行動應用內容串流技術（Mobile Content Streaming Service）可兼顧企業資安考量與使用者便利性，是未來趨勢。全球智慧手機市場持續成長，手機從個人通訊用途已逐漸演化成為個人生活、娛樂甚至工作核心。虛擬化技術在資料中心應用已取得相當大的成功，但在行動市場的應用近幾年來才開始逐漸有成熟產品技術推出，其中虛擬行動桌面服務技術（Virtual Mobile Infrastructure, VMI）為協助企業因應BYOD（Bring Your Own Device）新型態工作模式所導致的資安威脅，最直接有效地將所有企業行動服務應用與資料集中在企業資料中心管理，以達到兼顧使用行動裝置之便利性，同時又確保企業重要資料之安全管理。
企業行動服務應用將成未來趨勢
想像你正於辦公室處理一份重要的文件，卻臨時被通知需要去進行會議，於是我們必須將檔案儲存、複製、拷貝，移動至會議室內，才可以再繼續用筆電或其他設備繼續未完成的工作；或是經常需要進行外部會議及拜訪客戶，而導致許多重要電子公文無法及時簽核完成。現在，我們可以藉由手機或平板隨時無縫接軌於個人電腦或筆電上未完成的文件編輯及電子公文簽核，不受任何時間、地點及設備的限制，享受企業行動服務應用化所帶來的便利。利用企業行動服務應用對於使用者來說相當便利，但對企業而言，卻會衍生出資安及管理方面的重大議題，如何達到兼顧使用者便利性及確保企業重要資料安全，一直是企業所關心的焦點。
BYOD管控是雙面刃 謹慎為上
BYOD的管控一直是企業的重要課題，然傳統行動裝置管理（Mobile Device Management，MDM）、行動應用程式管理（Mobile Application Management，MAM）、行動內容管理（Mobile Content Management，MCM），甚至於虛擬桌面架構（Virtual Desktop Infrastructure，VDI）等各項方案，在BYOD議題上，都存在著不一樣的管理盲點，而導致企業很難同時兼顧使用者隱情及降低資安風險目的。
拜智慧型手機、平板電腦普及化所賜，人手1台甚至多台以上的智慧型行動裝置，已是日常生活隨處可見的景象，且4G行動網路發展漸趨成熟，促使越來越多人透過智慧型裝置進行公務使用。
BYOD對於企業而言就像是一把雙面刃，於提升效率的同時亦增加了風險，假如使用者不慎遺失設備或下載惡意軟體或程式而遭到駭客竊取，企業內重要資料有非常高的風險因此洩漏給第三人，而造成商譽及金錢上的損失，BYOD管控將成為企業的首要課題。
因應不同需求的行動資安技術演進
因行動裝置普及化，也讓資安廠商過往只針對桌面平台研發相關技術，現在不得不開始著力於行動平台。過去數年內，資安廠商也發展了許多不同的技術來保護行動平台，以確保企業於行動資安領域獲得保障。
綜合來說，過往技術演進可以用一張圖簡單呈現，如圖1所示。早期的資安廠商為了確保行動平台上的應用程式是被允許認證可執行的，便採用了所謂的白名單機制，並且將白名單機制管理程式放置於系統核心部分，以確保不會被使用者或其他惡意時式進行非允許的竄改或修正，但相對而言便需要特定手機廠商開放對應的接口，才能讓整套機制得以正常運作，這便是一般行動裝置管理機制的實現。
在發現行動管理機制難以實行時，一群熟悉虛擬化技術的團隊便有了新的想法產生，產生了於行動裝置平台上進行虛擬化的想法，把原先於資料中心所使用的虛擬化技術移植到行動裝置上，讓行動裝置上預計保護的企業行動應用程式移動到虛擬機的環境中。如此一來，便能把企業與使用者的資料輕易分開，即使使用者裝置遭受惡意程式攻擊，也不會影響到企業行動應用程式的正常運作。但相對而言，卻面臨到了耗電與效能低落的挑戰，如果要讓虛擬化技術得以正常運行，需要手機晶片開發商的支援，並且需要高度效能運行才能維持正常操作。
於是最終有了虛擬行動桌面服務技術VMI架構出現，如果在行動裝置上進行虛擬化技術如此困難，不如把虛擬化技術從行動裝置移回資料中心內部進行，透過影像串流技術的快速回傳機制，讓使用者於使用資料中心內部的虛擬行動裝置就像是在使用本地端行動裝置一樣的體驗。如此一來，企業得以安全且快速部署行動裝置，並且可以確保所有資料都被保存於資料中心內部。
圖1 行動資安技術演進Mobile Content Streaming Service讓資料與應用程式不落地
由此可知，BYOD管控勢必需要不同於以往的思考模式，才能解決現在無法兼顧使用者便利及企業資安考量，全新可兼顧企業資安考量與使用者便利性即為行動應用內容串流技術（Mobile Content Streaming Service）。
於Mobile Content Streaming Service架構下，所有資料存取及運算皆發生在資料中心內部，企業機密資料不會被下載至使用者的行動裝置裡，而使用者可輕易透過任何設備來存取企業內部應用程式，不受硬體廠商或作業系統的限制。
Mobile Content Streaming Service將改寫過往使用者要存取企業內部資料流程（如圖2所示），過往使用者需先下載企業應用程式至行動裝置裡，才能開始存取企業內部資料。現在Mobile Content Streaming Service讓使用者有一支虛擬Android行動裝置於資料中心內，可輕易透過該行動裝置存取企業內部資料。
圖2 Mobile Content Streaming Service架構圖碎片化的軟、硬體環境考驗
企業於導入企業行動服務應用時，需考量兩大行動作業系統生態圈，在過往開發企業應用程式則需考量Apple系列的iOS和Google系列的Android，若未能完整支援這兩大主流作業系統將會成為導入的瓶頸。
Apple系列需考量到iOS 8、9、10，甚至iOS 11出來後，大幅度改動軟體開發環境，而導致許多應用程式無法支援，這會面臨到需要重構的命運。Google系列則面臨更嚴峻的挑戰，不只自家的Android 5、6、7及8，還得應付不同手機廠商的客製化軟體，如ASUS的Zen、小米的Miui及Sony的Xperia，族繁不及備載的各家客製化軟體。
自Apple推出iPhone以來，面板已經不再是顯示介面，更是取代鍵盤的操作介面，從最早時期的3.5吋至4吋到後來的5吋、5.5吋，更甚至於推出12.9吋的平板電腦，硬體尺寸不斷更新，企業應用程式也得配合進行更新及調整以因應不同大小硬體。
透過單一安全執行環境防止外部攻擊
由此可知企業行動應用程式於開發過程中需考量到非常多因素，最主要的兩項因素為軟體版本支援及硬體面板尺寸大小，這將直接影響應用程式的開發主要工作，正如Mobile Content Streaming Service架構下，所有資料存取及運算都發生在資料中心內部，這一特點將有利於企業資安人員進行軟體版本控制及硬體整合的工作。
於Mobile Content Streaming Service環境下，企業可以藉由虛擬化技術自行依需求部署Android軟體版本及面板尺寸大小。這代表所有使用者將在相同的軟體平台上進行應用程式的操作，這讓企業應用程式開發人員可以大幅減少需因應不同軟體版本及面板尺寸上所需額外的開發工作，這同時也確保所有不同使用者所使用行動裝置廠牌皆可直接支援。
透過獨立通道通訊防止非允許的連線
在傳統的安全通道防護機制上，無非是透過VPN（虛擬私有網路，Virtual Private Network）機制，如圖3所示，VPN是具備安全加密的連線機制，它使用OpenSSL函式庫加密資料與控制訊號，它同步提供了可選HMAC功能以提高連接的安全性。但是一般傳統的VPN機制卻是透過Site to Site方式建立安全連線，Site to Site連線機制會建立一條通道讓你與企業內部網路直接進行連線的加密通道，但相對而言，此時已經將整個企業內部網路對外提供存取的權限了，對於一般使用者使用情境可能僅止於存取一般機密檔案或進行企業應用程式存取而言，開放了整個網路存取容易成為惡意程式攻擊的漏洞，一旦遭到攻擊會導致整個網路內的所有主機也一併成為被攻擊的目標。
為了克服先前Site to Site直接開放整個網路的存取，於是調整了VPN通道機制，便有了Host to Host機制，有別於先前Site to Site開放整個網路存取權限，僅開放有需要提供服務的主機連線權限，在這種限制下如果不幸遭到攻擊，也不至於導致整個網路淪陷，而是僅有開放的主機，對於後續防護機制提升不少安全性。
於Mobile Content Streaming Service環境下採用APP to APP的方式進行通道連線，它無需像Site to Site或Host to Host需要開放到整個網路或主機，僅需提供所需要存取的APP或是虛擬行動裝置，這將大幅提升企業內部網路整體安全性，因為並不需要開放整個企業內部網路或服務主機，所以使用者並沒有機會可以接觸到非允許的主機或服務，同理可知，如果不幸遭到惡意程式攻擊時，受到影響的範圍將會縮小到所提供的APP服務或是虛擬行動裝置，不會引起重大的資安事件發生，可保護企業內部網路不會因為遭受攻擊而導致癱瘓。
APP to APP連線同時還有其他額外的好處，APP to APP並非像Site to Site或Host to Host是藉由建立虛擬交換機（Switch）的方式，而是透過點對點（Peer to Peer）的連線方式，因此不需要通過企業內部主要網路節點，所以不會對企業內部網路帶來龐大的網路流量負擔，也因為相同的理由，可以解決傳統VPN因為必須藉由企業內部網路進行轉送而導致的效能低落問題。
圖3 VPN技術演進從實體隔離到應用程式集中控管，網路隔離防護有新招
想要達到內外網路的隔離，過往經驗可能會採取實體隔離的做法，也就是在企業內部的電腦之外，另行提供專門用來對外存取的設備。內部的設備僅可連線到企業內部環境作業，不能存取外部的網際網路，而對外存取的設備，則無法取用企業內部環境的資源。如此一來，往往需要購置數量多一倍的硬體設備，不過這也的確達成了企業內部與外部隔離的目的。
但是，這種做法也衍生不少問題，例如檔案傳送時，許多使用者為此需先將外部取得的資料複製到行動硬碟或USB磁碟，再以此安裝在內部設備存取，不僅相當費時、麻煩，同時，因為外接裝置使用不當所帶來的資安風險，也同步隨之產生。
為了能夠避免實體隔離所額外產生的負擔與問題，以及難以集中控管的情形，有些企業乾脆採用遠端桌面服務（Remote Desktop Services，RDS），或是虛擬桌面環境（Virtual Desktop Infrastructure，VDI）架構等，達到內外部網路隔離的效果。一般來說，遠端桌面服務通常是以終端伺服器，提供一致的應用程式，以提供使用者從遠端取用。
而虛擬桌面環境的架構，原先是應用在企業資料不落地的措施，員工必須連線到虛擬桌面的工作環境作業，不能直接將資料存放到本地電腦上，藉此避免資料外洩。
不過，如果要單純透過上述的兩種方法，隔離網際網路的存取，藉此保護內部環境，投注的資源相當龐大，因為採用微軟的RDS或Citrix Xen App，須購買Windows Server的相關授權，導入VDI則需投資非常昂貴的成本，甚至要大幅度調整企業內部的網路架構。
隨著虛擬化技術（VM、Docker與Container）的盛行，我們將這些技術應用在行動裝置安全防護，提供使用者可遠端執行的環境，藉此實行對外部網路的存取隔離，也就是所謂的遠端應用程式隔離系統。
在這樣的做法中，所有對外部網頁內容的載入，都在遠端Android裡面的瀏覽器處理，即使所存取的網頁遭到駭客植入惡意內容，對於位在企業內部的使用者設備來說，也不致直接遭受到這些攻擊指令影響。
而利用遠端Android執行的瀏覽器，所需的基本系統資源，也較採用RDS或VDI這類虛擬桌面環境來得少，此外，這種型態的上網防護，更強調使用者本身的使用體驗，而不需大幅改變使用者習慣。
圖4 MCSS網路隔離示意圖企業行動應用琳瑯滿目，一次搞定版本管理
隨著應用程式越來越強大，企業行動應用化也更加多元，越來越多公事可以透過手指於行動應用程式上點擊，便可輕鬆完成所有事情。當企業行動應用化越深，手機上需安裝的應用程式就越是五花八門，而且每個應用程式還得適應不同作業系統版本。應用程式更新未即時推播至使用者端，而導致使用者不升級；應用程式的更新勢必將修正某些特定的問題，但卻仍有使用者為避免麻煩，而選擇不升級。應用程式版本控制對企業資安人員而言將是一項勢必面對的挑戰。
Mobile Content Streaming Service架構下，將管理主體調整為應用程式，企業資安人員可以輕易更換應用程式主體，當更換完成應用程式主體後，使用者便可以透過Mobile Content Streaming Service直接享受最新版本應用程式，無需擔心是否未使用到最新版本的應用程式，可輕鬆搞定應用程式版本管理。
操作行為的整合，無縫接軌的使用經驗
企業於導入額外新系統、新軟體最常遇到的，便是操作行為的改變、使用者介面不同，依稀還記得早期Windows從2003升級到2007時，使用者哀嚎之聲不絕於耳，需要消耗相當高的訓練成本及時間，才能促使使用者接受新系統的操作經驗。
Mobile Content Streaming Service提供輸入法整合技術，許多使用者擁有自己所喜好的輸入法，並且購買付費輸入法工具，但若因為切換至新系統而無法使用，必須受限於企業所提供之輸入法，將會導致使用者意願降低，Mobile Content Streaming Service能整合應用程式端輸入法與虛擬Android行動裝置輸入機制，使用者無需改變個人使用習慣，便可以直接於Mobile Content Streaming Service中進行文字輸入、檔案編寫及電子郵件撰寫，這將大幅減少企業導入新系統所需耗費之成本與時間。
隨點即用，應用程式使用全新體驗
想像一下，為了在行動裝置上有良好使用體驗，使用者必須為每個想造訪的網站下載一個應用程式。像是要瀏覽蘋果日報的新聞，使用者必須安裝一個應用程式，讓你透過應用程式來瀏覽。要從Amazon購買，使用者也必須先安裝Amazon的應用程式。要在Facebook上分享，也得使用Facebook應用程式。
這將成為一場噩夢。這將嚴重影響並讓行動裝置的使用者體驗變得極糟。一天之內，使用者很容易地遇到10個甚至更多的網站或應用。但是，如果需要為每個應用或服務安裝一個應用程式，我們目前享受行動裝置的輕鬆方式將會是一個麻煩的混亂。
Mobile Content Streaming Service技術將終結這一點。更具體地說，Mobile Content Streaming Service將成為一個通用的應用程式，使用者可以使用網路上的任何應用或服務，無需下載任何在線服務的軟體以及特定網站的應用程式，只需啟動所選擇的Mobile Content Streaming Service，就可以得到任何東西。
到目前為止，應用程序之間還無法無縫接軌的移動。這將會是另一個可怕的使用者體驗，甚至要求使用者安裝應用程式。真的有人會只是為了閱讀一次性的新聞而安裝蘋果日報應用程式？事實上，如果使用者被要求為他們透過搜尋經常性拜訪的所有內容或服務安裝應用程式，將無謂消耗行動裝置的儲存。更重要的是，這會導致行動裝置的流暢體驗轉變成耗時的安裝及移除不再需要的應用程式。Mobile Content Streaming Service將有效地在應用中強化使用者體驗，而無需使用者完整下載應用程式卻只為了一次性使用。
未來行動應用內容串流將會是最快速且直接接觸到使用者的方式，我們將隨點即用這種全新應用體驗於Artificial Intelligence and Cloud Computing Conference（AICCC，2018）研討會上提供給使用者全新研討會的體驗。透過行動應用內容串流服務，使用者無需下載任何應用程式即可線上瀏覽演講投影片並與演講者進行深入的探討與互動，實際操作畫面如下圖所示。
圖５ AICC大會程式
圖6 AICC大會議程以MCSS方式呈現「未來行動裝置數量可能比全球人口數還要多，同時每個人每天將產生數以萬計筆資料，為了因應這樣的情境，行動化、雲端、個人運算等，都是不可避免的產品發展方向。」
Satya Nadella（微軟執行長）
低成本的跨裝置平台應用程式更新機制
使用者同時具備行動裝置及個人電腦比例將越來越高，要如何於不同裝置間提供相同的使用者體驗且又能提升個人生產力，對企業而言，該如何有效控管多樣化的行動裝置將會是一大挑戰。
Mobile Content Streaming Service架構下提供完整的應用程式更新機制，搭配跨裝置平台特性，讓應用程式可以在不同裝置間移動，應用程式將變得更容易交付到使用者的裝置上。企業無需花費大人力在開發應用程式上就能將既有Android應用程式，無縫移轉到Mobile Content Streaming Service的應用平台，並且針對這些應用程式的執行，實施企業級行動管理系統的政策管制。使用者將能輕易的以不同的裝置，來執行企業行動應用程式服務等各項應用，使其更有效率並降低相關作業成本。
相關連結: 第176期Cyber Security專輯
