我们软件是如何保障用户数据安全的？
岁月静好，负重前行。——功倍
每天上班，第一件事便是打开电脑，登录功倍，浏览一遍一天的工作安排；
身为团队中的一员，也会经常打开计划，了解团队目标的工作进展；
习惯了通过添加任务成员与同事协作，也可以在及时的消息通知中获知最新的工作动态。
这个时代，网络已经像水电一样成为了一种基础设施，而功倍作为团队管理的工具，已经融入到了公司管理的方方面面，给公司信息的传递和协作效率带来极大的提升。
离开了功倍，日常工作甚至都无法正常进行。
而在这一切岁月静好的背后，是无数辛勤工作者的默默付出。他们有的保障电力系统的稳定运行；有的时刻监控着城际网络设备的实时状态；有的密切关注着服务器接口的请求是否出现异常……我们对他们致以崇高的敬意，respset。
不过，另一方面，通常不会引起我们注意的是，有大量的“机器人”在背后协助着人类维持着表面的宁静。它们被赋予使命，被创造出来，甚至具备了某种程度的智能，代替人类承担了大量甚至人类无法完成的工作。"取件员"、"哨兵"、"私人管家"、"库管员"、"代理人"……它们不是人类，却担任了人类的角色，尽心服务用户而不辞劳苦。我们一一道来。
以功倍中任务的创建和下发过程为例，我们来看一看这些“机器人”是如何为我们提供服务的。
功倍的任务下发可以看作是一次寄快递的过程
任务下发人是寄件人，任务接收者是收件人，
邮寄的物品是任务数据。
我们假设功倍的任务数据是一颗价值连城的钻石。
场景一：打包邮寄
像钻石这么贵重的物品，我们当然不能选择普通的快递公司，我们会打电话给世界上最好的快递公司来上门取件。
这里会出现第一个安全隐患：我们如何知道上门取件的人是快递公司的，而不是骗子？
现实中我们可以实时定位快递员的位置，通过取件员的工牌、工作证、身份证确认身份，甚至可以打电话到快递公司核实。
运输过程是第二个可能出现安全问题的阶段。现实中我们会打包物品，甚至在运送物品价值极高的情况下，我们可以委托安保公司做武装押运，画风大概是这样：
而在网络环境中，情况则要复杂得多。
由于普通的超文本传输协议（http）设计上的无状态和明文传输等特性，我们给快递公司打电话约好上门取件之后，对“取件人”的特征一无所知！取件人在途中可能会被劫持、被掉包、被安装恶意监控装置，而且更危险的是，取件人在运送过程中会将快递件暴露在光天化日之下，毫无遮挡，途中甚至都有可能被窃取、被破坏！是可忍熟不可忍。
而功倍强制用户只能在钉钉客户端或者现代浏览器中访问，并且在技术上通过SSL/TLS协议实现了安全的传输。钉钉客户端和现代浏览器中成熟的证书认证机制结合SSL/TLS协议，可以准确识别取件人的身份，如果取件人的身份不在可信名单中或者取件人不是我们预约的快递公司的员工，那么客户端会直接拒绝取件请求。
同时，SSL/TLS协议的加密机制，确保快递件在运送过程中是武装押运。除快递公司可以使用私有钥匙打开车门外，任何人都无法窥探到押运车内部，更无法接触到快递件。
场景二：验明真身
当武装押运的快递车辆安全地将用户的快递件运送到快递公司的集散中心附近，试图进入停车场，此时，他们可能会发现停车场门口停留了一些怪异的车辆。
无任何牌照的黑车，那是网络黑客的恶意试探请求；
拍照的普通车辆，那是部分用户的非加密请求；
伪装的武装押运车，那是被篡改的非法请求
……
不过，这些怪异的车辆全部会被功倍负责任的哨兵机器人拒绝在停车场大门之外，除了依据SSL/TLS协议的身份验证之外，具有云安全识别功能的web应用防火墙可以有效排除恶意请求。不让一个恶人漏网，不让一个好人蒙冤，一直是哨兵机器人的工作准则。
场景三：权限认证
哨兵验证身份放行，运送钻石的武装押运车得以顺利进入停车场。
快递公司的私人管家机器人携带私有钥匙打开押运车车厢门，顺利取得钻石，同时根据钻石上的用户指纹信息核对用户在快递公司预留的数据。在某些情况下，钻石上的指纹信息并不能与快递公司预留的数据匹配上，例如：
- 用户提供的密码错误；
- 用户的登录密钥已经过期；
- 用户的登录地址或登录设备不是常用的地址或设备；
……
一旦匹配过程出现了异常，钻石将无法进入集散中心仓库，私人管家将直接通知用户出现了何种异常，由用户自动或手动进行处理。
当匹配成功后，私人管家收到快递公司的通知，获得了用户的权限信息。为了保证团队内协作的安全性，功倍产品设计了涵盖广泛、细致入微的权限控制体系。假如私人管家获取到了集散中心的存储权限：VIP-C号存储中心，那么它会携带钻石前往VIP-C号库房，与库管员进行交接。
库管员一丝不苟、原则性极强：
一方面它会详细检查钻石的完整性，测量钻石大小看货位空间是否足够；
另一方面它对仓库的安全负责，也会检查用户的存储权限是否与仓库的存储权限匹配。
当仓库处于紧急封闭状态时，不要指望库管员会网开一面。
场景四：高防存储
如果一切顺利，相信此时的钻石已经顺利存储在快递公司高安全级别的集散中心仓库中了。与普通的仓库不同，功倍仓库从设计和存储方式等方面在安全和性能上花费了很大精力。
1. 出入安全
库管员机器人忠于职守，对所有前来存储或读取数据的私人管家进行身份和权限的验证，拒绝存在安全隐患或者权限不足的私人管家与用户数据接触。除此之外，在仓库管理过程中，还有两类机器人可以进出仓库：
（1）库间协调员。不同的存储仓库之间，经常会发生货品的转移、合并等，这些工作就交给库间协调员来完成了。
（2）盘库员。每个仓库中，都有盘库员时刻监控货物的状态信息和仓库的运行信息，并将信息及时上报给快递公司监控中心。
那么库间协调员和盘库员是否足够可靠呢？会不会有间谍混入其中？不会！因为库间协调员和盘库员的一生，只在快递公司内部，从来不会与公司外部的人接触。它们将自己的一生全部都奉献给了仓库的安全保障事业。
在仓库的出入方面，仅有库管员可以通过私人管家接触到外部，而在与私人管家对接的过程中，会通过身份和权限的双重验证，确保信息的安全。
2. 抗灾能力
现实中高安全级别的仓库，往往建在地壳稳定、相对隐蔽的地区，同时需要具备较高的抗震、抗打击能力。与此相对应，功倍用于存储用户数据的服务器机房对环境要求很高。
根据《电子信息系统机房设计规范》（GB50174-2008）国家标准，数据中心机房需要满足的要求包括但不限于：
（1）稳定的电力供应
（2）二级及以上的耐火等级
（3）独立持续的空调系统
（4）良好的散热结构
（5）具备防静电、防尘等功能的地板材料
（6）合理的防雷、防火系统
……
数据中心机房最大程度地保证了功倍仓库所处的物理环境的安全。而同时，与实体环境不同的是，信息系统需要具备一定灾备能力。在极限环境下，当数据中心机房或者物理服务器受到完全损坏，功倍仍然具备恢复用户数据的能力。功倍应用系统的灾备能力主要体现在三个方面：
（1）物理全量备份。确保用户数据原封不动地保存，易于恢复到某个历史时间节点。
（2）异地备份。确保当整个地区的数据中心发生灾难性损坏时，应用可以切换到其他地区继续提供服务。
（3）主从数据库的实时备份。确保数据实时备份，防止出现数据丢失的情况。
功倍通过与阿里云深度合作，依托于阿里云成熟的存储架构和灾备经验，整个仓库具备了高抗灾能力。
3. 实时监控
仓储重地，通过出入安全和抗灾能力的设计，防患于未然，在大型事故面前具备了防御能力。而通过实时监控，可以有效检测到仓库的隐患点，将事故掐灭于初始。每个仓库都配有专属的盘库员，它们将仓库信息实时上报给统一的监控中心，实时仓库信息包括：
（1）CPU及内存等基本信息。
（2）库管员每秒处理的业务数量。
（3）仓库剩余存储空间的大小。
（4）仓库存储的货物总重量。
监控中心的工作人员，结合历史数据实时对上报的监控信息进行分析，一旦发现疑似异常，将通知公司的管理中心，及时处理。
场景五：快件投递
快件投递是整个钻石快件邮寄的最后一个步骤，也是与现实世界的快件投递区别最大的一步。
传统的http协议和加密的SSL/TLS协议，都是由用户主动向快递公司发起服务请求的，这种场景下，快递公司无法主动联系收件人。也就是说，在我们邮寄的钻石快件上，只有收件人的身份认证信息，并没有收件人的地址信息。不过，收件人可以到快递公司查看是否由自己的快递，只需要提供身份认证信息即可。代理机器人诞生了。
功倍的每个用户都有一个代理机器人，它像天使一样守护者用户，为用户取件，当然它还可以完成其他工作，暂且按下不表。
每当用户打开功倍应用，就会自动将代理机器人派往快递公司的取件中心待命。它知道自己是谁、从哪里来、要到哪去……目标很明确，也很上进。它也不会在取件中心打盹儿，而是竖起耳朵监听取件大厅的任何动向，只要有跟自己的主人相关的消息，便会以最快的速度响应。
当私人管家将寄件人的钻石存储到了高防仓库中后，便会来到区间中心，呼叫收件人的代理机器人。
如果身份信息确认无误，那么私人管家会重新从高防仓库取出钻石，并监督取件中心的投递员将钻石装到武装押运车上，然后交由收件人的代理机器人引导车辆准确地送到收件人手中。
结语
也许一次任务的下发，只需要一秒钟；也许一次次流畅地使用功倍，我们只需享受岁月静好。
我们不需要了解有多少机器人为我们传递消息、保存数据，也不需要了解机器人如何与一次次黑客攻击斗智斗勇，它们在无声地为我们护航。
我们购买了服务，享受了团队协作的便利，也在享受着无数的人与机器为我们负重前行。
--------------------------------
本文作者：功倍CTO | 毛文强
关于功倍：功倍（Workbei）是一款钉钉开放平台内的致力于团队管理的软件， 有电商协作、团队管理、项目管理、计划管理、任务管理5大功能， 兼容性移动端和PC端，由南京创世德意信息技术有限公司开发。免费试用申请：http://rishiqing.mikecrm.com/4KYZWjR