陳軍　歐書琴

摘要：該文主要是研究移動平臺上應用系統(tǒng)的安全問題，設計一種安全架構來解決其訪問和數據安全傳輸等問題。在移動終端上，利用某種安全客戶端軟件建立一條SSL VPN通道，實現(xiàn)數據安全傳輸，并為每一個移動終端發(fā)放唯一的數字證書來對用戶進行認證，確保授權用戶正常的訪問系統(tǒng)。

關鍵詞：移動OA；信息安全；安全設計

中圖分類號：TP311 文獻標識碼：A 文章編號：1009-3044（2014）12-2740-03

Safety Design of Mobile OA System

CHEN Jun， OU Shu-qin

（AnHui Province Statistics Bureau， Hefei 230001， China ）

Abstract： This paper mainly researches the application system security problem in the mobile platform， designs one kind of security construction to solve its problems which login and data security transmission. In the mobile termination， using a kind of security client software to establish SSL VPN channel， realizes the data security transmission， and comes for each mobile termination provide only numeral certificate to the user to carry on the authentication， guarantees the authorized users login system normally.

Key words： mobile OA； information security； safety design

隨著移動3G網絡技術的發(fā)展，3G網絡的帶寬也得到很大的提升，各種應用系統(tǒng)也能很順暢通過移動3G網絡來傳輸數據業(yè)務。近幾年，智能手機終端迅猛發(fā)展，現(xiàn)在的手機在性能上已經超越了幾年前的電腦，所以越來越多的應用被搬到手機上來使用。很多大型企業(yè)和政府機關為了滿足移動辦公的需要，同事提高辦公效率，于是開發(fā)適用于手機上使用的移動辦公平臺，我們稱之為移動OA。

一般地說，OA系統(tǒng)主要是在內網中發(fā)布通知通告、內部郵件、文件流轉等辦公自動化系統(tǒng)，所以只有內部授權用戶才能登錄和使用該系統(tǒng)。如果將一個內部的辦公系統(tǒng)發(fā)布到公共網絡中，系統(tǒng)的安全和權限的管理必須要得到有效的保證。

1 移動終端的安全現(xiàn)狀

目前移動終端使用的無非是谷歌的Android系統(tǒng)和蘋果的ios系統(tǒng)。這兩種系統(tǒng)采取多種安全機制來保護系統(tǒng)不受侵害，保護手機中的數據不被竊取，但是在商業(yè)利益的驅使下或者其他原因，攻擊者以各種不同的方式尋找系統(tǒng)漏洞，然后通過這些系統(tǒng)或者軟件的漏洞來達到攻擊的意圖，獲取有用的信息。

以Android系統(tǒng)為例，2009年11月出現(xiàn)的第一個運行在該系統(tǒng)平臺上的惡意間諜軟件mobile spy，隨后惡意軟件和Android手機的市場占有份額一樣暴漲。國內最大的手機安全廠商網秦發(fā)布《2013年上半年網秦全球手機安全報告》，2013年上半年查殺到手機惡意軟件51084款，同比2012年上半年增長189%；2013年上半年感染手機2102萬部，同比2012年上半年增長63.8%。

蘋果ios系統(tǒng)和Android系統(tǒng)在設計的時候均采取了一定的安全措施，比如數字簽名，沙箱技術，權限管理等，但是這些是遠遠不能阻擋攻擊者的腳步，他們不斷的尋找安全漏洞，再加上很多用戶為了獲得更高的系統(tǒng)權限將手機越獄后使用。越獄或者是root后的手機讓原來的某些安全機制失去了作用，比如代碼簽名，沙箱等數據保護的功能。隨著智能手機用戶的不斷增多，針對手機的攻擊將越來越多，手機的信息安全會比計算機安全更加重要。

2 基于SSL和身份認證的移動OA系統(tǒng)

2.1 系統(tǒng)安全架構設計

目前很多企業(yè)和政府部門把辦公系統(tǒng)擴展到移動平臺上，如何做好移動終端在數據傳輸中的安全問題是必須考慮的問題。在無線網絡中，可以將SSL協(xié)議和身份認證技術相結合來達到授權用戶的數據安全，移動OA系統(tǒng)安全架構總體設計見圖1。

2.2 SSL協(xié)議

SSL（Secure Socket Layer）協(xié)議是netscape公司研發(fā)，使用數據加密技術防止數據竊聽和截取，保障數據在公共網絡上的傳輸安全。

SSL協(xié)議介于應用層和傳輸層之間，它分為SSL記錄協(xié)議和握手協(xié)議，一是建立在TCP之上，為高層協(xié)議提供加密、封裝和壓縮等功能，二是在通訊開始之前進行身份認證，密鑰交換等功能。

目前，SSL協(xié)議采用40位關鍵詞的RC4流加密算法，并結合應用層的HTTP被廣泛應用在web瀏覽器和服務器間的安全傳輸協(xié)議，它使用HTTP在下層子層中嵌套SSL協(xié)議組成安全的http安全通道，并且支持x.509數字認證來完成身份認證。

2.3 基于PKI體系的CA認證

PKI（Public key Infrastructure）公鑰基礎設施是提供全面的安全服務的基礎設施，包括硬件、軟件、人和策略的集合。它是一種普遍適用的網絡安全基礎設施，為各種應用提供安全服務，包括認證、身份識別、數字簽名和加密等。

數字證書是PKI中最基本的元素，所有的服務都是通過它來實現(xiàn)。在PKI體系中完成一整套的流程還要包括證書的認證機構（CA）、登記和批準機構（RA）以及存儲證書和發(fā)布服務。endprint

CA認證機構是電子商務認證中心，PKI體系的核心，負責簽發(fā)證書和管理數字證書的權威機構，并作為電子商務交易中受信任的第三方，承擔公鑰體系中公鑰的合法性檢驗。

RA是注冊審核系統(tǒng)，邏輯上CA和RA是一個整體，系統(tǒng)主要完成證書的注冊申請，審批和證書管理等功能。除了根CA，每個下級CA都有一個RA機構負責本機CA證書的申請和審核 ，RA機構設置可以根據自己的行政管理機構分成下下級RA或者是業(yè)務受理點，它們來負責證書申請和審核。

發(fā)布系統(tǒng)是PKI中的重要組成部分，它是由發(fā)布證書和CRL的證書發(fā)布系統(tǒng)、在線服務系統(tǒng)組成。CRL是采用標準的LDAP協(xié)議分發(fā)到LDAP服務器上，用來聲明已吊銷的數字證書，在線服務系統(tǒng)是提供給用戶在線注冊和查詢證書狀態(tài)的。

3 系統(tǒng)安裝和運行效果

3.1 客戶端安裝

首先要在移動終端上安裝安全客戶端，該客戶端主要一是用來發(fā)起ssl連接，打通ssl vpn隧道，二是將數字證書的信息配置到客戶端上，然后通過安全的ssl vpn通道將身份信息發(fā)送到認證中心進行認證。其次是安裝OA客戶端，提供用戶登錄移動辦公平臺處理公文等事務?？蛻舳伺渲媒缑嬉妶D2。

安全客戶端安裝完成以后，進入配置界面，點擊“設置”，在常規(guī)配置界面里配置服務器地址和端口，然后選擇加密設備的類型和個人的數字證書，還要輸入證書的密鑰，這里就是口令。退回到啟動界面的，點擊“啟動”，如果出現(xiàn)圖3的顯示結果，表示配置成功，能成功建立SSL安全隧道。

3.2 系統(tǒng)運行效果

為了提高平臺的安全性，外部出口是接入到運營商的3G用戶專網，終端用戶通過3G網絡接入專用的APN。新建的APN提供鏈路接入的服務，但是不能理解成私有網絡，它仍然可以提供用戶訪問其他的網絡資源，相比公共互聯(lián)網空間，這種網絡要安全性要提高一些。

用戶在第一次使用的時候必須根據設計規(guī)范新建一個專用的APN，用戶要將接入點調到新建的這個APN才能通過3G網絡訪問系統(tǒng)。用戶登錄OA系統(tǒng)前需要將手機中的數據開關調試到新建的專用APN接入點，不能用運營商提供的CTWAP和CTNET接入點，否則安全客戶端不能建立SSL隧道，導致登錄失敗。圖4是沒有將接入點調到專用APN的登錄失敗的情況，圖5是登錄成功的界面

4 結束語

移動OA的安全防護中利用加密技術和身份認證技術是兩種最常用的手段，但是在手機登錄OA的過程中除了要驗證用戶的合法性和對數據進行加密以外，最好還能在訪問內部辦公系統(tǒng)的時候能阻斷手機的公共通道，提高內網的安全，實現(xiàn)內外網隧道分離。

參考文獻：

[1] 孫偉. Android 移動終端操作系統(tǒng)的安全分析[J].軟件，2013，34（4）：105-108.

[2] PKI技術[EB/OL].http：//baike.baidu.com/link？url=LLYEcdaAmkbYWjzglYli6Z7mBkV2-L3g5_oEe_M2pP16NjUTYuHmRK9yI9mtxFQv.

[3] 吳晨剛.基于移動終端的企業(yè)信息安全架構設計與實現(xiàn)[J].理論研究，2013（5）：83-85.

[4] 尋大勇.SSL VPN 網絡安全技術的應用研究[J].通信技術，2009，42（1）：248-250.endprint

CA認證機構是電子商務認證中心，PKI體系的核心，負責簽發(fā)證書和管理數字證書的權威機構，并作為電子商務交易中受信任的第三方，承擔公鑰體系中公鑰的合法性檢驗。

RA是注冊審核系統(tǒng)，邏輯上CA和RA是一個整體，系統(tǒng)主要完成證書的注冊申請，審批和證書管理等功能。除了根CA，每個下級CA都有一個RA機構負責本機CA證書的申請和審核 ，RA機構設置可以根據自己的行政管理機構分成下下級RA或者是業(yè)務受理點，它們來負責證書申請和審核。

發(fā)布系統(tǒng)是PKI中的重要組成部分，它是由發(fā)布證書和CRL的證書發(fā)布系統(tǒng)、在線服務系統(tǒng)組成。CRL是采用標準的LDAP協(xié)議分發(fā)到LDAP服務器上，用來聲明已吊銷的數字證書，在線服務系統(tǒng)是提供給用戶在線注冊和查詢證書狀態(tài)的。

3 系統(tǒng)安裝和運行效果

3.1 客戶端安裝

首先要在移動終端上安裝安全客戶端，該客戶端主要一是用來發(fā)起ssl連接，打通ssl vpn隧道，二是將數字證書的信息配置到客戶端上，然后通過安全的ssl vpn通道將身份信息發(fā)送到認證中心進行認證。其次是安裝OA客戶端，提供用戶登錄移動辦公平臺處理公文等事務。客戶端配置界面見圖2。

安全客戶端安裝完成以后，進入配置界面，點擊“設置”，在常規(guī)配置界面里配置服務器地址和端口，然后選擇加密設備的類型和個人的數字證書，還要輸入證書的密鑰，這里就是口令。退回到啟動界面的，點擊“啟動”，如果出現(xiàn)圖3的顯示結果，表示配置成功，能成功建立SSL安全隧道。

3.2 系統(tǒng)運行效果

為了提高平臺的安全性，外部出口是接入到運營商的3G用戶專網，終端用戶通過3G網絡接入專用的APN。新建的APN提供鏈路接入的服務，但是不能理解成私有網絡，它仍然可以提供用戶訪問其他的網絡資源，相比公共互聯(lián)網空間，這種網絡要安全性要提高一些。

用戶在第一次使用的時候必須根據設計規(guī)范新建一個專用的APN，用戶要將接入點調到新建的這個APN才能通過3G網絡訪問系統(tǒng)。用戶登錄OA系統(tǒng)前需要將手機中的數據開關調試到新建的專用APN接入點，不能用運營商提供的CTWAP和CTNET接入點，否則安全客戶端不能建立SSL隧道，導致登錄失敗。圖4是沒有將接入點調到專用APN的登錄失敗的情況，圖5是登錄成功的界面

4 結束語

移動OA的安全防護中利用加密技術和身份認證技術是兩種最常用的手段，但是在手機登錄OA的過程中除了要驗證用戶的合法性和對數據進行加密以外，最好還能在訪問內部辦公系統(tǒng)的時候能阻斷手機的公共通道，提高內網的安全，實現(xiàn)內外網隧道分離。

參考文獻：

[1] 孫偉. Android 移動終端操作系統(tǒng)的安全分析[J].軟件，2013，34（4）：105-108.

[2] PKI技術[EB/OL].http：//baike.baidu.com/link？url=LLYEcdaAmkbYWjzglYli6Z7mBkV2-L3g5_oEe_M2pP16NjUTYuHmRK9yI9mtxFQv.

[3] 吳晨剛.基于移動終端的企業(yè)信息安全架構設計與實現(xiàn)[J].理論研究，2013（5）：83-85.

[4] 尋大勇.SSL VPN 網絡安全技術的應用研究[J].通信技術，2009，42（1）：248-250.endprint

CA認證機構是電子商務認證中心，PKI體系的核心，負責簽發(fā)證書和管理數字證書的權威機構，并作為電子商務交易中受信任的第三方，承擔公鑰體系中公鑰的合法性檢驗。

RA是注冊審核系統(tǒng)，邏輯上CA和RA是一個整體，系統(tǒng)主要完成證書的注冊申請，審批和證書管理等功能。除了根CA，每個下級CA都有一個RA機構負責本機CA證書的申請和審核 ，RA機構設置可以根據自己的行政管理機構分成下下級RA或者是業(yè)務受理點，它們來負責證書申請和審核。

發(fā)布系統(tǒng)是PKI中的重要組成部分，它是由發(fā)布證書和CRL的證書發(fā)布系統(tǒng)、在線服務系統(tǒng)組成。CRL是采用標準的LDAP協(xié)議分發(fā)到LDAP服務器上，用來聲明已吊銷的數字證書，在線服務系統(tǒng)是提供給用戶在線注冊和查詢證書狀態(tài)的。

3 系統(tǒng)安裝和運行效果

3.1 客戶端安裝

首先要在移動終端上安裝安全客戶端，該客戶端主要一是用來發(fā)起ssl連接，打通ssl vpn隧道，二是將數字證書的信息配置到客戶端上，然后通過安全的ssl vpn通道將身份信息發(fā)送到認證中心進行認證。其次是安裝OA客戶端，提供用戶登錄移動辦公平臺處理公文等事務?？蛻舳伺渲媒缑嬉妶D2。

安全客戶端安裝完成以后，進入配置界面，點擊“設置”，在常規(guī)配置界面里配置服務器地址和端口，然后選擇加密設備的類型和個人的數字證書，還要輸入證書的密鑰，這里就是口令。退回到啟動界面的，點擊“啟動”，如果出現(xiàn)圖3的顯示結果，表示配置成功，能成功建立SSL安全隧道。

3.2 系統(tǒng)運行效果

為了提高平臺的安全性，外部出口是接入到運營商的3G用戶專網，終端用戶通過3G網絡接入專用的APN。新建的APN提供鏈路接入的服務，但是不能理解成私有網絡，它仍然可以提供用戶訪問其他的網絡資源，相比公共互聯(lián)網空間，這種網絡要安全性要提高一些。

用戶在第一次使用的時候必須根據設計規(guī)范新建一個專用的APN，用戶要將接入點調到新建的這個APN才能通過3G網絡訪問系統(tǒng)。用戶登錄OA系統(tǒng)前需要將手機中的數據開關調試到新建的專用APN接入點，不能用運營商提供的CTWAP和CTNET接入點，否則安全客戶端不能建立SSL隧道，導致登錄失敗。圖4是沒有將接入點調到專用APN的登錄失敗的情況，圖5是登錄成功的界面

4 結束語

移動OA的安全防護中利用加密技術和身份認證技術是兩種最常用的手段，但是在手機登錄OA的過程中除了要驗證用戶的合法性和對數據進行加密以外，最好還能在訪問內部辦公系統(tǒng)的時候能阻斷手機的公共通道，提高內網的安全，實現(xiàn)內外網隧道分離。

參考文獻：

[1] 孫偉. Android 移動終端操作系統(tǒng)的安全分析[J].軟件，2013，34（4）：105-108.

[2] PKI技術[EB/OL].http：//baike.baidu.com/link？url=LLYEcdaAmkbYWjzglYli6Z7mBkV2-L3g5_oEe_M2pP16NjUTYuHmRK9yI9mtxFQv.

[3] 吳晨剛.基于移動終端的企業(yè)信息安全架構設計與實現(xiàn)[J].理論研究，2013（5）：83-85.

[4] 尋大勇.SSL VPN 網絡安全技術的應用研究[J].通信技術，2009，42（1）：248-250.endprint