移动数据安全 E人E本研发总监任靖专访

日前，E人E本在光明网举行了关于“智能移动终端安全标准”的研讨会，期间就目前国内安全领域的标准建设、安全环境、安全形式以及可持续发展的看法进行了讨论。会后我们就E人E本方面在移动端安全领域的发展对，E人E本北京研发中心总监任靖先生进行了专访。

就产品而言T8S就是一款可更换加密模块级别的移动端产品。民用领域的T8S的安全级别并不能达到军工级，但对于民用来说E人E本从硬件到操作系统内核到操作系统框架到应用软件逐层传递的信任链，同时采用“沙箱”安全策略，以及数据加密内核和独立密码模块。这些，则足以保障普通用户的数据安全。另外，对于一些企业的更高的安全定制需求，E人E本也会提供相应的数据安全解决方案。

E人E本北京研发中心总监：任靖

Q&A问答:

E人E本前不久才刚刚发布T9 在这么短的时间内又推出T8S 出于何种考虑？

把T8S当成是T9的下一代产品是一种误区，但其实T9和T8S是两条不同的产品线，T9是专门针对高端商务人群移动办公需要使用的商务平板，T8S则是我们另外一条针对安全相关的产品线，是专门为了满足高安全级别用户的信息安全需求而设计的，这是他们的差异点所在。

T8S解决更多的是产品端的安全问题 但现在更多的安全问题是在APP内用户数据外泄？

关于APP泄露，这只是属于应用安全的一块，我们认为安全应该是一个完整的链条，只有保证了最基本系统层面的安全，才有可能保障上面应用层面的安全，就比如我把你的系统安全攻破了，那你应用再加密也是会被泄露的。而T8S是采用了E人E本SEA的安全架构，SEA是以可信理论为基础的，这里涉及到一个可信链的概念，简单地说，就是你把一个业务系统的最底下环节的安全保障了，从这个环节开始，把这套安全的机制通过某种方式传递到下一个环节，那下一个环节也是安全的，依此类推形成一条链条，我们称为可信链，E人E本SEA架构正是构建了一条从硬件到操作系统内核到操作系统框架到应用软件逐层传递的信任链，打造出从硬件安全到系统安全，从应用安全到数据安全的全面解决方案。

T8S的安全级别是否对普通用户开放 如何解决高数据安全用户需求？

我们在设计T8S的时候，其实是将它定位于满足高安全级别用户的安全需求，这个用户既可以是个人，也可以是行业和企业客户，只不过，不同的用户对安全的需求是不同的，而T8S是可以根据用户的安全需求进行定制的，比如最基础的T8S的版本，对于那些防范数据被别人窃取的普通消费者而言，这种基础版的T8S就完全能够满足这种需求了。而对于企业和行业客户而言，他有他安全上的要求，因为我们国家密码等级上的划分是非常明确的，什么样的部门什么样的领域什么样的业务使用什么样的密码是非常清楚的，所以我们在做SEA的时候，我们是以密码为核心的，密码的模块是全配的，符合各个安全级别，密码产品根据客户不同的需求方式我们可以提供不同的配置。所以，T8S的安全级别可根据行业用户需求而定制。

E人E本T8S毕竟还是基于安卓系统的 那如何判断这个系统版本他有没有漏洞？

我们做平台做设计也好，并不是自己埋头苦干。在我们部门了解了用户安全需求的本质后，我们会和很多国内知名的研究机构一起共同研究制定方案，在这点上，他们既代表了客户一个明确的需求，同时也保障了我们的安全，说到检测，客户会拿着我们的产品到他们认定的机构去做检测，比如某些个单位他会对整个平板进行扫描保证通讯不会被截取，对你的操作系统进行检验等等一系列的措施检测相应的问题，对于终端厂商而言，我们只需要按照他的安全需求改造这个系统即可，真正检测工作还是由客户自己去检测，客户可以找自己可信任的权威的第三方进行检测。

移动终端现在越来越不可控，办公地点不确定 E本如何解决网络接入的数据安全？

现在很多的企业都是移动化办公，移动化办公希望自己的企业员工能够使用到这个平板，这个就会带来管理上的问题，他需要了解到员工在哪儿是不是接入了安全的网络，现在在做什么？我们也有这种项目，他们也是为员工配备的，一个软件就可以解决这个移动化办公的问题。刚才我提到，我们的SEA安全架构是具有高度可定制性的特点，可以提供上百个安全接口，可轻松进行安全级别的定制，通过与需求方业务系统的整合来实现你刚才说的这个功能，可以保证他的数据和网络使用过程当中的安全。同理，如果你在应用里面对手写有要求，你的应用对安全有要求，我们都可以开放SEA的接口。

关于移动安全标准，E人E本在这方面是不是有自己的规划，在这个标准提升之后，会有什么样的定位？

关于标准，我认为肯定是必要的，比如，我在家里用WIFI，我只要买一个路由就可以了，如果我在家里上一个WIFI我还需要找一个系统经营商把“芯片、终端、路由”三家经营商叫过来然后做适配，这个是不现实的，标准是能够促进产业的发展的。作为移动终端厂商，我们也希望国家“党、政、军等行业”一些部门对移动终端的产生有一个标准出来，这样我们就可以安心的做事情，不用一个一个客户的去碰。

在实际工作中，我们无论是跟国家信息中心还是跟其他的一些部委已经推行过相关的标准一年多了，效果不好，我觉得最根本的原因就是因为没有人了解用户的需求，只有了解了用户的需求以后你才能解决他的问题，解决他的问题，他才能把这个东西推到其他有需求的部门里面去。

我们认为，标准的推行，还有一条商业化的道路，这也是我们现在正在走的，比如一些重点有影响力的客户找到我们，我们提供给他的基于我们自己安全标准下的产品满足了他根本的需求，得到了他的认同，那么他就会在他的领域当中去推广使用，推广多了自然就成了标准，就像我们说话一样，北京人说话竟说白字，就是因为大家都说所以就都认同了。现在这个阶段市场化的行为是E人E本要做的一件事情。

T8S是怎么把用户安全的风险降到最低的？

没有绝对的安全，安全永远是相对的，我们除了在技术上运用SEA的安全架构最大程度地降低用户的安全风险外，我们还会充分地与我们的直接客户沟通，包括我们要实现的安全的方式方法等都是我们跟客户讨论完以后形成的，客户的安全需求是明确的，我们现在做的安全，是在他明确的要求的范围内去做的一些东西，在这方面，就会存在对于未来的风险预期不够，但是我觉得安全是永远相对的问题，我不会因为丢了自行车就永远不去买自行车，这个是不现实的。

SEA作为一个安全解决方案 有没有也计划推广到其他的产品上？

SEA会运用到E本的安全产品线上，我们所有与安全相关的产品都会基于SEA的这个安全架构。当然在这里面我想提SEA不是一个固定三五条核心功能的方案，它会根据客户的不同安全等级需求不断的变化，但是理论上的依据，它的架构是不变的，他解决安全问题的思路，比如说我们核心密码的思路是不变的。

针对不同的行业标准 安全防护也是有所不同的 E人E本方面是如何做到统一的？

肯定没有想象中的那么简单，需求是不同的，对于个人来说，他可能就是个人帐号的保密，或者是核心信息的加密，但对于行业来说，他的需求是多元化的。所以，你可以理解为在移动终端的安全组成有很多的开关，哪些开关是可以不开的，不开就可以满足这个安全级别用户的安全需要了。当然，最重要还要提一下我们实际上不可能做所有的应用，就像你提的各种各样的行业应用不可能都做，我们无论是手写还是安全的东西我们会封装一层接口，跟第三方进行合作来满足他的需要。