2.3　郵箱系統(tǒng)在CDMA移動(dòng)網(wǎng)絡(luò)側(cè)的安全方案

　　2.3.1　如意郵箱在CDMA手機(jī)上的工作流程

　　如意郵箱用戶除使用電腦上網(wǎng)處理郵件外，還可利用CDMA手機(jī)的WAP上網(wǎng)功能處理郵件，其工作流程如圖2所示。手機(jī)用戶處理郵件要經(jīng)過CDMA無(wú)線網(wǎng)絡(luò)段的鑒權(quán)認(rèn)證，進(jìn)入cdma2000 1x無(wú)線分組網(wǎng)，再到達(dá)WAP門戶，這時(shí)用戶手機(jī)WAP界面將顯示云南聯(lián)通WAP門戶“彩云之南”頁(yè)面，其中一個(gè)欄目就是“如意郵箱”。用戶點(diǎn)擊該欄目后，系統(tǒng)通過簡(jiǎn)化的HTTP（WML規(guī)范）經(jīng)過公網(wǎng)尋址到如意郵箱系統(tǒng)，其后過程基本與pc用戶上網(wǎng)進(jìn)入郵箱相同，用戶由此實(shí)現(xiàn)了對(duì)自身手機(jī)郵箱的操作。

　　

　　 圖2　如意郵箱WAP工作流程

　　2.3.2　在手機(jī)上處理郵件的安全考慮和方案

　　（1）CDMA無(wú)線網(wǎng)絡(luò)段

　　在手機(jī)用戶接入網(wǎng)絡(luò)時(shí)，CDMA網(wǎng)絡(luò)首先通過設(shè)置相關(guān)參數(shù)，對(duì)用戶進(jìn)行嚴(yán)格鑒權(quán)以防止非法用戶接入網(wǎng)絡(luò)，保證用戶的安全和惟一性。

　　（2）cdma 2000 1x數(shù)據(jù)分組網(wǎng)段

　　如意郵箱系統(tǒng)針對(duì)CDMA上網(wǎng)用戶提供的手機(jī)郵件處理功能，主要是基于cdma2000 1x數(shù)據(jù)分組網(wǎng)，為使系統(tǒng)安全可靠，有必要先對(duì)cdma2000 1x數(shù)據(jù)分組網(wǎng)的網(wǎng)絡(luò)安全進(jìn)行分析。

　　當(dāng)前中國(guó)聯(lián)通cdma2000 1x數(shù)據(jù)分組網(wǎng)存在以下特點(diǎn)：

　　●系統(tǒng)網(wǎng)絡(luò)與用戶網(wǎng)絡(luò)并存；

　　●系統(tǒng)網(wǎng)絡(luò)中存在運(yùn)營(yíng)商內(nèi)部網(wǎng)絡(luò)和對(duì)互聯(lián)網(wǎng)的接口；

　　●專網(wǎng)與公網(wǎng)用戶并存；

　　●無(wú)線網(wǎng)絡(luò)與有線網(wǎng)絡(luò)并存；

　　●私有地址空間與公用地址空間并存；

　　●同一網(wǎng)絡(luò)上承載多種業(yè)務(wù)，同一網(wǎng)絡(luò)連接到多個(gè)接入網(wǎng)。

　　從以上特點(diǎn)可以看出，分組網(wǎng)的組網(wǎng)比普通數(shù)據(jù)網(wǎng)絡(luò)的組網(wǎng)更復(fù)雜。同時(shí)，cdma2000 1x網(wǎng)還可能受到來(lái)自各方面的眾多安全威脅，包括：基于物理層的線路偵聽、噪音引入、虛假M(fèi)AC地址的攻擊等。

　　基于以上安全問題。目前cdma2000 1x分組網(wǎng)的安全機(jī)制主要通過以下手段實(shí)現(xiàn)：

　　●內(nèi)外網(wǎng)隔離；

　　●限制用戶對(duì)設(shè)備的訪問；

　　●對(duì)非法訪問的偵測(cè)；

　　●對(duì)異常網(wǎng)絡(luò)流量做到及時(shí)反應(yīng)；

　　●制定有效的安全管理方案。

　　具體安全保證手段可分為系統(tǒng)的可靠性和抗攻擊能力兩方面：

　　●可靠性。分組網(wǎng)中通過RADIUS服務(wù)器對(duì)用戶接入時(shí)使用的用戶名、密碼進(jìn)行驗(yàn)證，必要時(shí)還可以結(jié)合用戶的IMSI（international mobile subscriber identification number）。為保證PDSN的可靠性，PDSN設(shè)備采用主備方式進(jìn)行負(fù)荷分擔(dān)、備份。

　　●抗攻擊能力。現(xiàn)分組網(wǎng)主要采取了以下抗攻擊措施：通過在系統(tǒng)內(nèi)網(wǎng)中構(gòu)建MPLS VPN來(lái)加強(qiáng)內(nèi)部網(wǎng)絡(luò)的安全；在網(wǎng)絡(luò)內(nèi)部使用私有地址空間，做到內(nèi)外網(wǎng)隔離；使用硬件防火墻、NAT方式及ACL控制策略，保證內(nèi)網(wǎng)和公網(wǎng)的進(jìn)一步隔離；通過三層交換的VLAN隔離和VLAN間路由技術(shù)，對(duì)不同子網(wǎng)間的路由訪問進(jìn)行有效的控制；通過NetFlow技術(shù)監(jiān)控網(wǎng)絡(luò)流量，對(duì)異常網(wǎng)絡(luò)流量做到及時(shí)反應(yīng)等，保障網(wǎng)絡(luò)的安全。

　　通過以上的安全設(shè)計(jì)，中國(guó)聯(lián)通的cdma2000 1x網(wǎng)絡(luò)成為目前安全程度很高的移動(dòng)數(shù)據(jù)網(wǎng)絡(luò)。

　　（3）WAP門戶段

　　由于在前兩個(gè)網(wǎng)絡(luò)段已有較嚴(yán)格的安全保障，在省級(jí)WAP門戶的內(nèi)網(wǎng)區(qū)域段，網(wǎng)絡(luò)是比較安全的。但即使如此，WAP系統(tǒng)在公網(wǎng)和中國(guó)聯(lián)通內(nèi)網(wǎng)側(cè)都配備了雙宿主主機(jī)防火墻，保證該子系統(tǒng)設(shè)備的網(wǎng)絡(luò)安全。

　　2.4　其他安全技術(shù)措施

　　如意郵箱在安全方面還有一系列反垃圾郵件技術(shù)措施（如SMTP首級(jí)郵件地址過濾、陷阱技術(shù)、人工反垃圾設(shè)置等），并與殺毒軟件公司MaCfee合作解決病毒郵件查殺和快速升級(jí)難題。