導(dǎo)語(yǔ)：移動(dòng)電子商務(wù)安全研究論文一文來(lái)源于網(wǎng)友上傳，不代表本站觀點(diǎn)，若需要原創(chuàng)文章可咨詢客服老師，歡迎參考。

內(nèi)容摘要:隨著移動(dòng)電子商務(wù)的發(fā)展,其安全問(wèn)題倍受人們的關(guān)注。本文對(duì)移動(dòng)電子商務(wù)技術(shù)的安全現(xiàn)狀作了簡(jiǎn)要討論,然后對(duì)IEEE802.11標(biāo)準(zhǔn)、WAP技術(shù)、WPKI技術(shù)等從安全角度進(jìn)行了分析,并針對(duì)不安全的因素提出了改進(jìn)建議。

關(guān)鍵詞:移動(dòng)電子商務(wù)IEEE802.11WAPWPKI

隨著無(wú)線通信技術(shù)的發(fā)展,移動(dòng)電子商務(wù)已經(jīng)成為電子商務(wù)研究熱點(diǎn)。移動(dòng)電子商務(wù)是將現(xiàn)代信息科學(xué)技術(shù)和傳統(tǒng)商務(wù)活動(dòng)相結(jié)合,隨時(shí)隨地為用戶提供各種個(gè)性化的、定制的在線動(dòng)態(tài)商務(wù)服務(wù)。

但在無(wú)線世界里,人們對(duì)于進(jìn)行商務(wù)活動(dòng)安全性的考慮比在有線環(huán)境中要多。只有當(dāng)所有的用戶確信,通過(guò)無(wú)線方式所進(jìn)行的交易不會(huì)發(fā)生欺詐或篡改、進(jìn)行的交易受到法律的承認(rèn)和隱私信息被適當(dāng)?shù)谋Ｗo(hù)時(shí),移動(dòng)電子商務(wù)才有可能蓬勃開(kāi)展。

移動(dòng)電子商務(wù)通信安全的現(xiàn)狀

由于無(wú)線通訊接入方式非常靈活,所以其對(duì)安全的要求更高。實(shí)際上,主要的無(wú)線通信技術(shù)都有各自的措施、協(xié)議和方法來(lái)保證各自體制下的通信安全。這里我們將從無(wú)線網(wǎng)絡(luò)和電子商務(wù)應(yīng)用兩個(gè)方面作簡(jiǎn)要討論。

無(wú)線局域網(wǎng)

無(wú)線局域網(wǎng)絡(luò)是以無(wú)線連接至局域網(wǎng)絡(luò)的通訊方式。它采用的是IEEE802.11系列標(biāo)準(zhǔn)。在該標(biāo)準(zhǔn)中,無(wú)線局域網(wǎng)的安全機(jī)制采用的是WEP協(xié)議(有線對(duì)等安全協(xié)議)。在數(shù)據(jù)鏈路用WEP加密數(shù)據(jù),保證了信道上傳送數(shù)據(jù)的安全。另外,無(wú)線局域網(wǎng)的網(wǎng)絡(luò)管理員分配給每個(gè)授權(quán)用戶一個(gè)基于WEP算法的密鑰,這樣就有效阻止了非授權(quán)用戶的訪問(wèn)。

WAP(無(wú)線應(yīng)用協(xié)議)技術(shù)

WAP由一系列協(xié)議組成,用來(lái)標(biāo)準(zhǔn)化無(wú)線通信設(shè)備,例如:移動(dòng)電話、移動(dòng)終端;它負(fù)責(zé)將Internet和移動(dòng)通信網(wǎng)連接到一起,客觀上已成為移動(dòng)終端上網(wǎng)的標(biāo)準(zhǔn)。WAP協(xié)議可以廣泛地運(yùn)用于GSM、CDMA、TDMA、3G等多種網(wǎng)絡(luò)。

WAP的安全機(jī)制是通過(guò)WTLS(無(wú)線傳輸層安全)協(xié)議來(lái)實(shí)現(xiàn)的。WTLS協(xié)議類(lèi)似于互聯(lián)網(wǎng)傳輸層安全協(xié)議。在無(wú)線技術(shù)的有限的發(fā)送功率、存儲(chǔ)容量及帶寬的條件下,WTLS能夠?qū)崿F(xiàn)鑒定,保證數(shù)據(jù)的完整性和提供保密服務(wù)的目標(biāo)。

數(shù)字認(rèn)證技術(shù)

對(duì)諸如移動(dòng)電子商務(wù)和有重要使命的合作通信等活動(dòng),其安全性的一個(gè)關(guān)鍵方面是能否對(duì)信息發(fā)送者的身份進(jìn)行論證,通常都要利用有線安全的公開(kāi)密鑰基本構(gòu)架(PKI)。

PKI提供與加密和數(shù)字證書(shū)有關(guān)的一系列技術(shù)。但在無(wú)線通信環(huán)境中,PKI是很難實(shí)現(xiàn)的。在只有有限計(jì)算能力和低數(shù)據(jù)流通率的設(shè)備上實(shí)現(xiàn)PKI中的服務(wù)一直是一個(gè)有挑戰(zhàn)性的難題。同時(shí)在PKI的基礎(chǔ)上,要將無(wú)線設(shè)備與有線設(shè)備之間進(jìn)行互通也是有難度的。因此無(wú)線PKI(WPKI)協(xié)議是要將標(biāo)準(zhǔn)的PKI進(jìn)行修正和簡(jiǎn)化,使其在無(wú)線通信的環(huán)境下達(dá)到最優(yōu)。

移動(dòng)電子商務(wù)安全分析

IEEE802.11的安全

IEEE802.11標(biāo)準(zhǔn)規(guī)定了MAC層的存取控制規(guī)范,也定義了加密機(jī)制,即上述的WEP。WEP的目的是通過(guò)對(duì)信息流加密并利用WEP認(rèn)證節(jié)點(diǎn),使無(wú)線通信傳輸像有線網(wǎng)絡(luò)一樣安全。

WEP加密使用共享密鑰和RC4加密算法。訪問(wèn)點(diǎn)(AP)和連接到該訪問(wèn)點(diǎn)的所有工作站必須使用同樣的共享密鑰。對(duì)于往任一方向發(fā)送的數(shù)據(jù)包,傳輸程序都將數(shù)據(jù)包的內(nèi)容與數(shù)據(jù)包的檢驗(yàn)組合在一起。然后,WEP標(biāo)準(zhǔn)要求傳輸程序創(chuàng)建一個(gè)特定于數(shù)據(jù)包的初始化向量(IV),后者與密鑰k相組合在一起,用于對(duì)數(shù)據(jù)包進(jìn)行加密。接收器生成自己的匹配數(shù)據(jù)包密鑰并用之對(duì)數(shù)據(jù)包進(jìn)行解密。在理論上,這種方法優(yōu)于單獨(dú)使用共享私鑰的顯式策略,應(yīng)該使對(duì)方更難于破解。

但是,IEEE802.11中用于安全的WEP算法只是提供相當(dāng)于有線局域網(wǎng)基本安全的安全級(jí)別,根本不是一種全面的安全方案。越來(lái)越多的安全專(zhuān)家和研究人員發(fā)現(xiàn)IEEE802.11存在安全漏洞,有經(jīng)驗(yàn)的黑客會(huì)利用這些漏洞進(jìn)行攻擊。其缺陷主要有:RC4算法本身就有一個(gè)小缺陷。WEP標(biāo)準(zhǔn)允許IV重復(fù)使用(平均大約每5小時(shí)重復(fù)一次)。WEP標(biāo)準(zhǔn)不提供自動(dòng)修改密鑰的方法。

最早的WEP實(shí)施只提供40位加密,這使得它抗暴力攻擊能力差?，F(xiàn)代的系統(tǒng)提供128位的WEP,128位的密鑰長(zhǎng)度減去24位的IV后,實(shí)際上有效的密鑰長(zhǎng)度為104位。盡管如此,128位的WEP版本也不能保證絕對(duì)安全。最好的解決辦法是把無(wú)線網(wǎng)絡(luò)放在機(jī)構(gòu)防火墻之外,這種防范措施會(huì)強(qiáng)制要求將無(wú)線連接當(dāng)作不受信任的連接來(lái)看待,就像看待其他任何來(lái)自Internet的連接一樣。

所以,WEP應(yīng)該與其他安全機(jī)制一起應(yīng)用才能提供較強(qiáng)的安全。

WAP的安全

WAP規(guī)范的安全特性包括幾個(gè)部分:WTLS協(xié)議、用于存儲(chǔ)用戶證書(shū)的WAP身份模塊(WIM)和允許WAP交易簽名的SignText功能。

WTLS協(xié)議:WTLS基于IETF小組的SSL/TLS協(xié)議,提供了實(shí)體鑒別、數(shù)據(jù)加密和保護(hù)數(shù)據(jù)完整性的功能,所以可以確保在WAP裝置和WAP網(wǎng)關(guān)之間的安全通信。有三種不同級(jí)別的WTLS:

1級(jí):執(zhí)行未經(jīng)證實(shí)的Diffie-Hellman密鑰交換以建立會(huì)話密鑰。

2級(jí):使用與SSL/TLS協(xié)議相類(lèi)似的公開(kāi)密鑰證書(shū)機(jī)制進(jìn)行服務(wù)器端鑒別。

3級(jí):客戶端和服務(wù)器端采用X.509格式證書(shū)相互進(jìn)行鑒別。

早期WAP裝置僅僅采用了第1級(jí)別的WTLS,這種級(jí)別的安全不夠,所以不能用于電子商務(wù)。目前,支持第2和第3級(jí)別WTLS的移動(dòng)裝置從市場(chǎng)上可以得到,它們可以確保網(wǎng)上銀行交易和購(gòu)物等應(yīng)用的機(jī)密性。

WIM:為了便于客戶端的鑒別,新一代的WAP電話提供了WIM。WIM包含了WTLS3級(jí)的功能,并嵌入了對(duì)公開(kāi)密鑰加密技術(shù)的支持(RSA是強(qiáng)制的,而ECC是可選的)。生產(chǎn)廠家為WIM配備了兩套公私密鑰對(duì)(一套用于簽名,另一套用于鑒別)和兩個(gè)廠商的證書(shū)。用配置在WIM上的公匙把廠商的證書(shū)和廠商名字捆綁在一起。這樣,通過(guò)WIM和WAP網(wǎng)關(guān)建立的所有WTLS會(huì)話都將使用相同的公匙用作初始會(huì)話。每一個(gè)會(huì)話都將包括與此密鑰對(duì)應(yīng)的一個(gè)不同的證書(shū)。WIM的基本要求是它們要具有抗篡改的能力。

SignText功能:這個(gè)功能為WAP用戶提供了數(shù)字簽名。同電子簽名功能一樣,這個(gè)功能可以被應(yīng)用于其他無(wú)線設(shè)備,或者是手持設(shè)備,或者是內(nèi)嵌SIM卡。

WAP的安全分析:由WAP提供的最好的安全是WTLS3級(jí),多數(shù)情況下WTLS已足以確保WAP的安全。但是,由于WAP網(wǎng)關(guān)在WAP設(shè)備和Web服務(wù)器之間起著翻譯的作用,相應(yīng)的帶來(lái)了安全問(wèn)題:WTLS安全會(huì)話建立在手機(jī)與WAP網(wǎng)關(guān)之間,而與終端服務(wù)器無(wú)關(guān)。這意味著數(shù)據(jù)只在WAP手機(jī)與網(wǎng)關(guān)之間加密,網(wǎng)關(guān)將數(shù)據(jù)解密后,利用其他方法將數(shù)據(jù)再次加密,然后經(jīng)過(guò)TLS連接發(fā)送給終端服務(wù)器。由于WAP網(wǎng)關(guān)可以看見(jiàn)所有的數(shù)據(jù)明文,而該WAP網(wǎng)關(guān)可能并不為服務(wù)器所有者所擁有,這樣,潛在的第三方可能獲得所有的傳輸數(shù)據(jù)。

目前,針對(duì)上述安全性問(wèn)題,可以采用這樣的措施來(lái)提高WAP的安全性:盡力確保WAP網(wǎng)關(guān)的安全。如果WAP網(wǎng)關(guān)位于WAP服務(wù)供應(yīng)商范圍之內(nèi),可以通過(guò)諸如在內(nèi)存中對(duì)加密和解密過(guò)程進(jìn)行最優(yōu)化以減少數(shù)據(jù)明文存在的時(shí)間、在釋放前覆蓋加密解密進(jìn)程使用的內(nèi)存以確保數(shù)據(jù)的安全性。對(duì)于安全要求較高的公司可以擁有自己的WAP網(wǎng)關(guān),從而保障數(shù)據(jù)端到端的安全性。通過(guò)WIM實(shí)現(xiàn)數(shù)據(jù)安全性。

WPKI技術(shù)

在有線通信中,電子商務(wù)交易的一個(gè)重要安全保障是PKI。PKI的系統(tǒng)概念、安全操作流程、密鑰、證書(shū)等同樣也適用于解決移動(dòng)電子商務(wù)交易的安全問(wèn)題,但在應(yīng)用PKI的同時(shí)要考慮到移動(dòng)通信環(huán)境的特點(diǎn),并據(jù)此對(duì)PKI技術(shù)進(jìn)行改進(jìn)。

WPKI技術(shù)滿足移動(dòng)電子商務(wù)安全的要求:即保密性、完整性、真實(shí)性、不可抵賴性,消除了用戶在交易中的風(fēng)險(xiǎn)。WPKI技術(shù)主要包含以下幾個(gè)方面:

認(rèn)證機(jī)構(gòu)(CA)CA系統(tǒng)是PKI的信任基礎(chǔ),負(fù)責(zé)分發(fā)和驗(yàn)證數(shù)字證書(shū),規(guī)定證書(shū)的有效期,證書(shū)廢除列表。

注冊(cè)機(jī)構(gòu)(RA)RA提供用戶和CA之間的一個(gè)接口。作為認(rèn)證機(jī)構(gòu)的校驗(yàn)者,在數(shù)字證書(shū)分發(fā)給請(qǐng)求者之前對(duì)證書(shū)進(jìn)行驗(yàn)證。

智能卡智能卡將具有存儲(chǔ)、加密及數(shù)據(jù)處理能力的集成電路芯片鑲嵌于塑料基片中,具有體積小、難于破解等特點(diǎn),在生產(chǎn)過(guò)程、訪問(wèn)控制方面有很強(qiáng)的安全保障。很多種需要客戶端認(rèn)證的應(yīng)用都可以使用智能卡來(lái)實(shí)現(xiàn)。并且智能卡也是存儲(chǔ)移動(dòng)電子商務(wù)密鑰及相關(guān)數(shù)字證書(shū)的最佳選擇。

加密算法加密算法越復(fù)雜,密鑰越長(zhǎng)則安全性越高,但執(zhí)行運(yùn)算所需的時(shí)間也越長(zhǎng)(或需要計(jì)算能力更強(qiáng)的芯片)。所以,支持RSA算法的智能卡通常需要高性能的具有協(xié)處理器的芯片。而ECC使用較短的密鑰就可以達(dá)到和RSA算法相同的加密強(qiáng)度。由于智能卡受CPU處理能力和RAM大小的限制,因而采用一種運(yùn)算量小同時(shí)能提供高加密強(qiáng)度的公鑰密碼體制對(duì)在智能卡上實(shí)現(xiàn)數(shù)字簽名應(yīng)用是至關(guān)重要的,ECC在這方面具有很大的優(yōu)勢(shì)。

綜上所述,在WPKI機(jī)制下,數(shù)字證書(shū)非常重要,但是由于無(wú)線信道和移動(dòng)終端的限制,如何安全、便捷地交換用戶的數(shù)字證書(shū)是WPKI所必須解決的問(wèn)題?？梢圆捎靡韵?種辦法解決:WTLS證書(shū),WTLS證書(shū)的功能與X.509證書(shū)相同,但更小、更簡(jiǎn)化,利于在資源受限的手持終端中處理。但所有證書(shū)必須含有與密鑰交換算法相一致的密鑰,除非特別指定,簽名算法必須與證書(shū)中密鑰的算法相同:移動(dòng)證書(shū)標(biāo)識(shí),將標(biāo)準(zhǔn)的一個(gè)X.509證書(shū)與移動(dòng)證書(shū)標(biāo)識(shí)唯一對(duì)應(yīng),并且在移動(dòng)終端中嵌入移動(dòng)證書(shū)標(biāo)識(shí),用戶每次只需要將自己的移動(dòng)證書(shū)標(biāo)識(shí)與簽名數(shù)據(jù)一起提交給對(duì)方,對(duì)方再根據(jù)移動(dòng)證書(shū)標(biāo)識(shí)檢索相應(yīng)的數(shù)字證書(shū)即可。

目前,大多數(shù)移動(dòng)電子商務(wù)采用的安全方式是非PKI的方式,這種方式主要采用對(duì)稱加密算法和單向散列函數(shù)來(lái)提供安全服務(wù),其密鑰的管理是由移動(dòng)運(yùn)營(yíng)商建立一套主密鑰管理系統(tǒng),為不同的服務(wù)提供商分配不同的密鑰,每次交易過(guò)程中,服務(wù)提供商與用戶協(xié)商產(chǎn)生會(huì)話加密密鑰。顯然,采用這種方式構(gòu)建的系統(tǒng)的安全性主要取決于主密鑰的安全。

盡管非PKI方式對(duì)于無(wú)線終端有限的處理能力來(lái)說(shuō)尤其適合,而且通過(guò)黑名單管理等方法可以使系統(tǒng)的安全得到較好的保障,但是從長(zhǎng)遠(yuǎn)來(lái)說(shuō),移動(dòng)電子商務(wù)有必要逐步過(guò)渡到PKI方式。

移動(dòng)電子商務(wù)隨著移動(dòng)互聯(lián)網(wǎng)技術(shù)的成熟發(fā)展迅速,其獨(dú)特的應(yīng)用領(lǐng)域使得其安全問(wèn)題倍受關(guān)注。從技術(shù)角度上看,一方面無(wú)線通信的安全處在不斷地發(fā)展和完善之中,其應(yīng)用到移動(dòng)電子商務(wù)中時(shí)要與其它的安全機(jī)制相結(jié)合才能滿足實(shí)際應(yīng)用的需要;另一方面有線電子商務(wù)的安全技術(shù)不能解決移動(dòng)電子商務(wù)的安全問(wèn)題,所以WPKI技術(shù)是一個(gè)現(xiàn)實(shí)的選擇。因此,將這兩方面進(jìn)行改進(jìn)并進(jìn)行有機(jī)整合,才能營(yíng)造一個(gè)安全的移動(dòng)電子商務(wù)環(huán)境。

參考文獻(xiàn):

1.儲(chǔ)節(jié)旺,郭春俠.移動(dòng)電子商務(wù)研究[J].現(xiàn)代情報(bào),2002,3(3)

2.姜志,聶志鋒.移動(dòng)電子商務(wù)及其關(guān)鍵技術(shù)[J].湖北郵電技術(shù),2002,9(3)

3.陸佩忠,平湖.無(wú)線電子商務(wù)安全性的幾個(gè)關(guān)鍵技術(shù)[J].中國(guó)科學(xué)院研究生院學(xué)報(bào),2002,9(3)

4.劉杰,王春萌等.移動(dòng)電子商務(wù)及WPKI技術(shù)[J].北京郵電大學(xué)學(xué)報(bào),2002,2(2)