發(fā)布時(shí)間：2014-09-05所屬分類：計(jì)算機(jī)職稱論文瀏覽：1次
摘 要： 摘要：在移動(dòng)電子商務(wù)交易中，如何保證移動(dòng)網(wǎng)關(guān)的安全也是一個(gè)關(guān)鍵的問(wèn)題。移動(dòng)網(wǎng)關(guān)用來(lái)完成移動(dòng)信息交換時(shí)的格式轉(zhuǎn)換，但無(wú)法實(shí)現(xiàn)對(duì)信息的加密，這就為移動(dòng)電子商務(wù)的開(kāi)展埋下了安全隱患，尤其是在進(jìn)行移動(dòng)支付時(shí)，如何確保移動(dòng)網(wǎng)關(guān)在進(jìn)行信息交換時(shí)對(duì)信息
摘要：在移動(dòng)電子商務(wù)交易中，如何保證移動(dòng)網(wǎng)關(guān)的安全也是一個(gè)關(guān)鍵的問(wèn)題。移動(dòng)網(wǎng)關(guān)用來(lái)完成移動(dòng)信息交換時(shí)的格式轉(zhuǎn)換，但無(wú)法實(shí)現(xiàn)對(duì)信息的加密，這就為移動(dòng)電子商務(wù)的開(kāi)展埋下了安全隱患，尤其是在進(jìn)行移動(dòng)支付時(shí)，如何確保移動(dòng)網(wǎng)關(guān)在進(jìn)行信息交換時(shí)對(duì)信息的保密是進(jìn)行安全移動(dòng)電子商務(wù)的關(guān)鍵問(wèn)題。
1、移動(dòng)電子商務(wù)的發(fā)展現(xiàn)狀及其安全問(wèn)題
我國(guó)的移動(dòng)數(shù)據(jù)網(wǎng)絡(luò)(移動(dòng)Internet)服務(wù)可以追溯到2000年。在發(fā)展的過(guò)程中，移動(dòng)電子商務(wù)的發(fā)展經(jīng)歷了以提供信息服務(wù)為主的第一個(gè)階段。在這個(gè)階段，移動(dòng)電子商務(wù)主要以提供一些需要預(yù)先支付一定費(fèi)用才可獲得的諸如天氣預(yù)報(bào)、股市行情等資訊信息服務(wù)。在這個(gè)階段基本不需要通過(guò)在線方法購(gòu)買服務(wù)，一般不牽涉到資金的流動(dòng)安全問(wèn)題。當(dāng)移動(dòng)電子商務(wù)發(fā)展到需要提供在線支付服務(wù)的第二個(gè)階段時(shí)，安全問(wèn)題就變得極為敏感。然而，在移動(dòng)環(huán)境中，手機(jī)等移動(dòng)設(shè)備終端與數(shù)據(jù)交換中心的開(kāi)PKI技術(shù)在移動(dòng)電子商務(wù)中的應(yīng)用研究文/陳衍毅放的空中接口，以及移動(dòng)網(wǎng)關(guān)與應(yīng)用服務(wù)提供商之間的無(wú)加密的傳輸網(wǎng)絡(luò)都為移動(dòng)支付的應(yīng)用創(chuàng)設(shè)了安全隱患。雖然GSM技術(shù)本身可以對(duì)數(shù)據(jù)進(jìn)行加密，但是移動(dòng)網(wǎng)絡(luò)的開(kāi)放性使得破譯網(wǎng)絡(luò)通訊密碼變得容易。而且信息必須在移動(dòng)運(yùn)營(yíng)商的網(wǎng)絡(luò)中才能得到加密保護(hù)，一旦離開(kāi)，就不再安全，因此在移動(dòng)通信中依然存在信息被截取、篡改、丟失等安全隱患。另外，在移動(dòng)電子商務(wù)中更應(yīng)該解決“不可否認(rèn)性”問(wèn)題。因?yàn)樵谝苿?dòng)網(wǎng)絡(luò)不同于有線網(wǎng)絡(luò)，有相對(duì)固定的用戶連接，使用移動(dòng)網(wǎng)絡(luò)進(jìn)行交易時(shí)，就存在用戶否認(rèn)已經(jīng)發(fā)生業(yè)務(wù)的行為，這些都是移動(dòng)電子商務(wù)急需解決的安全問(wèn)題。
2、WPKI技術(shù)
移動(dòng)環(huán)境要比有線環(huán)境有更高的開(kāi)放性，由此帶來(lái)人們對(duì)通過(guò)無(wú)線環(huán)境進(jìn)行交易時(shí)的安全問(wèn)題的擔(dān)心，在人們通過(guò)無(wú)線的方式進(jìn)行交易時(shí)，只有當(dāng)所有用戶都確信交易信息不會(huì)被竊聽(tīng)和篡改，交易的真實(shí)性和合法性得到有效的保護(hù)，移動(dòng)電子商務(wù)才會(huì)被更多人接受和推廣。在有線網(wǎng)絡(luò)電子商務(wù)交易中，PKI(公鑰基礎(chǔ)設(shè)施)是一個(gè)重要的安全保障。PKI有效解決了信息安全、身份證明、信息完整性和不可抵賴性等問(wèn)題，在有線電子商務(wù)交易中起著不可替代的作用，其在保障交易安全方面的意義得到了普遍的認(rèn)可。PKI中的一些有關(guān)電子商務(wù)交易安全的概念和操作流程同樣適用于解決移動(dòng)電子商務(wù)中面臨的安全問(wèn)題。但在移動(dòng)通信環(huán)境中應(yīng)用PKI時(shí)，需要進(jìn)行有針對(duì)性的技術(shù)改進(jìn)，即開(kāi)發(fā)和使用WPKI技術(shù)。WPKI(WirelessPKI)技術(shù)的出現(xiàn)在一定程度上解決了移動(dòng)電子商務(wù)應(yīng)用中對(duì)信息的保密性、完整性和不可抵賴性的安全要求。消除了用戶在應(yīng)用移動(dòng)電子商務(wù)時(shí)對(duì)交易安全的顧慮，是安全開(kāi)展移動(dòng)電子商務(wù)的有效保障。一般來(lái)說(shuō)WPKI技術(shù)主要包括以下幾個(gè)部分。(1)CA(CertificateAuthority)認(rèn)證機(jī)構(gòu)。認(rèn)證機(jī)構(gòu)(認(rèn)證中心)是PKI的核心部分和信任基礎(chǔ)，負(fù)責(zé)證書(shū)的發(fā)放、撤銷及證書(shū)發(fā)行后證書(shū)生命周期中各個(gè)環(huán)節(jié)的管理工作。(2)注冊(cè)機(jī)構(gòu)(RA)。RA是數(shù)字證書(shū)注冊(cè)的審批機(jī)構(gòu)。RA是CA證書(shū)發(fā)放、管理的延伸。RA是用戶和CA之間的接口，它不僅要接受離線的證書(shū)申請(qǐng)，還必須提供在線的證書(shū)申請(qǐng)服務(wù)。(3)智能卡。智能卡是一種鑲嵌于塑料基片中的具有存儲(chǔ)、加密及數(shù)據(jù)處理能力的集成電路芯片，智能卡在訪問(wèn)控制方面具有有很強(qiáng)的安全保障，加上其體積小、難于破解的特點(diǎn)，使得其在各個(gè)領(lǐng)域都得到了廣泛的應(yīng)用。很多種需要客戶端認(rèn)證的應(yīng)用都可以使用智能卡來(lái)實(shí)現(xiàn)。GSM移動(dòng)運(yùn)營(yíng)商的SIM卡就采用了智能卡技術(shù)，SIM卡主要用于存放移動(dòng)用戶識(shí)別號(hào)(IMSI)和身份認(rèn)證密鑰(Ki)。
同樣智能卡也可以在移動(dòng)電子商務(wù)中用于存儲(chǔ)用戶密鑰及數(shù)字證書(shū)，從而實(shí)現(xiàn)交易中的身份認(rèn)證和信息機(jī)密。(4)信息加密算法。算法的復(fù)雜性和加解密密鑰的長(zhǎng)度決定了算法的安全性。但是算法越復(fù)雜，密鑰長(zhǎng)度越長(zhǎng)，執(zhí)行運(yùn)算所需的時(shí)間也就越長(zhǎng)，就越需要計(jì)算能力更強(qiáng)的芯片。在所有的算法中，RSA算法是公認(rèn)的安全強(qiáng)度高的算法，但由于RSA算法需要具有更高處理性能的芯片，所以增加了智能卡的使用成本。橢圓曲線加密體制(ECC)以有限域上橢圓曲線離散對(duì)數(shù)問(wèn)題作為數(shù)論基礎(chǔ)，使得其使用很短的密鑰就可以達(dá)到RAS算法的加密強(qiáng)度。同時(shí)ECC相比其他公鑰密碼算法具有更高的安全強(qiáng)度，它的這種算法簡(jiǎn)單，密鑰長(zhǎng)度占用空間小的特點(diǎn)使得其非常適合由于受到CPU處理能力和RAM大小的限制而不能直接采用RSA算法的智能卡中使用。橢圓曲線密碼體制(ECC)以其對(duì)芯片的處理能力要求不高且可以達(dá)到同樣的安全強(qiáng)度的特點(diǎn)，被廣泛應(yīng)用于智能卡領(lǐng)域。(5)數(shù)字證書(shū)。數(shù)字證書(shū)在WPKI機(jī)制中具有非常重要的地位，如何安全、便捷地交換用戶的數(shù)字證書(shū)是WPKI所必須解決的問(wèn)題，尤其鑒于無(wú)線信道和移動(dòng)終端的限制。在實(shí)際應(yīng)用中，可以通過(guò)移動(dòng)證書(shū)標(biāo)識(shí)或WTLS證書(shū)解決。WTLS證書(shū)有更小、更簡(jiǎn)化的特點(diǎn)，不僅可以實(shí)現(xiàn)X.509證書(shū)的功能同時(shí)又非常適合于在移動(dòng)終端中處理安全問(wèn)題。由于WTLS證書(shū)為新型證書(shū)，所以目前必須對(duì)CA證書(shū)進(jìn)行升級(jí)才可使用使用WTLS證書(shū)。移動(dòng)證書(shū)標(biāo)識(shí)通常被嵌入在移動(dòng)設(shè)備終端中，然后與一個(gè)標(biāo)準(zhǔn)的X.509證書(shū)唯一對(duì)應(yīng)，用戶在使用時(shí)將移動(dòng)證書(shū)標(biāo)識(shí)和一個(gè)包含有自己的簽名數(shù)據(jù)的證書(shū)一起發(fā)給對(duì)方，對(duì)方根據(jù)用戶提交的移動(dòng)證書(shū)標(biāo)識(shí)到CA中心查詢數(shù)字證書(shū)，完成對(duì)用戶的身份認(rèn)證。使用移動(dòng)證書(shū)標(biāo)識(shí)不需要更改X.509證書(shū)，并且只需占用很小的存儲(chǔ)空間，一般僅僅需要幾個(gè)字節(jié)。
3、WPKI在移動(dòng)電子商務(wù)中的應(yīng)用
WPKI通過(guò)將在有線網(wǎng)絡(luò)環(huán)境中使用的PKI安全機(jī)制引入到移動(dòng)電子商務(wù)中的方式來(lái)建立安全、可信的移動(dòng)電子商務(wù)交易環(huán)境，WPKI可以對(duì)在移動(dòng)網(wǎng)絡(luò)環(huán)境中使用的公開(kāi)密鑰和數(shù)字證書(shū)進(jìn)行管理。WPKI是PKI技術(shù)在移動(dòng)電子商務(wù)中的擴(kuò)展，WPKI同樣使用證書(shū)來(lái)實(shí)現(xiàn)對(duì)公鑰的管理，并通過(guò)CA認(rèn)證中心對(duì)用戶的身份進(jìn)行驗(yàn)證，其目標(biāo)是實(shí)現(xiàn)信息在無(wú)線網(wǎng)絡(luò)環(huán)境中的安全傳輸。
3.1WPKI的體系結(jié)構(gòu)
WPKI體系機(jī)構(gòu)主要由實(shí)體終端(EE)、PKI門戶、CA，PKI目錄服務(wù)器等部分組成。在WPKI的應(yīng)用模式中，還包括數(shù)據(jù)提供服務(wù)器、WAP網(wǎng)關(guān)等服務(wù)設(shè)備等。WPKI體系的基本結(jié)構(gòu)和數(shù)據(jù)流向如圖1所示。(1)終端實(shí)體應(yīng)用程序EE(無(wú)線用戶)。終端實(shí)體應(yīng)用程序是為適應(yīng)在WAP設(shè)備中運(yùn)行WPKI而設(shè)計(jì)的優(yōu)化軟件，它依賴WMLScryptAPI實(shí)現(xiàn)數(shù)字簽名密鑰管理和加密運(yùn)算功能。(2)PKIDirectory(PKI目錄庫(kù))，證書(shū)發(fā)布服務(wù)器，如LDAP(LightweightDirectoryAccessProtocol輕量目錄訪問(wèn)協(xié)議)目錄服務(wù)器，該服務(wù)器主要用于對(duì)用戶的證書(shū)進(jìn)行管理，同時(shí)可以提供證書(shū)查詢等功能。PKI目錄庫(kù)通常包括LDAP服務(wù)器和普通數(shù)據(jù)庫(kù)。LDAP提供了一種訪問(wèn)PKI存儲(chǔ)庫(kù)的方式，通過(guò)該協(xié)議來(lái)訪問(wèn)LDAP服務(wù)器獲取自己和其他用戶的數(shù)字證書(shū)。(3)內(nèi)容服務(wù)器(Server)。內(nèi)容服務(wù)器是WPKI體系的資源提供源，任務(wù)是向客戶提供內(nèi)容資源，WPKI體系的安全主要圍繞內(nèi)容的安全傳輸開(kāi)展。WEB服務(wù)器提供的內(nèi)容是WPKI體系中的核心資源，如果沒(méi)有內(nèi)容服務(wù)器，WPKI體系就沒(méi)有任何意義。(4)WAP網(wǎng)關(guān)，現(xiàn)在使用的WAP網(wǎng)關(guān)可以使用標(biāo)準(zhǔn)的Internet協(xié)議實(shí)現(xiàn)與客戶及源服務(wù)器之間的通信問(wèn)題。通過(guò)配置一個(gè)WAP代理可以增強(qiáng)移動(dòng)服務(wù)完成與安全通信相關(guān)的其他工作。
3.2WPKI在移動(dòng)電子商務(wù)中的應(yīng)用模型
(1)基于WAP的應(yīng)用模型在基于WAP的應(yīng)用模型中，WPKI對(duì)安全協(xié)議的運(yùn)行起到了關(guān)鍵的基礎(chǔ)性作用。基于WAP的應(yīng)用通常可以與WTLS(WirelessTransportLayerSecurity)結(jié)合來(lái)完成身份認(rèn)證、加密、數(shù)字簽名等功能。(2)基于STK的短消息應(yīng)用模型STK(SIMcardToolKit)是一種小型編程語(yǔ)言，為一組開(kāi)發(fā)增值業(yè)務(wù)的命令。STK卡屬于SIM卡的一種，與SIM卡不同的是，STK卡允許移動(dòng)電話中的用戶身份識(shí)別模塊(SIM卡)運(yùn)行自己的應(yīng)用軟件。STK卡具有很大的靈活性，只需要在用戶STK卡上開(kāi)發(fā)并與服務(wù)器配合，就可以推出各種適合用戶需求的業(yè)務(wù)。在使用中通常把STK技術(shù)結(jié)合OTA(OverTheAir，空中下載)技術(shù)，實(shí)現(xiàn)隨時(shí)更新和升級(jí)STK卡中的應(yīng)用程序和各種業(yè)務(wù)。在本模型中，STK卡用來(lái)儲(chǔ)存數(shù)字證書(shū)和私有密鑰，同時(shí)可以用于信息的加解密、數(shù)字簽名、身份驗(yàn)證等各種密碼計(jì)算。SMS(短消息)負(fù)責(zé)實(shí)現(xiàn)移動(dòng)終端與服務(wù)器間的通信。本模型的實(shí)現(xiàn)也很簡(jiǎn)單，只需將手機(jī)等移動(dòng)終端中的SIM卡轉(zhuǎn)換成STK即可。基于STK的應(yīng)用模型可在移動(dòng)銀行、移動(dòng)小額支付、移動(dòng)外匯買賣及移動(dòng)理財(cái)秘書(shū)等領(lǐng)域應(yīng)用。(3)基于J2ME的應(yīng)用模型J2ME(JavaPlatform,MicroEdition)是SUN公司推出的專門用于移動(dòng)網(wǎng)絡(luò)的編程語(yǔ)言，其繼承了JAVA的優(yōu)點(diǎn)，在移動(dòng)應(yīng)用領(lǐng)域有非常廣闊的發(fā)展前景。開(kāi)展移動(dòng)電子商務(wù)需要的主要功能，J2ME模型都可以提供，以這些功能為基礎(chǔ)，然后以滿足應(yīng)用需求為目標(biāo)，可以開(kāi)發(fā)出滿足移動(dòng)交易安全需求的WPKI應(yīng)用。J2ME以出自于SUN，以及與JAVA語(yǔ)言的關(guān)系，使得其安全性和網(wǎng)絡(luò)功能等特點(diǎn)日益受到人們的青睞，當(dāng)前，越來(lái)越多的無(wú)線終端設(shè)備開(kāi)始支持J2ME。J2ME模型是一種很有前景的模型，但其存在實(shí)現(xiàn)復(fù)雜，密碼算法的效率不高等問(wèn)題。
4、結(jié)論
隨著移動(dòng)互聯(lián)網(wǎng)和移動(dòng)電子商務(wù)的迅猛發(fā)展，人們對(duì)其安全問(wèn)題會(huì)越來(lái)越關(guān)注。基于WPKI的移動(dòng)電子商務(wù)技術(shù)，是目前比較完善的且具有很大可行性的方案。WPKI技術(shù)結(jié)合WAP技術(shù)的解決方案，以其高安全性、高穩(wěn)定性及高可用性等特點(diǎn)，將是以后的發(fā)展方向，具有可預(yù)見(jiàn)性的美好未來(lái)。
