移动OA系统的安全设计

陈军　欧书琴

摘要：该文主要是研究移动平台上应用系统的安全问题，设计一种安全架构来解决其访问和数据安全传输等问题。在移动终端上，利用某种安全客户端软件建立一条SSL VPN通道，实现数据安全传输，并为每一个移动终端发放唯一的数字证书来对用户进行认证，确保授权用户正常的访问系统。

关键词：移动OA；信息安全；安全设计

中图分类号：TP311 文献标识码：A 文章编号：1009-3044（2014）12-2740-03

Safety Design of Mobile OA System

CHEN Jun， OU Shu-qin

（AnHui Province Statistics Bureau， Hefei 230001， China ）

Abstract： This paper mainly researches the application system security problem in the mobile platform， designs one kind of security construction to solve its problems which login and data security transmission. In the mobile termination， using a kind of security client software to establish SSL VPN channel， realizes the data security transmission， and comes for each mobile termination provide only numeral certificate to the user to carry on the authentication， guarantees the authorized users login system normally.

Key words： mobile OA； information security； safety design

随着移动3G网络技术的发展，3G网络的带宽也得到很大的提升，各种应用系统也能很顺畅通过移动3G网络来传输数据业务。近几年，智能手机终端迅猛发展，现在的手机在性能上已经超越了几年前的电脑，所以越来越多的应用被搬到手机上来使用。很多大型企业和政府机关为了满足移动办公的需要，同事提高办公效率，于是开发适用于手机上使用的移动办公平台，我们称之为移动OA。

一般地说，OA系统主要是在内网中发布通知通告、内部邮件、文件流转等办公自动化系统，所以只有内部授权用户才能登录和使用该系统。如果将一个内部的办公系统发布到公共网络中，系统的安全和权限的管理必须要得到有效的保证。

1 移动终端的安全现状

目前移动终端使用的无非是谷歌的Android系统和苹果的ios系统。这两种系统采取多种安全机制来保护系统不受侵害，保护手机中的数据不被窃取，但是在商业利益的驱使下或者其他原因，攻击者以各种不同的方式寻找系统漏洞，然后通过这些系统或者软件的漏洞来达到攻击的意图，获取有用的信息。

以Android系统为例，2009年11月出现的第一个运行在该系统平台上的恶意间谍软件mobile spy，随后恶意软件和Android手机的市场占有份额一样暴涨。国内最大的手机安全厂商网秦发布《2013年上半年网秦全球手机安全报告》，2013年上半年查杀到手机恶意软件51084款，同比2012年上半年增长189%；2013年上半年感染手机2102万部，同比2012年上半年增长63.8%。

苹果ios系统和Android系统在设计的时候均采取了一定的安全措施，比如数字签名，沙箱技术，权限管理等，但是这些是远远不能阻挡攻击者的脚步，他们不断的寻找安全漏洞，再加上很多用户为了获得更高的系统权限将手机越狱后使用。越狱或者是root后的手机让原来的某些安全机制失去了作用，比如代码签名，沙箱等数据保护的功能。随着智能手机用户的不断增多，针对手机的攻击将越来越多，手机的信息安全会比计算机安全更加重要。

2 基于SSL和身份认证的移动OA系统

2.1 系统安全架构设计

目前很多企业和政府部门把办公系统扩展到移动平台上，如何做好移动终端在数据传输中的安全问题是必须考虑的问题。在无线网络中，可以将SSL协议和身份认证技术相结合来达到授权用户的数据安全，移动OA系统安全架构总体设计见图1。

2.2 SSL协议

SSL（Secure Socket Layer）协议是netscape公司研发，使用数据加密技术防止数据窃听和截取，保障数据在公共网络上的传输安全。

SSL协议介于应用层和传输层之间，它分为SSL记录协议和握手协议，一是建立在TCP之上，为高层协议提供加密、封装和压缩等功能，二是在通讯开始之前进行身份认证，密钥交换等功能。

目前，SSL协议采用40位关键词的RC4流加密算法，并结合应用层的HTTP被广泛应用在web浏览器和服务器间的安全传输协议，它使用HTTP在下层子层中嵌套SSL协议组成安全的http安全通道，并且支持x.509数字认证来完成身份认证。

2.3 基于PKI体系的CA认证

PKI（Public key Infrastructure）公钥基础设施是提供全面的安全服务的基础设施，包括硬件、软件、人和策略的集合。它是一种普遍适用的网络安全基础设施，为各种应用提供安全服务，包括认证、身份识别、数字签名和加密等。

数字证书是PKI中最基本的元素，所有的服务都是通过它来实现。在PKI体系中完成一整套的流程还要包括证书的认证机构（CA）、登记和批准机构（RA）以及存储证书和发布服务。endprint

CA认证机构是电子商务认证中心，PKI体系的核心，负责签发证书和管理数字证书的权威机构，并作为电子商务交易中受信任的第三方，承担公钥体系中公钥的合法性检验。

RA是注册审核系统，逻辑上CA和RA是一个整体，系统主要完成证书的注册申请，审批和证书管理等功能。除了根CA，每个下级CA都有一个RA机构负责本机CA证书的申请和审核 ，RA机构设置可以根据自己的行政管理机构分成下下级RA或者是业务受理点，它们来负责证书申请和审核。

发布系统是PKI中的重要组成部分，它是由发布证书和CRL的证书发布系统、在线服务系统组成。CRL是采用标准的LDAP协议分发到LDAP服务器上，用来声明已吊销的数字证书，在线服务系统是提供给用户在线注册和查询证书状态的。

3 系统安装和运行效果

3.1 客户端安装

首先要在移动终端上安装安全客户端，该客户端主要一是用来发起ssl连接，打通ssl vpn隧道，二是将数字证书的信息配置到客户端上，然后通过安全的ssl vpn通道将身份信息发送到认证中心进行认证。其次是安装OA客户端，提供用户登录移动办公平台处理公文等事务。客户端配置界面见图2。

安全客户端安装完成以后，进入配置界面，点击“设置”，在常规配置界面里配置服务器地址和端口，然后选择加密设备的类型和个人的数字证书，还要输入证书的密钥，这里就是口令。退回到启动界面的，点击“启动”，如果出现图3的显示结果，表示配置成功，能成功建立SSL安全隧道。

3.2 系统运行效果

为了提高平台的安全性，外部出口是接入到运营商的3G用户专网，终端用户通过3G网络接入专用的APN。新建的APN提供链路接入的服务，但是不能理解成私有网络，它仍然可以提供用户访问其他的网络资源，相比公共互联网空间，这种网络要安全性要提高一些。

用户在第一次使用的时候必须根据设计规范新建一个专用的APN，用户要将接入点调到新建的这个APN才能通过3G网络访问系统。用户登录OA系统前需要将手机中的数据开关调试到新建的专用APN接入点，不能用运营商提供的CTWAP和CTNET接入点，否则安全客户端不能建立SSL隧道，导致登录失败。图4是没有将接入点调到专用APN的登录失败的情况，图5是登录成功的界面

4 结束语

移动OA的安全防护中利用加密技术和身份认证技术是两种最常用的手段，但是在手机登录OA的过程中除了要验证用户的合法性和对数据进行加密以外，最好还能在访问内部办公系统的时候能阻断手机的公共通道，提高内网的安全，实现内外网隧道分离。

参考文献：

[1] 孙伟. Android 移动终端操作系统的安全分析[J].软件，2013，34（4）：105-108.

[2] PKI技术[EB/OL].http：//baike.baidu.com/link？url=LLYEcdaAmkbYWjzglYli6Z7mBkV2-L3g5_oEe_M2pP16NjUTYuHmRK9yI9mtxFQv.

[3] 吴晨刚.基于移动终端的企业信息安全架构设计与实现[J].理论研究，2013（5）：83-85.

[4] 寻大勇.SSL VPN 网络安全技术的应用研究[J].通信技术，2009，42（1）：248-250.endprint

CA认证机构是电子商务认证中心，PKI体系的核心，负责签发证书和管理数字证书的权威机构，并作为电子商务交易中受信任的第三方，承担公钥体系中公钥的合法性检验。

RA是注册审核系统，逻辑上CA和RA是一个整体，系统主要完成证书的注册申请，审批和证书管理等功能。除了根CA，每个下级CA都有一个RA机构负责本机CA证书的申请和审核 ，RA机构设置可以根据自己的行政管理机构分成下下级RA或者是业务受理点，它们来负责证书申请和审核。

发布系统是PKI中的重要组成部分，它是由发布证书和CRL的证书发布系统、在线服务系统组成。CRL是采用标准的LDAP协议分发到LDAP服务器上，用来声明已吊销的数字证书，在线服务系统是提供给用户在线注册和查询证书状态的。

3 系统安装和运行效果

3.1 客户端安装

首先要在移动终端上安装安全客户端，该客户端主要一是用来发起ssl连接，打通ssl vpn隧道，二是将数字证书的信息配置到客户端上，然后通过安全的ssl vpn通道将身份信息发送到认证中心进行认证。其次是安装OA客户端，提供用户登录移动办公平台处理公文等事务。客户端配置界面见图2。

安全客户端安装完成以后，进入配置界面，点击“设置”，在常规配置界面里配置服务器地址和端口，然后选择加密设备的类型和个人的数字证书，还要输入证书的密钥，这里就是口令。退回到启动界面的，点击“启动”，如果出现图3的显示结果，表示配置成功，能成功建立SSL安全隧道。

3.2 系统运行效果

为了提高平台的安全性，外部出口是接入到运营商的3G用户专网，终端用户通过3G网络接入专用的APN。新建的APN提供链路接入的服务，但是不能理解成私有网络，它仍然可以提供用户访问其他的网络资源，相比公共互联网空间，这种网络要安全性要提高一些。

用户在第一次使用的时候必须根据设计规范新建一个专用的APN，用户要将接入点调到新建的这个APN才能通过3G网络访问系统。用户登录OA系统前需要将手机中的数据开关调试到新建的专用APN接入点，不能用运营商提供的CTWAP和CTNET接入点，否则安全客户端不能建立SSL隧道，导致登录失败。图4是没有将接入点调到专用APN的登录失败的情况，图5是登录成功的界面

4 结束语

移动OA的安全防护中利用加密技术和身份认证技术是两种最常用的手段，但是在手机登录OA的过程中除了要验证用户的合法性和对数据进行加密以外，最好还能在访问内部办公系统的时候能阻断手机的公共通道，提高内网的安全，实现内外网隧道分离。

参考文献：

[1] 孙伟. Android 移动终端操作系统的安全分析[J].软件，2013，34（4）：105-108.

[2] PKI技术[EB/OL].http：//baike.baidu.com/link？url=LLYEcdaAmkbYWjzglYli6Z7mBkV2-L3g5_oEe_M2pP16NjUTYuHmRK9yI9mtxFQv.

[3] 吴晨刚.基于移动终端的企业信息安全架构设计与实现[J].理论研究，2013（5）：83-85.

[4] 寻大勇.SSL VPN 网络安全技术的应用研究[J].通信技术，2009，42（1）：248-250.endprint

CA认证机构是电子商务认证中心，PKI体系的核心，负责签发证书和管理数字证书的权威机构，并作为电子商务交易中受信任的第三方，承担公钥体系中公钥的合法性检验。

RA是注册审核系统，逻辑上CA和RA是一个整体，系统主要完成证书的注册申请，审批和证书管理等功能。除了根CA，每个下级CA都有一个RA机构负责本机CA证书的申请和审核 ，RA机构设置可以根据自己的行政管理机构分成下下级RA或者是业务受理点，它们来负责证书申请和审核。

发布系统是PKI中的重要组成部分，它是由发布证书和CRL的证书发布系统、在线服务系统组成。CRL是采用标准的LDAP协议分发到LDAP服务器上，用来声明已吊销的数字证书，在线服务系统是提供给用户在线注册和查询证书状态的。

3 系统安装和运行效果

3.1 客户端安装

首先要在移动终端上安装安全客户端，该客户端主要一是用来发起ssl连接，打通ssl vpn隧道，二是将数字证书的信息配置到客户端上，然后通过安全的ssl vpn通道将身份信息发送到认证中心进行认证。其次是安装OA客户端，提供用户登录移动办公平台处理公文等事务。客户端配置界面见图2。

安全客户端安装完成以后，进入配置界面，点击“设置”，在常规配置界面里配置服务器地址和端口，然后选择加密设备的类型和个人的数字证书，还要输入证书的密钥，这里就是口令。退回到启动界面的，点击“启动”，如果出现图3的显示结果，表示配置成功，能成功建立SSL安全隧道。

3.2 系统运行效果

为了提高平台的安全性，外部出口是接入到运营商的3G用户专网，终端用户通过3G网络接入专用的APN。新建的APN提供链路接入的服务，但是不能理解成私有网络，它仍然可以提供用户访问其他的网络资源，相比公共互联网空间，这种网络要安全性要提高一些。

用户在第一次使用的时候必须根据设计规范新建一个专用的APN，用户要将接入点调到新建的这个APN才能通过3G网络访问系统。用户登录OA系统前需要将手机中的数据开关调试到新建的专用APN接入点，不能用运营商提供的CTWAP和CTNET接入点，否则安全客户端不能建立SSL隧道，导致登录失败。图4是没有将接入点调到专用APN的登录失败的情况，图5是登录成功的界面

4 结束语

移动OA的安全防护中利用加密技术和身份认证技术是两种最常用的手段，但是在手机登录OA的过程中除了要验证用户的合法性和对数据进行加密以外，最好还能在访问内部办公系统的时候能阻断手机的公共通道，提高内网的安全，实现内外网隧道分离。

参考文献：

[1] 孙伟. Android 移动终端操作系统的安全分析[J].软件，2013，34（4）：105-108.

[2] PKI技术[EB/OL].http：//baike.baidu.com/link？url=LLYEcdaAmkbYWjzglYli6Z7mBkV2-L3g5_oEe_M2pP16NjUTYuHmRK9yI9mtxFQv.

[3] 吴晨刚.基于移动终端的企业信息安全架构设计与实现[J].理论研究，2013（5）：83-85.

[4] 寻大勇.SSL VPN 网络安全技术的应用研究[J].通信技术，2009，42（1）：248-250.endprint