蔡 谊 刘东生

（西三环中路19号 北京 100841）

1 引言

随着信息技术的不断发展，军队信息化建设也在稳步向前推进。当前，已有越来越多的机关及下属各单位，部署了OA（办公自动化）系统。OA系统有力地矫正了行政管理中，可能会出现的随意和混乱现象，实现了办公的流程化与标准化，有效提高了相关人员的办事效率。

OA系统的主要功能包括：通知通告的公示、电子邮件的收发、公文的流转以及其它一些在线服务等。现有OA系统过多地强调了功能的多样性与复杂性，对自身的安全性有所忽视，主要表现在：OA系统一般基于Web服务，对用户身份认证的安全强度不高；对合法用户没有进行严格的访问控制，可以进行越权访问[1]；安全机制集中于系统的应用层，与底层操作系统结合不紧，存在被旁路的危险，因此不能从根本上保证应用系统的安全[2～4]。

针对上述问题，本文以OA系统的典型应用—公文流转为例，对其中存在的脆弱性问题进行了分析和研究。在此基础上，给出了OA应用安全增强系统的设计方案，并通过实际的安全应用部署，证明了方案的可行性以及系统实现的可靠性。

2 OA典型应用及其脆弱性分析

2.1 OA系统典型应用流程

公文流转是OA系统最为主要和典型的应用，公文流转的整体过程由OA系统的管理员，根据相应的规章制度进行配置。公文流转过程配置完成后，—般不会再轻易做出改动，相关人员会遵循固定流程，完成公文的逐级上报与审批。

现有的OA系统大多是基于B／S构架，用户在客户端通过浏览器登录OA服务器，然后根据OA系统管理员所制定的公文流转过程，进行公文的接收与发送，实现办公应用的规范化操作。……