Как можно централизованно управлять всеми мобильными устройствами в компании / Хабр

Audit (аудит)

Данная функция работает таким же образом, как, например, и для устройств с Windows, и она полностью интегрирована в консоли управления.

Агент собирает с устройства, на котором он установлен, всю информацию об аппаратном и программном обеспечении, а также сообщает о любых изменениях на сервер, что отображается на закладке Audit.

Секция Hardware показывает следующую информацию о мобильных устройствах:

• Операционная система и ее версия• Модель устройства• ICCID (уникальный номер, который идентифицирует SIM-карту)• Оператора SIM-карты• Номер телефона SIM-карты• Объем памяти для хранения данных (внутренняя память и SD-карта памяти)• Сетевые адаптеры, установленные на устройстве (обычно Wi-Fi)

Раздел Software показывает все пакеты, установленные на устройстве.

Раздел Changelog показывает все изменения в аппаратном и программном обеспечении, которые произошли на устройстве

Bluetooth, ble и wi-fi

iOS и Android категорически не дружат по Bluetooth. Передача данных между этими платформами — нетривиальная задача: Apple позволяет приложению подключиться только к сертифицированным (Made For iPhone) Bluetooth-устройствам.

Чтобы устройства могли обнаружить друг-друга, используется следующий способ: iOS имитирует какую-либо Bluetooth Low Energy-периферию, устанавливая свой токен в качестве имени BLE-устройства. Android временно меняет Bluetooth-имя смартфона на свой токен и включает режим обнаружения.

Теперь, чтобы обнаружить устройства вокруг, Android сканирует Bluetooth для обнаружения Android и BLE для обнаружения iOS-устройств. iOS сканирует только BLE для обнаружения iOS, т.к. сканирование Bluetooth-устройств невозможно с помощью публичного API.

Окружающие Wi-Fi-сети в некоторых случаях помогают обнаружить, что устройства рядом: iOS-приложение может получить BSSID Wi-Fi точки доступа, к которой в данный момент подключен пользователь, а Android BSSID всех видимых точек. Если найдено совпадение, значит, пользователи рядом.

Грамотно реализовать этот способ самостоятельно не так уж просто, в том числе из-за множества особенностей BLE-стека разных версий Android и iOS. Существуют библиотеки, которые скрывают сложную реализацию “под капот”.

Мы попробовали Google Nearby. Обнаружение пары iOS — Android происходит медленно, в среднем поиск занимает 20 секунд, а в некоторых случаях длится до 40 секунд, это оказалось главным останавливающим фактором.

Другой нюанс заключается в том, что Bluetooth выключен на большинстве смартфонов, поэтому пользователям iOS каждый раз при использовании функции нужно будет правильно ответить на вопрос “Разрешить приложению использовать Bluetooth?”.

Также, стоит помнить, что использование Bluetooth (на Android) сильно влияет на потребление заряда. Google предупреждает, что Google Nearby увеличивает потребление энергии в 2.5 — 3.5 раза.

proof of proximity (гарантия того, что устройства находятся рядом)− медленное обнаружение− высокое потребление энергии

Device lock (блокировка устройства)

Данная функция блокирует устройство и отключает его экран до тех пор, пока не будет введен правильный PIN-код (если он настроен). Данная функция очень полезна в том случае, если устройство потеряно или украдено.

Device unlock (разблокировка устройства)

Эта функция разблокирует заблокированное устройство (она сбрасывает защитный PIN-код в том случае, если пользователь его забыл).

Device wipe (очистка устройства)

Эта функция выполняет удаленный сброс параметров устройства до заводских настроек, предотвращая кражу данных в случае потери или кражи устройства, а также его неисправности. Но учтите, что в этом случае на устройстве будут удалены все пользовательские данные (программы, определенные конфигурации, модификации), хранящиеся на данном устройстве. Таким образом, устройство вернется к тому состоянию, в котором оно пришло с завода производителя.

Geolocation (определение местоположения)

Эта функция показывает на карте географическое местоположение устройства. Координаты устройства собираются различными способами в зависимости от доступных на устройстве ресурсов. Точность определения координат сильно зависит от системы. Ниже приведены используемые технологии получения координат (в порядке убывания по точности):

• GPS (Global Positioning System)• WPS (Wi-Fi Positioning System)• GeoIP

Кстати, GeoIP может сообщить о местоположении устройства, которое будет полностью отличаться от реального местоположения устройства.

Password policy (политика паролей)

Данная функция работает совместно с функцией блокировки устройства Device Lock, т.к. заставляет владельца устройства установить пароль (PIN-код). Если эта опция включена, администратор сможет заблокировать устройство в случае его кражи, запрашивая у вора PIN-код, если устройство включено.

Данная функция отправляет пользователю удаленный запрос на установку PIN-кода, но при этом она не позволяет администратору установить этот код в самой консоли управления Panda Systems Management.

Report (отчет)

Отчеты отображаются на закладке Report и их состав зависит от типа устройства. Например, Вы можете получить отчет об активности устройства за последние 7 или 30 дней, об истории срабатывания системы мониторинга на данном устройстве, изменениях на устройстве, общие сведения по устройству и т.д.

Отчеты доступны в PDF и XLS.

Кроме этого, можно запланировать выполнение требуемых отчетов для данного устройства. Для этого надо выделить галочками требуемые отчеты и в панели инструментов Actions нажать на соответствующую пиктограмму.

 В результате этого откроется окно с настройкой задачи по автоматической отправке отчетов. В этом окне Вы сможете настроить следующие параметры:

• Название задачи и ее описание• График отправки отчетов (прямо сейчас или в конкретный день/время, ежедневно, ежемесячно, в определенные месяцы и определенные дни месяца, ежегодно)• Список отправляемых отчетов и их формат• Тема и содержимое письма, в котором эти отчеты будут отправлены• Получатели данного письма с отчетами (можно одним кликом выбрать стандартных получателей отчетов по аккаунту и/или данному сайту, а также добавить других получателей)

Взаимодействие между устройствами поблизости

Люди, находясь рядом друг с другом, часто хотят обменяться файлами, добавить нового знакомого в друзья, сыграть вместе в игру, перевести деньги, поделить счет или выполнить другие совместные действия. Такие приложения станут удобнее, если позволят пользователю легко взаимодействовать с окружающими людьми или устройствами.

Геолокация

Это наиболее очевидный способ решить задачу. В момент, когда пользователь открывает раздел “Рядом”, мы получаем его текущее местоположение и выполняем поиск ближайших пользователей на сервере.

Если представить местоположение как центр окружности, а погрешность координат в виде радиуса, то 2 пользователя могут быть изображены следующим образом:

Если расстояние между устройствами (d) меньше суммы погрешностей (r1 r2), значит есть вероятность (P), что пользователи находятся рядом.

Радиус поиска должен быть не меньше погрешности координат. Как оказалось, реальные координаты смартфона могут находиться и за пределами погрешности, например, в Android это происходит в 32% случаев. Значит, даже находясь рядом, пользователи все равно могут не “увидеть” друг-друга.

Координаты, полученные при помощи GPS и ГЛОНАСС точны, но этот способ зачастую не работает внутри помещений, кроме того, может потребоваться до минуты на поиск спутников. При этом, модуль GPS/ГЛОНАСС присутствует не во всех устройствах (Привет, iPad Wi-Fi!) или может быть отключён на уровне ОС (Привет, Android!).

На самом деле, даже вне здания, на улице с плотной застройкой GPS/ГЛОНАСС часто ошибается из-за отражения сигнала от зданий и может выдавать точность ниже 100 метров:

Поэтому в большинстве случаев приходится использовать координаты, полученные при помощи триангуляции по сигналу окружающих Wi-Fi сетей и сотовых вышек, этот способ работает быстро и энергоэффективно, но точность на порядок ниже: 100 — 1500 метров. На практике, устройство нередко определяет неверное местоположение в городе, а иногда может “телепортироваться” в другой город.

Мы реализовали этот способ и протестировали его в Москве, примерно в 15% случаев устройства не находят друг-друга из-за неверных координат. Особенно часто ошибки происходят внутри высоток Москва-Сити, в метро и наземном транспорте. Также из-за низкой точности часто будут попадаться “лишние” пользователи (не находящиеся рядом).

простой в реализации способ− низкая точность− плохо работает в транспорте (в движении)

Добавление мобильных устройств в консоль управления

Отправка ссылки для скачивания по электронной почте

По соображениям безопасности, чтобы установить агента Panda Systems Management на мобильных устройствах с Android и iOS, можно только отправить пользователям этих устройств письмо с прямой ссылкой для скачивания агента в Google Play или Apple Store соответственно, а также MDM-файлом, содержащим информацию о сайте (проекте), с которым связано данное устройство.

Наличие отдельного MDM-файла обусловлено тем, что агент скачивается для каждого мобильного устройства из официального магазина (Google Play или Apple Store), поэтому чтобы разместить в установочном пакете привязку к сайту, пришлось бы динамически изменять сам пакет в магазине.

Чтобы в консоли управления добавить устройства с Android и iOS, необходимо перейти в раздел Sites, выбрать требуемый сайт (проект) и в нем нажать на кнопку New Device.

При нажатии на соответствующую иконку с названием операционной системы открывается окно, в котором Вам необходимо указать адрес электронной почты пользователя мобильного устройства, куда следует отправить письмо для установки агента. Можно указать несколько адресов почты, разделив их точкой с запятой.

Кстати, для массовой установки агента на устройства с iOS есть и альтернативный способ с помощью Apple Configurator. Но это уже повод для отдельной статьи, здесь же мы не будем рассматривать данный способ.

Привязка устройства к сайту

После того как агент Panda Systems Management установлен на устройстве пользователя, ему необходимо выполнить определенные действия для привязки к сайту (проекту). И тут есть два варианта, как это можно сделать.

Вариант 1. Сканирование QR-кода

На ПК, на котором открыта консоль управления Panda Systems Management с открытым сайтом, к которому должно быть привязано мобильное устройство, нажмите на QR-код для его увеличения.

Этот код можно распечатать или сохранить в виде файла и отправить по почте требуемым пользователям.

В свою очередь, пользователь должен на своем устройстве запустить установленный агент, нажать на иконку с колесиком, чтобы инициализировать камеру и просканировать QR-код.

После чтения кода агент покажет на устройстве пользователя сообщение Connected, а устройство появится в консоли управления Panda Systems Management.

Вариант 2. Импорт вложенного в письмо MDM-файла в установленный агент

Удаленные пользователи или те, у кого на сотовых телефонах нет встроенной камеры, могут открыть MDM-файл из письма со ссылкой на установку агента. После его загрузки агент покажет на устройстве пользователя сообщение Connected, а само устройство появится в централизованной консоли управления Panda Systems Management.

Кстати, учтите, что импорт MDM-файла возможен только через почтового клиента, встроенного на устройстве.

После выполнения вышеперечисленных действий в Вашей консоли управления Panda Systems Management появятся требуемые мобильные устройства. Теперь можно к ним применять соответствующую MDM-политику использования мобильных устройств.

Еще один способ….

В нашем приложении функция “Рядом” является одной из ключевых. Мы попробовали применить различные существующие способы для ее реализации, но столкнулись с критичными для нас ограничениями и проблемами.

Давайте подробно рассмотрим альтернативные способы.

Импорт сертификата apple в консоль

Если Вы хотите управлять мобильными устройствами с iOS, то Вам потребуется интегрировать в консоль управления сертификат, сгенерированный Apple для устройств с iOS, чтобы у Вас была возможность связываться с сервером.

Импорт сертификата – это обязательный единоразовый процесс. Установка сертификата – это требование компании Apple для обеспечения целостности данных, достоверности и конфиденциальности всех коммуникаций между сервером и устройством пользователя.Для этого выполните следующие действия:

1. Перейдите в раздел Setup → Account Settings для доступа к настройкам сертификата Apple (раздел Apple Push Certificate)

Инструменты для удаленного управления мобильными устройствами

Функции управления мобильными устройствами в консоли управления Panda Systems Management доступны только на уровне устройства, т.е. для выбранного устройства. Для этого в разделе Sites откройте требуемый сайт, а после этого перейдите на закладку Devices.

В списке устройств выберите требуемое мобильное устройство, после чего автоматически изменится список закладок и набор пиктограмм в панели инструментов Actions, предлагающей различные действия, которые можно применить к выбранному устройству.

Для мобильных устройств в панели инструментов Actions доступны следующие специфические инструменты управления:

Обмен информацией через звук

Пример спектрограммы сигнала Chirp.io

В слышимом диапазоне сигнал смешивается с голосом, музыкой и окружающим шумом, чтобы увеличить вероятность корректного декодирования приходится воспроизводить звук с максимальной громкостью. Чаще всего используется FSK и PSK-модуляция, генерирующая похожий на свист или шум (в зависимости от плотности данных) звук, что раздражает многих людей (пример звука). Этот способ реализован в проекте Chirp.io.

− плохо работает в шумных местах− раздражает окружающих

Можно использовать диапазон 18-20 кГЦ, он обычно не зашумлен, а большинство взрослых людей не услышат раздражающий звук. К сожалению, некоторые смартфоны тоже воспринимают его плохо, становится актуальна проблема отражения и интерференции, дальность устойчивой связи уменьшается до 0.5 — 3 метров. Этот способ реализован в Google Nearby и Chirp.io, но включается отдельно.

− работает на слишком малых расстояниях

Окружающий шум

Где бы вы не находились (в офисе, транспорте, кафе, на улице, встрече или концерте) — везде есть окружающий шум: голоса людей, музыка, работа двигателя, шум колес, стук клавиш и так далее.

Короткий сэмпл естественного окружающего шума вместе с точным временем его записи, в большинстве случаев, уникален для любого места на Земле. Совпадение окружающего шума и времени означает, что записывающие устройства находятся рядом. Именно на этом основан принцип работы технологии.

Схема работы

Каждое устройство в реальном времени захватывает звук с микрофона и преобразовывает его в специальный отпечаток при помощи перцептивной хэш-функции. Особенность перцептивных хэш-функций в том, что небольшие отличия в исходных данных выражены небольшими отличиями в результирующем хэше.

Отпечаток звука с точной меткой времени отправляется на сервер. Сравнивая его с отпечатками других устройств, сделанных в тот же момент времени, сервер может определить, насколько похожи исходные звуки. Если показатель схожести выше определенного порога — устройства получают идентификаторы друг-друга для последующего взаимодействия.

Пример и сравнение отпечатков с двух разных устройств

Нужно было убедиться, что данный принцип работает и способен находить совпадения в звуке, записанном разными устройствами на расстоянии нескольких метров, а также, что заведомо разный звук не совпадает. Мы вручную собрали сотни часов звука, записанного одновременно на несколько устройств во множестве различных мест.

Используя эти данные, мы перебрали множество алгоритмов генерации и параметров сравнения отпечатков для достижения наилучшего результата. В итоге добились того, что 6-секундный отпечаток позволяет обнаружить устройство на расстоянии до 5 метров в 96% случаев, а ложноположительный результат возможен в 0.0039% случаев.

Мы разработали библиотеки для iOS и Android, которые скрывают от приложения всю реализацию через простой API и встроили их в свои приложения.

Недостаток данного подхода в том, что он не работает в абсолютной тишине. Тишина очень похожа на любую другую тишину и алгоритм намеренно игнорирует ее, чтобы исключить ложные срабатывания. Стоит отметить, что абсолютная тишина встречается в реальных условиях крайне редко. Достаточно стука клавиш клавиатуры или звука шагов, чтобы устройства обнаружили друг-друга.

Иногда это выглядит забавно: пользователи молча ждут обнаружения секунд 10, после чего один из них говорит что-то вроде “Это не работает!”. Эта фраза работает как заклинание и через секунду устройства обнаруживают друг-друга.

Одно преимуществ данного подхода — кроссплатформенность. JS-версия библиотеки, работает в Chrome, Safari, Firefox, Edge, в том числе, в их мобильных версиях.

Поддерживаемые платформы

Panda Systems Management, не говоря о возможности управления ноутбуками и нетбуками/ультрабуками под управлением Windows и Mac, также поддерживает планшеты и смартфоны с iOS и Android.

Устройства с iOS• iPhone 4, 4S• iPhone 5, 5c, 5s• iPhone 6, 6 Plus• iPhone 6s, 6s Plus• Ipod Touch 5 и 6 поколения• iPad 2, 3, 4, Air, Air 2, Mini, Mini 2, Pro

Устройства с Android• Версия Android 2.3.3 (Gingerbread) и выше.

Политики управления мобильными устройствами

Чтобы управлять и контролировать использование мобильных устройств, Panda Systems Management предлагает набор политик, которые позволяют Вам настроить планшеты и смартфоны таким образом, чтобы быть уверенным в том, что пользователи имеют мобильные устройства, готовые для использования в корпоративной среде и которые могут быть интегрированы в корпоративную инфраструктуру.

Во время создания MDM-политики, администратору необходимо определиться, является ли эта политика обязательной или нет. В последнем случае можно разрешить пользователю вручную отключать политику со своего мобильного устройства. Но если политика является обязательной, то без знания специального пароля пользователь не сможет ее отключить.

Проблема: как контролировать и управлять корпоративными мобильными устройствами

Стремительное распространение мобильных устройств за последние годы серьезно повлияло на повседневную жизнь многих людей. Помимо целого ряда преимуществ, которые дарят нам мобильные устройства, стоит выделить именно саму мобильность: теперь люди могут читать новости, играть в онлайн-игры, общаться, слушать музыку и просматривать видео в любое время в любом месте.

Более того, такие мобильные устройства, что вполне естественно, стали все чаще использоваться на работе в корпоративных целях: контакты с клиентами и партнерами, электронная почта, видеоконференции, работа с документами и т.д.

И вот тут-то начинаются определенные сложности и проблемы для «айтишников» предприятия: мобильность современных сотрудников и широкий круг доступных платформ для мобильных устройств значительно усложняют контроль и управление.

Действительно, если на предприятии к традиционным рабочим станциям применяются различные политики безопасности и конфиденциальности, то как быть с мобильными устройствами? Ведь сотрудники также на них работают с корпоративными документами, имеют доступ к корпоративным ресурсами и т.д.

Кроме того, наличие различных мобильных платформ, конкурирующих между за собой за одну и ту же нишу рынка, еще более усложнило процессы управления сетью и форсировало появление фрагментированных решений управления с очень разными функциональными возможностями.

Итак, что делать и как быть?

Решение: единое rmm-решение для управления всеми корпоративными мобильными устройствами

Да, для централизованного управления мобильными устройствами следует использовать комплексные RMM-решения, которые предоставляют возможности MDM (Mobile Devices Management – управление мобильными устройствами).

Такие решения, как правило, позволяют централизованно управлять различными мобильными устройствами (например, на базе iOS и/или Android), включая сюда также планшеты, нетбуки, ноутбуки, смартфоны и т.д., вне зависимости от их физического местоположения из единой консоли централизованного управления.

Благодаря таким решениям можно контролировать статус этих устройств (аппаратное и программное обеспечение, журналы изменений, версия операционной системы, мобильный оператор, суммарное и свободное дисковое пространство и пр.), применять к ним соответствующие политики безопасности и конфиденциальности, а также применять необходимые действия в случае их кражи или потери.

Одним из таких подходящих решений является облачный RMM-сервис Panda Systems Management, который помимо широкого функционала, свойственного комплексным RMM-системам, предлагает также и те преимущества, которые характерны облачным сервисам: простое и легкое внедрение и сопровождение без локальной инфраструктуры на предприятии, доступность консоли управления в любое время в любом месте с любого устройства, более простое администрирование мобильных устройств.

Ранее мы уже писали обзорную статью про Panda Systems Management, где помимо всех его преимуществ рассказывали о том, как можно легко и просто внедрить его на предприятии, а также отдельно писали про мониторы системы мониторинга. Сегодня же мы остановимся на том, как можно легко и просто управлять мобильными устройствами с помощью данного решения.

Итак, сегодня рассмотрим следующие вопросы:

1. Какие поддерживаются платформы
2. Установка агента на мобильные устройства с Android и iOS
3. MDM-политики и их типы
4. Инструменты для удаленного управления мобильными устройствами

Вы можете бесплатно зарегистрировать триал-версию Panda Systems Management на сайте и протестировать сервис в своем IT-окружении.

Синонимы к слову «устройство» (237 слов)

Создание mdm-политики

Для создания MDM-политики необходимо выполнить следующие действия:

• при создании политики на уровне всего аккаунта, выберите в основном меню Account, далее закладку Policies, и нажмите кнопку New account policy

• при создании политики на уровне требуемого сайта (проекта): внутри конкретного сайта нажмите New site policy на закладке Policies

Затем укажите название политики и ее тип. Т.к. добавляется MDM-политика, то тип политики должен быть Mobile Device Management

Типы mdm-политик

В Panda systems Management существует четыре типа доступных MDM-политик, каждая из которых влияет на определенные функции и настройки мобильного устройства:

• Passcode: характеристики паролей, вводимых пользователем на мобильном устройстве для блокировки/разблокировки устройства и т.д.

• Restriction: управление доступом к ресурсам мобильного устройства. Применяются только для устройств с iOS, т.к. они не внедрены в устройствах с Android

• VPN: настройки VPN

• Wi-Fi: настройки Wi-Fi соединения.

Passcode

Restriction

Удаленная установка по на устройства ios

Еще одна полезная вещь, которую можно сделать с помощью RMM-сервиса Panda Systems Management на мобильных устройствах – это централизованная удаленная установка требуемого ПО на смартфонах и планшетах с iOS, которое загружается с Apple Store. Здесь есть свои особенности, поэтому о том, как это можно сделать, мы расскажем в отдельной статье.

Удаленная установка ПО на устройствах с Android пока не поддерживается.

Вот и все. В данной статье мы показали основные функции RMM-решения по управлению мобильными устройствами на примере Panda Systems Management. Некоторые полезные вещи остались за рамками данной статьи по той лишь причине, что возможности RMM в плане MDM достаточно широки, а потому сложно рассказать обо всем в одной статье. Так что не рассмотренные сегодня вопросы оставим для следующих наших статей.

Установка агента на мобильные устройства android и ios

Чтобы можно было управлять мобильными устройствами с Adnroid и iOS через централизованную веб-консоль Panda Systems Management, на них необходимо установить агента, как это описано ниже.

Включение функции MDM в консоли управления

Чтобы Вы могли взаимодействовать с Вашими мобильными устройствами из централизованной консоли управления, Вам необходимо включить функцию MDM. Для этого Вам необходимо импортировать бесплатный компонент Mobile Device Management из раздела Comstore.

Если данный компонент корректно загрузился в Вашу консоль управления, то Вы сможете его увидеть в списке Ваших компонентов в разделе Components.

Вместо заключения

Мы тестируем технологию в собственном приложении уже более 2-х лет. За это время мы убедились в ее работоспособности и удобстве в “боевых” условиях. В очень скором времени мы хотим дать возможность любому разработчику быстро встроить и использовать ее в своем приложении.

Надеюсь, статья оказалась познавательной и полезной. Если тема окажется интересной, в следующих статьях я планирую более подробно рассказать об алгоритмах создания и сравнения “отпечатков” окружающего звука, а также о трудностях, с которыми нам пришлось столкнуться.

С удовольствием отвечу на ваши вопросы в комментариях!

Заключение

Мобильные устройства имеют массу преимуществ, которые в первую очередь связаны именно с их мобильностью. Грех не использовать такие возможности для решения служебных задач. Но еще больший грех делать это небезопасно и без должного контроля. И если с управлением и безопасностью традиционных рабочих станций и ноутбуков практически все понятно, то многие аспекты централизованного управления и контроля смартфонов и планшетов под управлением Android и iOS остаются пока еще за рамками полного понимания без соответствующего накопленного опыта.

Зачастую опыт показывает, что на многих предприятиях официально запрещено использовать такие устройства только потому, что нет четкой политики и, что особенно немаловажно, соответствующих инструментов для централизованного управления мобильными устройствами и контроля над ними. А зря.

Современные RMM-решения с функциями MDM как раз и являются такими инструментами. А уж придумать, как их использовать…не сложно.

P.S. Мы продолжим публикацию практических статей на тему «Как сделать…». Пожалуйста, в небольшом опросе ниже укажите, какие темы для Вас были бы интересны. Будем Вам признательны за Ваши ответы.