以及电子政务公共平台移动应用管理核心要 素的基础上,制定了移动应用管理中的终端要求、网络接人要求、安全要求和计量要求等全过程的技术 体系,为电子政务公共平台的移动应用服务提供机构、服务使用机构和服务评估机构及平台管理机构提 供标准规范,为推动移动应用在电子政务公共平台上的统一管理和规范服务提供参考,为电子政务应用 中的移动应用建设的完整性、可靠性和可用性提供保障
本部分的制定结合了云计算、大数据的管理技 术特征,并兼顾和引导传统移动应用技术逐步演进为基于云计算的移动应用服务,为政务移动应用的高 效利用提供有力支撑
IN
GB;/T34079.5一2021 基于云计算的电子政务公共平台服务规范 第5部分;移动服务 范围 GB/T34079的本部分规定了基于云计算的电子政务公共平台支持移动服务的技术要求,包括总 体框架,终端、安全信道、移动安全网关,服务端管理、移动政务应用,安全要求和计量要求方面的内容
本部分适用于基于云计算的电子政务公共平台移动服务的设计、,开发和应用
注，除非特殊说明,以下各章中“电子政务公共平台”和“公共平台”均指“基于云计算的电子政务公共平台” 规范性引用文件 下列文件对于本文件的应用是必不可少的
凡是注日期的引用文件,仅注日期的版本适用于本文 件
凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件
GB/T33780.1一2017基于云计算的电子政务公共平台技术规范第1部分;系统架构 GB/T34078.1一2017基于云计算的电子政务公共平台总体规范第1部分;术语和定义 GB/T369682018信息安全技术IPSecVPN技术规范 GM/T00242014ssLVPN技术规范 术语和定义、缩略语 3.1术语和定义 GB/T34078.1一2017界定的以及下列术语和定义适用于本文件
3.1.1 政务移动终端mobiletablefo”gowermmentafairs 能够安装和运行政务应用软件,并能安全接人政务网络和访问政务应用的移动智能终端
3.1.2 双因子认证twotactorsauthentieaton 结合密码以及实物(如TF卡)两种条件对用户进行认证的方法
3.1.3 国际移动用户标识码internationalmobilesubseriberidentity 在GSM和UMTs等移动网络中用于唯一识别移动用户的一个号码
注:这个号码通常被存放在SIM卡中,由手机发送给网络
它也可用于获取存储在本地位置寄存器中的移动用户 的其他信息,或复制在当地拜访位置寄存器中
为了防止通过无线接口对用户进行窃听和跟踪,IMs1是很少 被发送的,而是被作为尽可能由一个随机生成的TMSI代替发送
3.1.4 wLAN高密接入wLANhighdensity acceSS 通过智能调度、功率调整和信道调整等技术提升网络的整体性能,提高多用户接人能力和改善用户 体验
GB/T34079.5一2021 3.1.5 智能多用户调度技术intelligent multiuserschedulingtechnology 在wLAN网络中,通过对无线应用环境和信号质量的感知
灵活调整物理信道竞争参数和调整 用户信号接人,保障已关联终端的业务性能
3.1.6 自适应功率调整adaptivepoweradjustment 根据无线终端接人的距离及数据交换容量,AP自动调整无线信号发射功率
3.1.7 自适应信道调整adaptivechamneladustment AP支持信道自动扫描功能.自动探测周边AP使用的信道以及干扰结果上报AC,触发信道 调整
3.1.8 层次化Qos调度hierarehiealQussehedulimg 既能控制用户的流量,又能同时根据用户业务优先级进行调度的Qos技术
注:多级的QoS调度提供了精细化的服务质量保证
而传统的QoS基于端口进行流量控制,单个端口只能区分业 务优先级,无法区分不同用户之间的业务,只能做到一级的Qos调度
wMM是无线Qos的主要协议,用于保 证高优先级的报文有优先发送的权利,从而保证语音,视频等应用在无线网络中有更好的质量
3.1.9 统一通信uniriedcommunications" 把计算机技术与传统通信技术融为一体的新通信模式的一种业务类型
注:核心内容是让用户无论任何时间、任何地点.都可以通过设备、网络,获得数据、图像和声音的自由通信
也就 是说,统一通信是将语音,传真,电子邮件,移动短消息,多媒体和数据等所有信息类型合为一体
3.1.10 虚拟专用网络virtualprivatenetwork 在公用网络上建立专用网络的技术
注:在任意两个节点之间的连接无需专用的端到端的物理链路而是架构在公用网络服务商所提供的网络平台之 上的逻辑网络,用户数据在逻辑链路中传输
3.1.11 安全套接层securescketslayer -种为网络通信提供安全及数据完整性的安全协议
3.1.12 应用级VPNapplieationlevelVPN 为了特定应用程序而构建基于ssL传输协议的VPN
3.2缩略语 下列缩略语适用于本文件
AC:无线控制器(AccessControler ACL访问控制列表(AecessControllist) AD:广告(Advertisement) AES:高级加密标准(AdvancedEneryptionStandard AP;无线接人点(AecessPoint) API;应用程序编程接口(ApplicationProgramminglnterface' n.Auhority CA;认证中心(Certifieation
GB;/T34079.5一2021 AccessPoints) CAPwAP;无线接人点的控制和规范(Co landProvisioningofwireless ontrol CDR;计费数据记录(ChargingDataReeord) CRL;证书撤销列表(CertificateRevocationLists) Protocol DHCP动态主机配置协议(Dy1 DynamicHost Confguration DatagramTr: Security DTLs;数据包传输层安全性协议( ransportLayer FTP;文件传输协议(File IransferProtocol ulation GRE;通用路由封装(Ger renericRoutingEncapsu GSM:全球移动通信系统(GlobalsystemforMobileCommunications) TextTransferProtocol HTTP;超文本传输协议(Hyper MSI:国际移动用户标识码(InternationalMobileSubscriberIdentity rnetProtocol IP;网际互连协议(Inter IPSec:lP安全(IPSecurity) LDAP;轻型目录访问协议(LightweightDirectoryAccessProtocol MAC:介质访问控制(MediumAccessControl MDM:移动设备管理(MobileDeviceManagement) MEAP:基于移动的应用平台(Mobile-basedEnterpriseApplicationPlatform MIMO):多人多出(Multiple-lnputMultiple-(Output) NMAP,网络映射器(NetworkMapper NosQL非关系型数据库(NotOnlysQL OcsP:在线证书状态协议(OnlineCertifieateStatusProtocol oTA;空中下载技术(OvertheAirTechnology oUI;组织唯一标识符(OrganizationallyUniqueIdentifier) PC;个人计算机(PersonalComputer PDF;可携带文档格式(PortableDocumentFormat) Qos;服务质量QualityofService) RsA;高安全密钥分发算法(RivestShamirAdleman SDK;软件开发工具包(SoftwareDevelopmentKit) SIM:客户识别模块(SubseriberldentityModule' SMs;短信息服务(ShortMessageService) SNMP简单网络管理协议(SimpleNetworkManagementProtocol ssID;服务集标识(ServiceSetldentifier) SSL;安全套接层(SeeureSocketslayer) SsO;单点登录(SingleSignOn) TF;闪存(Trans-Flash TIS;传输层安全(Transportl.ayerSecurity TMSI;临时识别码(Temporary MobileSuberiherldentity TsM终端安全管理(TerminalseeurityManagememt UC;统一通信(Unifiee edCommunications UMTs,通用移动通信系统(UniversalMobileTelecommuniceationssystem) USB;通用串行总线(UniversalSerialBus) vDl,虚拟桌面设备(Vitualesktop lnfrastructure VPN;虚拟专用网(VirtualPrivateNetwork) wAPI;无线局域网鉴别和保密基础结构(WirelessLANAuthentieationandPriv vacy
GB/T34079.5一2021 Infrastructure wLAN;无线局域网(wirelessL.ocalAreaNetwork wMM:wi-Fi多媒体(wi-FiMultimedia wPA2;保护无线电脑网络安全系统(wi-FiProtectedAcees9) 3DES;三重数据加密算法(TripleDataEneryptionStandard 总体框架 基于GB/T33780.1一2017,电子政务公共平台支持移动服务的总体框架主要包括终端、安全信道 移动安全网关、服务端管理、移动政务应用5个部分,整体框架应满足安全要求与计量要求,见图1 所示
移动政务应用 移以 土 应用商店 -应用安全 计量要求 服务端管理 移动安全网关 安全信道 信息推送服务 U/Ue适配服务 终端 通讯录服务 统计分析服务 VPN接入 移动网络 数据管理服务 A接入管理服务 认证/授权 移动办公工作台 移动应用支撑 wLAN API训调用及分析 策略管理服务 因定网络 终蹦安全模块 S0 移动设备管理(MDM 数据库、中间件 电子政务公共平台 终端安全 接入传输安全 身份安全 图1总体框架 移动服务总体框架具体包括以下内容 终端主要包含移动办公工作平台及终端安全模块这两个组件 a 移动办公工作平台为移动政务应用提供统一门户界面及应用商店,基于安全隔离运行环 1 境运行电子政务应用,并通过应用与用户主账号关联,可提供移动政务应用单点登录 功能
终端安全模块是通过如;TF密码卡、终端安全加固和终端管理软件等安全隔离运行环 境,实现电子政务移动办公的终端安全
终端系统可定制安全能力,可通过软件升级为用 户提供不断演进的安全性能和服务
b)安全信道主要包括移动网络、WLAN和固定网络3个部分,终端通过WLAN网络、3G、4G和 5G等移动网络及固定网络接人政务网络,并通过安全统一接人网关进行多场景统一移动接人
GB;/T34079.5一2021 和认证
终端用户通过内外网切换和wLAN快速漫游,可实现无缝切换的业务感受
移动安全网关可提供VPN接人,以及在政务网络下访问的API调用分析服务和sSO服务， 同时提供移动服务所规定的认证授权服务
d 服务端管理主要包括策略管理服务、移动设备管理及移动应用支撑服务3个部分 策略管理服务支持终端接人、终端识别和集中管理等功能,具备为有线、无线和VPN接 -的策略控制功能,能够根据用户认证策略和终端信息进行授权和策略 人用户提供统 下发
移动设备管理基于运行于终端的前台软件与后台终端管理平台配合提供全面的系统监管 能力,终端管理层通过多个维度,确保管理的完整性,包括;用户自助服务,应用管理、,设备 管理、资产管理、安全管控、数据管理、后台管理和策略管理及密码管理
移动应用支撑服务是针对移动应用所提供的信息推送服务、U1/UE适配服务、通讯录服 务、统计分析服务、API接人管理服务及数据管理服务的技术支撑,用于快速访问移动应 用系统，减少对政务系统的访问来节省资源和提升移动应用的可用性,同时可以在应用过 程中,对用户上网行为进行管控,对外发文件及内容进行控制和审计,并对用户信息提供 存储和访问,以支持认证、授权或配置
移动政务应用主要包括移动应用支持常用软件要求两个部分,移动政务应用是为政务应用中 运行业务流程和逻辑应用提供程序组件,如应用商店、应用访问及应用交付,常用软件要求则 是针对部分具体移动政务应用提出要求
安全要求主要包括终端安全、接人传输安全、身份安全和应用安全4个部分,安全服务可以实 现对访问的管理,只有授权政务用户可安全访问移动服务
该组件提供对移动设备和移动应 用服务之间的数据保护,并使得安全管理服务具备可视性及在管理中具备可操作性
计量要求主要包括服务度量计价模块和计费管理流程两个部分组成,计量服务是针对政务用 户访问的资源计费管理,通过对计价功能要求和计费管理流程的要求,确保计量服务的完 整性
5 终端 5.1终端安全模块 终端安全模块包括如下要求: 终端硬件主要功能应包括显示、声音、输人、计算、存储、网络连接和定位,并应有必要的容错和 a 故障恢复能力 b)终端应支持3G,4G,5GWi-F和wAP1等多种网络连接,并应支持蓝牙连接
c 终端应具有系统安全校验技术,只能安装和升级指定系统软件
应支持oTA方式升级系统及安全补丁,同时应具备对oTA升级包进行完整性验证的能力
d 软件升级时,系统应可对升级包以及版本的合法性进行校验和检查,仅允许升级到具有官方签 名的同款产品版本
终端应能够监视CPU、存储卡、内存和网络等资源的使用情况
终端对应用程序启动、网络访问、配置修改和系统登录等操作行为应可以实时记录监控并生成 g 日志,安全管理员可以随时监督查看日志
h)终端管理软件应为系统级进程,用户不能自行卸载及终止
终端管理软件应可检测TF密码卡,SIM卡等外部安全物理插件是否正确载人,如载人不正确 i 或密码输人错误,应停止政务应用的访问或锁屏
终端为政务应用运行提供安全隔离运行环境
普通应用和政务应用运行环境之间资源隔离， J
GB/T34079.5一2021 包括进程隔离互不可见,数据隔离互不能访问,网络隔离互相不能访问等
k 终端可根据用户需求定制安全能力,通过软件升级为用户提供不断演进的安全性能和服务
5.2移动办公工作平台 移动办公工作平台作为移动办公应用统一人口,实现移动办公应用的统一发布和管理,移动办公工 作平台具备功能如下: 移动办公应用访问政务网内部系统时,移动办公工作平台应通过证书与用户主账号关联,提供 a 单点登录功能 b 移动办公工作平台应支持通过提供移动办公系统安全SDK的集成能力,实现电子政务移动办 公应用的快速安全开发、部署及应用 在移动办公工作平台中的应用程序需要处理敏感政务数据时应采用应用代理的方式,并在设 备上需具备存储、强制和管理策略(包括安全策略); 应提供在网络可用时将数据安全地存储在设备上并与后端同步的功能
由于移动网络并不总 d 是可用,移动应用程序可能会使用脱机功能(如加密数据库)来安全访问和存储数据
安全信道 6 6.1接入方式 接人方式包括如下要求 终端通过3G4G,5G等移动网络或wLAN等公共无线网络接人政务网络时,应采用VPN a 方式; b 系统wLAN网络中的AP与AC之间数据通信,应采用基于DTLs的cAPwAP隧道; c 系统中wLAN设备应支持Mo通信技术; d) 系统可支持wLAN高密接人具备智能多用户调度技术自适应功率调整、自适应信道调整 和层次化QoS调度功能
6.2无缝切换 无缝切换包括如下要求 a 系统应支持内部办公网络wL.AN接人的无加苦快速微群,无线侧不加常,切换时间应小于 50ms; b 系统应支持内部办公网络wLAN接人的WPA2与802.lx认证结合方式下的快速谩游,保证 用户免重新认证和登录,切换时间应小于80m ms; 系统应支持外网VPN接人切换至内网wLAN接人,保证用户免重新认证和登录,切换时间 小于4s 移动安全网关 7.1移动安全网关功能要求 移动安全网关功能包括如下要求 针对移动应用服务采用VPN方式进行接人来提供移动应用的安全接人,消除地域差异,实现 a 可移动用户的网络互联及基于Internet网络下的移动应用安全访问控制
b 安全网关应提供SSO服务,Ss0是在通过VPN客户端认证成功后,用户请求访问受VPN网
GB;/T34079.5一2021 关保护且支持单点登录的后台应用时,VPN网关通过匹配的单点登录用户信息重新组装用户 访问请求数据包,以实现对后台应用的自动认证,而无需用户再次填写用户信息
安全网关应提供多种方法和令牌类型来识别认证和授权用户的功能
移动认证服务应提供处 理不同的令牌类型(如OAuth或OpenlID)以及诸如语音ID或生物特征技术的能力
d 安全网关在提供API的人口点时,需捕获政务移动应用客户端API调用的分析数据,如调用 AP频率,调用API种类等
7.2安全统一接入要求 安全统一接人包括如下要求 安全统一接人网关链路级、应用级VPN加密应支持国密算法; aa b 安全统一接人网关应配置电子政务认证服务机构发放的设备证书; 安全统一接人网关应支持双机热备功能; c d)移动安全应用与安全统一接人网关建立连接时,安全统一接人网关应校验数字证书的有效性 支持证书的CRL.或OCSP检测,保证证书的有效和安全,工作密钥交换应使用数字证书保护; 安全统一接人网关应能获取MDM控制策略,终端违反安全策略时,网关应阻断其接人网络
8 服务端管理 8.1策略管理服务 8.1.1终端识别 终端识别包括如下要求 应支持网络接人设备通过报文重定向或内置探针的方式,获取终端类型、接人方式、接人时间、 a 系统软件和应用软件等信息的能力
b 应支持MAC,OU1规则库,以及DHCP,HTTP,SNMP和NMAP等协议探针
应支持智能终端名称识别功能: -能够识别智能手机和平板电脑类产品 -能够识别出具体的产品名称
d 应支持终端软件系统的识别功能
策略服务器应支持非智能终端的识别功能,如摄像头、打印 机、VD瘦终端、IP话机和服务器等
应支持终端接人信息识别的功能,如接人时间、离线时间、接人地点和漫游等
应支持终端资产类型识别的功能 8.1.2策略统- 策略统一包括如下要求: 策略管理服务应具备为有线,无线和VPN接人用户提供统一的策略控制功能,能够根据用户 a 认证策略和终端信息进行授权和策略下发; 策略管理服务应支持在多系统共同部署时,策略引擎可共享 b 策略管理服务应支持基于用户角色、安全状态、位置,时间授权、终端类型、资产类型和认证方 式等策略维度限制用户接人权限,控制终端接人安全; 策略管理服务支持自定义Radius(半径)属性的功能,允许主流厂家预置私有Radius(半径)属 性字典,支持导人和更新主流厂家私有Radius(半径)属性字典 策略管理服务的策略支持基于不同的QoS,不同的接人/应用权限、不同的带宽和不同的时间
GB/T34079.5一2021 段来进行策略制定和控制
8.2移动设备管理 8.2.1用户自助服务 用户自助服务包括如下要求 应支持用户通过自助页面查看自己设备的信息; a 应支持用户通过自助页面对自己的终端做远程擦除; b) 应支持用户通过自助页面对自己的终端做远程锁定; c d 应支持用户通过自助页面清除自己设备的锁屏密码; 应支持用户通过自助页面定位或注销自己设备的位置
e 8.2.2应用管理 应用管理包括如下要求 应支持移动办公应用商店客户端,提供应用下载、升级， a b)应支持移动办公应用后台管理,如应用的上传、删除和查询(查询内容包括应用程序的名称及 版本信息); 应支持应用黑白名单,若出现违规，如;安装了黑名单中的应用,或未安装白名单中的应用,可 配置策略禁止使用移动应用平台软件 d 移动设备管理员需能查看终端的应用列表,包括程序名称、应用包名、版本和大小等 移动办公应用管理支持应用控制、分发部署、更新和卸载提醒等,确保应用合规并提升应用部 署效率; fD 提供托管政务目录并将政务应用程序分发到移动设备的能力
8.2.3设备管理 设备管理包括如下要求: 支持通过移动设备管理平台远程下发安全策略
a b) 移动设备应支持接人控制、远程锁定解锁和应用软件控制等系列安全措施
若检测到终端有破解管理员用户配置的行为,应提供访问限制、审计、提示和警告相应策略
c 移动设备管理平台支持密码锁屏策略包括 d 强制设置设备锁屏密码 要求数字字母和符号的混合 最小密码长度; 密码过期时间; 自动锁屏时间 密码出错尝试次数限制不活动时间阔值上眼
支持限制终端硬件模块功能,应能控制挺像头.wiH.,便携式wL.AN热点、蓝牙和Us8口 f 通过对终端的合规检查,移动设备管理系统可控制其能否接人电子政务网络
8.2.4资产管理 资产管理包括如下要求: a 支持设备资产的生命周期管理:从设备发现注册、准人控制到使用监控,数据管理及挂失注 销,进行端到端的管理;
GB;/T34079.5一2021 b 支持管理员注册单个终端; c 支持管理员批量注册终端 d 支持设备注销; 支持设备信息列表; e fD 支持查看单台设备的详细信息(如软硬件信息); 支持消息推送,后台能够向终端推送不合规告警
8 8.2.5安全管控 安全管控包括如下要求: 支持终端首次使用前注册到MDM系统,并建立设备序列号、证书序列号、人员和手机号码等 a 绑定关系; b支持终端准人检查,可检查配置、密码策略和应用列表等 支持终端接人认证,后端支持与LDAP,AD.Radiu、和身份安全管理服务器对接 c 识别用户身份,基于用户进行管理,并支持一个用户绑定多个终端;通过用户分组和关联角色 d 进行规范化的管理控制 通过对软硬件环境的监控,以及对应用访问的监控.识别出异常的动作,进行事中控制或事后 审计; 支持强制终端定期登录MDM系统,实现对资产的不间断管控 f 可对终端允许使用的地理区域进行限制
g 8.2.6数据管理 数据管理包括如下要求 支持远程擦除,能够远程擦除整机,恢复出厂设置; aa b) 支持移动办公应用数据擦除
8.2.7后台管理 后台管理包括如下要求 a)MDM后台提供策略管理页面 b) MM管理后台可与安全,安全统一接人网关的管理后台集成; 管理终端与管理平台之间应加密传输
c 8.3用户管理 用户管理包括如下要求: 应支持基于用户组下发业务VLAN、基于用户组下发ACL控制策略、基于用户组下发上下行 a 速率控制和基于用户组下发隔离策略 b 应支持通过用户组进行策略配置,判断用户合法性、根据用户属性进行分组(用户分类、用户访 客等)并赋予不同的访问权限; 应支持对用户进行分权分域管理,网管操作人员可设置管理用户范围和权限 应支持用户管理控制,设置账号同时在线数、,有效期、上网时间段,时长限制最长闲置时长)、 支持强制下线和账号锁定(可以自动解锁和管理员解锁)功能; 应支持账号与硬盘序列号绑定,IMSI绑定,与AP的MAC,SSID等身份信息绑定认证,增强 用户认证的安全性,具备自动学习功能,减少管理员手工录人工作量; 应支持用户黑名单管理,例如:客户端认证时连续输人错误密码,达到某个阔值时将会被加人
GB/T34079.5一2021 黑名单,此时使用正确的密码也应不能登录
8.4访客接入管理 访客接人管理包括如下要求: 系统应支持内部人员为访客申请账号的功能,并通过短信(SMS)或者Email把账号发给访客 a 访客账号应具有使用时间限制,内部人员申请权限时支持通过人员类型进行控制的功能 b 系统应支持访客自助申请账号的功能,并通过SMs/Email把账号发给访客 c 策略服务中心应支持对访客上下线时间,接人位置进行审计的功能,可以按访客来查日志 d 系统应支持通过采用CAPwAP隧道和GRE隧道实现对访客的路径隔离 系统应支持访客接人的安全审计功能,包括访客生命周期全流程审计、访客流量隔离、访客上 e 网行为管理和审计
8.5证书管理及使用 证书管理及使用包括如下要求 系统应支持对终端的强认证功能,即终端内置T密码卡,登录移动办公应用时应进行双因子 a 身份认证; b)TF密码卡应具有电子认证服务机构资质认证的数字证书,TF密码卡应支持国密算法; 认证信息应保密存储,可使用TF卡的加密密钥进行保护 c 移动安全应用与安全统一接人网关建立连接时,安全统一接人网关应校验数字证书的有效性 d 支持证书的CRL或ocsP检测,保证证书的有效和安全,工作密钥交换应使用数字证书保护 8.6移动应用支撑服务 8.6.1A接入管理服务 AP1管理功能是为移动网关提供可访问的可用服务端点
应提供API服务目录,提供API连接到 服务实现和管理功能,如API版本控制等,同时应包括以下功能 AP服务目录/描述文档;提供安全查找和使用AP的功能; a b) API管理;可为移动网关、策略管理服务及其他移动应用程序等提供API使用的管理视图
8.6.2数据管理服务 服务端所提供的数据管理服务可为移动服务提供数据存储和访问
应可以处理来自不同应用来源 的数据,如存在于政务系统或者各种其他来源的用户信息
基于适合的形式存储以满足移动应用程序 的快速访问
数据管理服务应包括 移动应用数据/NosQL;移动应用程序可以方便、快速地调用和存储数据; a b) 文件存储库;提供存储静态文件的功能,如PDF和系统页面内容; 缓存;提供数据缓存的能力,以便移动应用程序快速访问 c dAPI数据;提供以API的方式向其他移动应用开放数据
8.6.3通讯录服务 通讯录服务可以基于统一身份管理下的政务通讯服务体系,可以实现多平台同步并具备以下功能 移动应用服务应采用统一标准以实现多平台同步,如与PC应用下的数据同步; a b 本地通讯录可自动备份,并提供安全保障,保证用户联系人不会发生丢失情况
10
GB;/T34079.5一2021 8.6.4统计分析服务 统计分析服务应包括: 通信位置数据分析 a 提供终端设备的物理位置及位置活动模式的数据分析,便于为移动服务优化操作或辅助优化 操作行为,同时可以提供该位置下的精准内容推送及相关移动通信服务
b 使用数据量化分析 通过采集移动应用的用户信息,并提供完整的应用信息可见性
用于构建和管理预警系统,以 检测移动用户问题,并提供主动检测移动应用程序故障及其他障碍
并通过分析特定移动用 户行为或设备属性来帮助量化或细分影响
8.6.5信息推送服务 服务端应具备向平台中移动应用提供基于统一标准的消息推送服务的能力
并支持如短轮询、长 轮询或协议连接等方式实现应用与服务端的消息推送
8.6.6U/UE适配服务 服务端应提供标准化的U1/UE适配服务,可为移动应用提供统一的界面语言和交互公共标准,提 升政务移动应用访问效率和服务可靠性
移动政务应用 g.1移动应用支持 9.1.1 应用商店 应用商店包括如下要求: 政务单位可建立移动办公的应用程序商店; a b 移动办公应用目录应能设置用户角色权限,控制终端用户可访问的应用列表 移动办公应用目录应能实现电子政务移动办公应用程序的安装、更新和升级提醒; c d 所有移动办公及个人应用软件应通过应用商店签名发布,并提供下载安装 e 系统应支持安全浏览器、安全邮件,移动VD和UC等应用; fD 系统应支持主流智能设备的移动协作,支持语音、即时消息、数据、视频和会议的协作
9.1.2 应用访问 应用访问包括如下要求: 用户访问移动办公应用时,应经过CA数字证书和登录密码的双因子认证 a b 用户访问移动办公应用时,可支持基于时间属性的访问控制,可以配置允许用户登录业务系统 的时间段,只有在允许的时间内,用户才能够登录访问内部网络的资源
g.1.3应用交付 应用交付包括如下要求 应支持移动办公应用客户端由应用商店来提供下载安装; a b 应支持web移动办公应用部署在移动办公工作平台; 应支持通过应用虚拟化客户端进行应用访问,现有应用无需改造 c 11
GB/T34079.5一2021 应支持通过Meap平台对现有应用进行移动化开发,生成原生应用客户端或非原生客户端(如 d HTML.5应用. 9.2常用软件要求 g.2.1安全浏览器技术要求 应安装、使用定制的安全浏览器访问政务应用,不准许使用系统开源浏览器
安全浏览器底层通过VPN或内置应用层隧道与政府移动接人网络建立加密隧道,在用户浏览政 府Intranet网站时提供安全通信防护
在浏览器的上网缓存数据在浏览器退出时可提示进行清除防 止缓存数据泄露
针对于智能终端的屏幕尺寸和操作特点,安全浏览器提供功能如下 流量精简 a 根据流量精简策略,对于web页面中的资源进行过滤和内容优化,精简流量
b)数据保护 支持离线资源、密码、下载的文件、访问历史、Cookie、和临时文件的在线加解密能力;在退出 浏览器时,可按照策略自动清理缓存和配置
文档浏览 支持文本、图片和压缩文件等办公所需文档格式的在线或离线安全浏览,实现数据与个人数据 的隔离
d 访问行为管控 基于URL黑白名单的管控,并根据策略限制文件上传、下载和保存等行为
9.2.2安全邮件技术要求 支持推送技术,为用户提供安全受控的即时邮件推送服务
安全邮件客户端通过移动VPN或内 置的应用层隧道与政府移动安全统一接人网关设备建立加密隧道,在用户查看邮箱时提供安全通信防 护,附件浏览和下载控制
针对于智能终端和Pad设备的操作特点,安全邮件客户端应提供特性如下 邮件协议 a 支持SMTP,IMAP4和EAS协议
邮箱功能 b 对于单个邮件支持创建,打开,发送,接收,转发,删除,回复,标记和移动、搜索和订阅管理 等功能; 通过邮件配置自动获取功能简化用户配置,特定情况下实现零配置; 支持在线模式下,本地邮件操作同步到服务器 支持邮件实时推送和通知,并支持同步策略和通知方式的配置
邮件传输加密 传输加密方式支持全系刚的ssL/TIs协议 支持客户端/邮件服务器间传输加密
d 邮件附件在线浏览 支持文本文件浏览; 支持压缩文件浏览 支持BMP,PNG,GIF、JPG和JPEG图片文件浏览
邮件加密保存 12
GB;/T34079.5一2021 安全邮件客户端对邮件正文和附件都进行加密保存,缓存的邮件支持周期性清理
邮件策略控制 支持邮件附件的访问、转发策略控制; 支持邮件内容发送策略控制 支持离线登录邮箱的权限策略控制 联系人 g 支持个人联系人的查询、增加、删除和修改以及同步 支持政府联系人的查询 支持自动缓存最近使用联系人清单; 在邮件处理过程中支持各种丰富的联系人详细信息的联想
h)邮件系统的认证授权 支持邮件服务器的单点登录
g.2.3安全即时通讯要求 应安装、使用定制的安全即时通讯系统,不准许使用社会化即时通讯软件进行相关工作交流
即时通讯系统通过VPN或其他安全物理通道与政府移动接人网络建立安全隧道,针对于智能终 端和桌面电脑的屏幕尺寸和操作特点,安全即时通讯提供功能如下: 点对点即时消息 支持点对点聊天,聊天支持发送文字、图片、拍照、语音和文件功能,支持消息内容查询功能,支 持消息置顶功能，支持转发及批量制除功能
群组消息 b 支持多人聊天,聊天支持发送文字、图片、拍照、语音和文件;在群组通信中,当部分成员加人或 退出群组时,其他在线成员应收到相应的提示信息;群主能够解散群,能够转移群主权限
后台建群 支持后台统一建群,批量导人人员信息,支持后台删除群,添加、删除群成员,冻结个人账号,解 禁个人账号等功能
安全管控 d 支持移动端文件传输,传输文件应支持水印功能,支持用户消息界面水印功能,支持用户多种 权限控制功能,能够根据业务要求进行权限配置,支持用户撤回已发送的消息,支持用户发送 的消息在预订时间到达后自动焚毁
文字消息、长文本、图片、语音和视频在服务器及终端 本地保存时需要进行加密
支持屏蔽词安全策略,通过此策略即时通信禁止发送相关内容
系统内消息不准许外发、分享到外部社会化平台
10安全要求 10.1终端安全 终端安全包括如下要求 应具备管理员用户权限破解的检测和防篡改能力,防止被刷机 aa 应支持移动办公的敏感数据可被加密存储; b 应支持文档的在线加密和离线加密两种模式,在线加密密钥动态从密钥中心获取,离线密钥根 据用户密码及终端硬件信息生成 d 应支持使用数字证书的加密密钥保护应用层密钥,包括移动办公应用系统密码、数据加密密 钥等; 13
GB/T34079.5一2021 应提供用户自助平台,在移动办公终端丢失时,可供用户第一时间自助进行远程定位、锁定和 删除丢失终端设备中的数据; 应提供MM防卸载机制,当终端MDM被卸载时,移动办公应用及数据也将被锁定或者删 除,以防止数据泄密; 应支持应用的所有本地操作和网络行为可被审计 8 应支持应用注销时,本地数据可被无痕化擦除; h 应具备病毒终端被自动隔离的能力,防止终端数据外泄 应用运行时,应保证数据安全
数据安全可采用安全隔离运行环境或者虚拟化的实现方式 基于安全隔离运行环境实现移动办公数据和个人应用数据的隔离,其中移动办公数据加 密存储,以避免信息泄露; 虚拟化方式终端仅具备显示作用,在服务器端进行数据处理及保存,保证数据安全
虚拟 化可包括应用虚拟化和虚拟桌面两种方式
10.2接入传输安全 传输安全包括如下要求 a 系统应支持SSL/TLs,IPSec等网络安全协议
b系统应支持应用级VPN,在应用启动时自动启动VPN
通过应用专属的安全隧道,实现多移 动办公应用之间的安全隔离,应用层数据直接封装进人隧道,防止其他恶意程序窃取、篡改应 用数据
为保证本地加密密钥传输安全性,移动终端与密钥分发中心应通过SSLVPN隧道加密;密钥 分发中心,主密钥管理中心和备密钥管理中心之间通过IPseeVPN隧道加密
d 数据传输时,系统应支持基于RSA,3DES期AES256高强度算法;支持国密算法;支持SHA完 整性验证,确保数据不被篡改
0.3身份安全 10.3.1终端系统启动认证 系统应支持开机密码,用户在开启终端时进行开机密码认证
0.3.2屏幕解锁认证 屏幕解锁认证包括如下要求: 应支持屏幕锁定密码,安全政务本应在不活动时间达到设定值时锁定屏幕,阔值上限应由 a MDM管理员设定,也支持由用户发起的屏幕锁定 用户解锁屏幕时进行屏幕锁定密码认证,屏幕锁定的密码策略可以由MDM系统分发， b 应通过解锁密码验证重新激活终端 c 屏幕锁定密码应支持口令形式的密码,密码应进行加密存储 d 系统应能设置及检查密码锁屏策略
0.3.3网络接入认证 网络接人认证包括如下要求 在访客接人时,系统应支持采用Portal认证方式对访客进行身份认证 a b在用户内网接人时,系统应支持Portal,802.lx,或802.1x和应用级VPN结合的方式进行身份 认证; 14
GB;/T34079.5一2021 在用户远程VPN接人时,系统应支持SSL.VPN或应用级VPN的认证方式进行身份认证,按 照GM/T0024一2014的规定; d 在具有分支接人时,系统应支持IPSecVPN认证方式进行身份认证,按照GB/T36968一2018 的规定; e 在终端接人时,系统应支持应采用双因子认证和唯一硬件设备信息的方式进行身份认证; fD 用户在限定的时间段内多次连续尝试身份认证失败时,认证模块执行连续认证失败锁定策略， 可采取系统锁定或者删除全部政务应用数据并恢复到初始状态等安全措施
10.4应用安全 10.4.1移动数据和应用程序保护 移动数据和应用程序保护包括如下要求 应支持上网行为管控的功能,实现对网络应用、站点访问、信息外发和邮件等权限控制 a b 应支持ASG和TSM联动来管控上网行为,AsG从TSM同步用户信息,通过单点登录的方 式,保证用户不需多处登录; 应支持对外发文件类型,大小限制进行控制; c d 应支持对外发内容敏感数据进行过滤 应支持对外发文件及内容的审计; e 程序保护应有助于消除访问关键的移动应用程序的安全漏洞
10.4.2数据应用投入生产和部署 数据应用投人生产和部署包括如下要求: 可通过如部署应用程序防火墙来保护部署的应用程序免遭应用程序威胁
数据安全功能应支 持保护和监控移动设备,政务数据库,文件共享
b 通过移动平台访问的大型数据环境中的数据,应通过加密与系统密钥管理来访问数据,并提供 实时数据监控和漏洞的数据活动监控评定
10.4.3 安全信息审计 安全信息审计应具备全面的可见性和操作的智能化,可以通过分析事件和日志以及高风险威胁的 相关检测来帮助检测和防御威胁,可以与政务业务的管理流程相结合,从而实现自动化的规则执行、数 据审计报告
11 计量要求 11.1服务度量计价模块 服务度量计价模块包括如下要求: 负责对会话交互、数据存储信息和网络资源(如短信、彩信、分组承载业务)的使用情况进行收 集、解释和处理,统计计价数据,发给计价服务器
b 支持多种计价模式,包括基于移动政务业务流量、事件,业务提供时长和应用类型的计价
支持在线计价、离线计价两种计价功能
d 根据用户签约信息管理访问(如,对签约端及网关设备的管理、网络资源的使用能力)
计价模块可以根据运营商策略、签约信息为可计价事件配置计价参数,并收集会话交互,对网 络资源的使用情况
其中计价参数可以包括应用和设备用户等请求发起方、业务类型、政务应 15
GB/T34079.5一2021 用、终端及网关等请求接收方、网络资源的使用和时间戳等
f 计价功能模块能够确定访问请求的计价CDR,发送给计价服务器,以便于计价服务器对请求 发起方的本次访问请求进行计价 计价功能模块够确定数据存储的计价CDR,系统周期性收集数据存储信息,包括移动政务应 8 用、设备用户、存储空间和时长等,发送给计价服务器进行计价
h 计价模块可以根据运营商策略、签约信息为可计价事件配置计价参数
可计价事件可以分为 三类:业务功能的调用、资源使用和网络使用
计价模块可以配置可计价事件,包括;移动政务应用或设备用户使用业务系统的设备管理、订 1 阅通知访问控制和群组管理等业务功能模块,系统收到或发起访问请求消息表示发生可计价 事件
移动政务应用或设备用户使用业务平台的资源进行数据存储,这个可计价时间是基于定时器 触发的政务应用使用网络资源进行通信包括短信、彩信、分组域承载、近距离无线通信和有线 通信等 k 计价模块可以同时配置一个或多个可计价事件
计价模块可以根据可计价事件配置计价参数 并在发生可计价时间时记录各个计价参数
根据需要从记录中获得计价数据,并将计价数据 以CDR的形式记录下来
然后计价模块会将计价数据传递给计价服务器处理,它们之间的接 口可以遵循FTP,Diameter等接口协议或者依赖于运营商的内部接口实现
11.2计费管理流程 计费管理流程包括如下要求 计费模块可配置计费事件和计费参数
业务功能模块接收移动政务应用或设备用户对业务资 a 源的访问请求,并将访问请求发送至计费模块处理
b)计费模块记录和统计计费数据 计费模块根据访问请求确定发生了可计费事件时,应确定并记录与访问请求相关的计费 数据,计费数据可以包括移动政务应用标识或设备用户标识,业务功能标识和流量等
对于在线计费,计费模块应将计费数据发送到计费服务器以便于计费服务器确认是否允 许移动政务应用或设备用户对业务资源的访问,其中计费数据可以包括业务功能标识、计 费单元等
计费服务器返回响应,允许移动政务应用或设备用户的访问
业务功能模块对移动政务应用或设备用户的访问进行处理
c 移动政务业务平台中的业务功能模块对访问进行处理,并将访问的响应发送至计费模块处理
d 计费模块记录确认访问成功时,应确定并记录与访问响应相关的计费数据,计费数据可以包括 e 时间戳、检索资源结果、时长和流量等 计费模块将计费数据传送到计费服务器,进行批价并生成计费账单 fD 计费模块将访问请求和访问响应相关的计费数据发送到计费服务器,计费数据中还应包 括消息序列号、结束符等信息用于区别不同的计费数据 -计费服务器返回响应,说明已成功发送
16
GB;/T34079.5一2021 参考文献 [1]GB/T18336一2015信息技术安全技术信息技术安全评估准则 [[2]GB/T202692006信息安全技术信息系统安全管理要求 [3]GB/T25068.4信息技术安全技术IT网络安全第4部分;远程接人的安全保护 4]GB/T25068.5 信息技术安全技术IT网络安全第5部分:使用虚拟专用网的跨网通 信安全保护 [5]GA/T671一2006信息安全技术终端计算机系统安全等级技术要求
基于云计算的电子政务公共平台服务规范第5部分：移动服务GB/T34079.5-2021
在当前数字化时代，移动互联网成为人们生活中不可或缺的一部分，政务服务也不例外。基于云计算的电子政务公共平台服务规范第5部分：移动服务GB/T34079.5-2021旨在建立起一套完整的移动服务标准体系，以保证政务移动应用服务可靠、高效地运行。 该标准规定了云计算环境下电子政务移动应用服务的相关要求和规范，包括移动应用的分类、移动应用的生命周期管理、移动应用的安全性和可靠性等方面。其中，最核心的是移动应用的分类，该标准将移动应用分为四类：原生应用、混合应用、Web应用和微信小程序。 原生应用是指为特定平台设计开发的移动应用，例如Android、iOS等；混合应用则是指同时结合了Web技术和原生技术的移动应用；Web应用是指基于HTML5等Web标准开发的移动应用；微信小程序则是指运行在微信客户端内部的轻量级应用。 在生命周期管理方面，该标准要求政务移动应用服务必须经过规范的开发、测试、上线、运行和维护等环节，并且需要及时更新和升级。另外，在移动应用的安全性和可靠性方面，该标准也提出了相关要求，例如数据加密保护、鉴权机制、容错机制等。 总体来说，基于云计算的电子政务公共平台服务规范第5部分：移动服务GB/T34079.5-2021的出台，将有助于促进政务移动应用的推广和优化，提高政务服务的质量和效率，同时也有助于推动云计算在政务领域的广泛应用。
