發(fā)布時間：2014-09-05所屬分類：計算機職稱論文瀏覽：1次
摘 要： 摘要：在移動電子商務(wù)交易中，如何保證移動網(wǎng)關(guān)的安全也是一個關(guān)鍵的問題。移動網(wǎng)關(guān)用來完成移動信息交換時的格式轉(zhuǎn)換，但無法實現(xiàn)對信息的加密，這就為移動電子商務(wù)的開展埋下了安全隱患，尤其是在進行移動支付時，如何確保移動網(wǎng)關(guān)在進行信息交換時對信息
摘要：在移動電子商務(wù)交易中，如何保證移動網(wǎng)關(guān)的安全也是一個關(guān)鍵的問題。移動網(wǎng)關(guān)用來完成移動信息交換時的格式轉(zhuǎn)換，但無法實現(xiàn)對信息的加密，這就為移動電子商務(wù)的開展埋下了安全隱患，尤其是在進行移動支付時，如何確保移動網(wǎng)關(guān)在進行信息交換時對信息的保密是進行安全移動電子商務(wù)的關(guān)鍵問題。
1、移動電子商務(wù)的發(fā)展現(xiàn)狀及其安全問題
我國的移動數(shù)據(jù)網(wǎng)絡(luò)(移動Internet)服務(wù)可以追溯到2000年。在發(fā)展的過程中，移動電子商務(wù)的發(fā)展經(jīng)歷了以提供信息服務(wù)為主的第一個階段。在這個階段，移動電子商務(wù)主要以提供一些需要預(yù)先支付一定費用才可獲得的諸如天氣預(yù)報、股市行情等資訊信息服務(wù)。在這個階段基本不需要通過在線方法購買服務(wù)，一般不牽涉到資金的流動安全問題。當移動電子商務(wù)發(fā)展到需要提供在線支付服務(wù)的第二個階段時，安全問題就變得極為敏感。然而，在移動環(huán)境中，手機等移動設(shè)備終端與數(shù)據(jù)交換中心的開PKI技術(shù)在移動電子商務(wù)中的應(yīng)用研究文/陳衍毅放的空中接口，以及移動網(wǎng)關(guān)與應(yīng)用服務(wù)提供商之間的無加密的傳輸網(wǎng)絡(luò)都為移動支付的應(yīng)用創(chuàng)設(shè)了安全隱患。雖然GSM技術(shù)本身可以對數(shù)據(jù)進行加密，但是移動網(wǎng)絡(luò)的開放性使得破譯網(wǎng)絡(luò)通訊密碼變得容易。而且信息必須在移動運營商的網(wǎng)絡(luò)中才能得到加密保護，一旦離開，就不再安全，因此在移動通信中依然存在信息被截取、篡改、丟失等安全隱患。另外，在移動電子商務(wù)中更應(yīng)該解決“不可否認性”問題。因為在移動網(wǎng)絡(luò)不同于有線網(wǎng)絡(luò)，有相對固定的用戶連接，使用移動網(wǎng)絡(luò)進行交易時，就存在用戶否認已經(jīng)發(fā)生業(yè)務(wù)的行為，這些都是移動電子商務(wù)急需解決的安全問題。
2、WPKI技術(shù)
移動環(huán)境要比有線環(huán)境有更高的開放性，由此帶來人們對通過無線環(huán)境進行交易時的安全問題的擔(dān)心，在人們通過無線的方式進行交易時，只有當所有用戶都確信交易信息不會被竊聽和篡改，交易的真實性和合法性得到有效的保護，移動電子商務(wù)才會被更多人接受和推廣。在有線網(wǎng)絡(luò)電子商務(wù)交易中，PKI(公鑰基礎(chǔ)設(shè)施)是一個重要的安全保障。PKI有效解決了信息安全、身份證明、信息完整性和不可抵賴性等問題，在有線電子商務(wù)交易中起著不可替代的作用，其在保障交易安全方面的意義得到了普遍的認可。PKI中的一些有關(guān)電子商務(wù)交易安全的概念和操作流程同樣適用于解決移動電子商務(wù)中面臨的安全問題。但在移動通信環(huán)境中應(yīng)用PKI時，需要進行有針對性的技術(shù)改進，即開發(fā)和使用WPKI技術(shù)。WPKI(WirelessPKI)技術(shù)的出現(xiàn)在一定程度上解決了移動電子商務(wù)應(yīng)用中對信息的保密性、完整性和不可抵賴性的安全要求。消除了用戶在應(yīng)用移動電子商務(wù)時對交易安全的顧慮，是安全開展移動電子商務(wù)的有效保障。一般來說WPKI技術(shù)主要包括以下幾個部分。(1)CA(CertificateAuthority)認證機構(gòu)。認證機構(gòu)(認證中心)是PKI的核心部分和信任基礎(chǔ)，負責(zé)證書的發(fā)放、撤銷及證書發(fā)行后證書生命周期中各個環(huán)節(jié)的管理工作。(2)注冊機構(gòu)(RA)。RA是數(shù)字證書注冊的審批機構(gòu)。RA是CA證書發(fā)放、管理的延伸。RA是用戶和CA之間的接口，它不僅要接受離線的證書申請，還必須提供在線的證書申請服務(wù)。(3)智能卡。智能卡是一種鑲嵌于塑料基片中的具有存儲、加密及數(shù)據(jù)處理能力的集成電路芯片，智能卡在訪問控制方面具有有很強的安全保障，加上其體積小、難于破解的特點，使得其在各個領(lǐng)域都得到了廣泛的應(yīng)用。很多種需要客戶端認證的應(yīng)用都可以使用智能卡來實現(xiàn)。GSM移動運營商的SIM卡就采用了智能卡技術(shù)，SIM卡主要用于存放移動用戶識別號(IMSI)和身份認證密鑰(Ki)。
同樣智能卡也可以在移動電子商務(wù)中用于存儲用戶密鑰及數(shù)字證書，從而實現(xiàn)交易中的身份認證和信息機密。(4)信息加密算法。算法的復(fù)雜性和加解密密鑰的長度決定了算法的安全性。但是算法越復(fù)雜，密鑰長度越長，執(zhí)行運算所需的時間也就越長，就越需要計算能力更強的芯片。在所有的算法中，RSA算法是公認的安全強度高的算法，但由于RSA算法需要具有更高處理性能的芯片，所以增加了智能卡的使用成本。橢圓曲線加密體制(ECC)以有限域上橢圓曲線離散對數(shù)問題作為數(shù)論基礎(chǔ)，使得其使用很短的密鑰就可以達到RAS算法的加密強度。同時ECC相比其他公鑰密碼算法具有更高的安全強度，它的這種算法簡單，密鑰長度占用空間小的特點使得其非常適合由于受到CPU處理能力和RAM大小的限制而不能直接采用RSA算法的智能卡中使用。橢圓曲線密碼體制(ECC)以其對芯片的處理能力要求不高且可以達到同樣的安全強度的特點，被廣泛應(yīng)用于智能卡領(lǐng)域。(5)數(shù)字證書。數(shù)字證書在WPKI機制中具有非常重要的地位，如何安全、便捷地交換用戶的數(shù)字證書是WPKI所必須解決的問題，尤其鑒于無線信道和移動終端的限制。在實際應(yīng)用中，可以通過移動證書標識或WTLS證書解決。WTLS證書有更小、更簡化的特點，不僅可以實現(xiàn)X.509證書的功能同時又非常適合于在移動終端中處理安全問題。由于WTLS證書為新型證書，所以目前必須對CA證書進行升級才可使用使用WTLS證書。移動證書標識通常被嵌入在移動設(shè)備終端中，然后與一個標準的X.509證書唯一對應(yīng)，用戶在使用時將移動證書標識和一個包含有自己的簽名數(shù)據(jù)的證書一起發(fā)給對方，對方根據(jù)用戶提交的移動證書標識到CA中心查詢數(shù)字證書，完成對用戶的身份認證。使用移動證書標識不需要更改X.509證書，并且只需占用很小的存儲空間，一般僅僅需要幾個字節(jié)。
3、WPKI在移動電子商務(wù)中的應(yīng)用
WPKI通過將在有線網(wǎng)絡(luò)環(huán)境中使用的PKI安全機制引入到移動電子商務(wù)中的方式來建立安全、可信的移動電子商務(wù)交易環(huán)境，WPKI可以對在移動網(wǎng)絡(luò)環(huán)境中使用的公開密鑰和數(shù)字證書進行管理。WPKI是PKI技術(shù)在移動電子商務(wù)中的擴展，WPKI同樣使用證書來實現(xiàn)對公鑰的管理，并通過CA認證中心對用戶的身份進行驗證，其目標是實現(xiàn)信息在無線網(wǎng)絡(luò)環(huán)境中的安全傳輸。
3.1WPKI的體系結(jié)構(gòu)
WPKI體系機構(gòu)主要由實體終端(EE)、PKI門戶、CA，PKI目錄服務(wù)器等部分組成。在WPKI的應(yīng)用模式中，還包括數(shù)據(jù)提供服務(wù)器、WAP網(wǎng)關(guān)等服務(wù)設(shè)備等。WPKI體系的基本結(jié)構(gòu)和數(shù)據(jù)流向如圖1所示。(1)終端實體應(yīng)用程序EE(無線用戶)。終端實體應(yīng)用程序是為適應(yīng)在WAP設(shè)備中運行WPKI而設(shè)計的優(yōu)化軟件，它依賴WMLScryptAPI實現(xiàn)數(shù)字簽名密鑰管理和加密運算功能。(2)PKIDirectory(PKI目錄庫)，證書發(fā)布服務(wù)器，如LDAP(LightweightDirectoryAccessProtocol輕量目錄訪問協(xié)議)目錄服務(wù)器，該服務(wù)器主要用于對用戶的證書進行管理，同時可以提供證書查詢等功能。PKI目錄庫通常包括LDAP服務(wù)器和普通數(shù)據(jù)庫。LDAP提供了一種訪問PKI存儲庫的方式，通過該協(xié)議來訪問LDAP服務(wù)器獲取自己和其他用戶的數(shù)字證書。(3)內(nèi)容服務(wù)器(Server)。內(nèi)容服務(wù)器是WPKI體系的資源提供源，任務(wù)是向客戶提供內(nèi)容資源，WPKI體系的安全主要圍繞內(nèi)容的安全傳輸開展。WEB服務(wù)器提供的內(nèi)容是WPKI體系中的核心資源，如果沒有內(nèi)容服務(wù)器，WPKI體系就沒有任何意義。(4)WAP網(wǎng)關(guān)，現(xiàn)在使用的WAP網(wǎng)關(guān)可以使用標準的Internet協(xié)議實現(xiàn)與客戶及源服務(wù)器之間的通信問題。通過配置一個WAP代理可以增強移動服務(wù)完成與安全通信相關(guān)的其他工作。
3.2WPKI在移動電子商務(wù)中的應(yīng)用模型
(1)基于WAP的應(yīng)用模型在基于WAP的應(yīng)用模型中，WPKI對安全協(xié)議的運行起到了關(guān)鍵的基礎(chǔ)性作用。基于WAP的應(yīng)用通常可以與WTLS(WirelessTransportLayerSecurity)結(jié)合來完成身份認證、加密、數(shù)字簽名等功能。(2)基于STK的短消息應(yīng)用模型STK(SIMcardToolKit)是一種小型編程語言，為一組開發(fā)增值業(yè)務(wù)的命令。STK卡屬于SIM卡的一種，與SIM卡不同的是，STK卡允許移動電話中的用戶身份識別模塊(SIM卡)運行自己的應(yīng)用軟件。STK卡具有很大的靈活性，只需要在用戶STK卡上開發(fā)并與服務(wù)器配合，就可以推出各種適合用戶需求的業(yè)務(wù)。在使用中通常把STK技術(shù)結(jié)合OTA(OverTheAir，空中下載)技術(shù)，實現(xiàn)隨時更新和升級STK卡中的應(yīng)用程序和各種業(yè)務(wù)。在本模型中，STK卡用來儲存數(shù)字證書和私有密鑰，同時可以用于信息的加解密、數(shù)字簽名、身份驗證等各種密碼計算。SMS(短消息)負責(zé)實現(xiàn)移動終端與服務(wù)器間的通信。本模型的實現(xiàn)也很簡單，只需將手機等移動終端中的SIM卡轉(zhuǎn)換成STK即可。基于STK的應(yīng)用模型可在移動銀行、移動小額支付、移動外匯買賣及移動理財秘書等領(lǐng)域應(yīng)用。(3)基于J2ME的應(yīng)用模型J2ME(JavaPlatform,MicroEdition)是SUN公司推出的專門用于移動網(wǎng)絡(luò)的編程語言，其繼承了JAVA的優(yōu)點，在移動應(yīng)用領(lǐng)域有非常廣闊的發(fā)展前景。開展移動電子商務(wù)需要的主要功能，J2ME模型都可以提供，以這些功能為基礎(chǔ)，然后以滿足應(yīng)用需求為目標，可以開發(fā)出滿足移動交易安全需求的WPKI應(yīng)用。J2ME以出自于SUN，以及與JAVA語言的關(guān)系，使得其安全性和網(wǎng)絡(luò)功能等特點日益受到人們的青睞，當前，越來越多的無線終端設(shè)備開始支持J2ME。J2ME模型是一種很有前景的模型，但其存在實現(xiàn)復(fù)雜，密碼算法的效率不高等問題。
4、結(jié)論
隨著移動互聯(lián)網(wǎng)和移動電子商務(wù)的迅猛發(fā)展，人們對其安全問題會越來越關(guān)注。基于WPKI的移動電子商務(wù)技術(shù)，是目前比較完善的且具有很大可行性的方案。WPKI技術(shù)結(jié)合WAP技術(shù)的解決方案，以其高安全性、高穩(wěn)定性及高可用性等特點，將是以后的發(fā)展方向，具有可預(yù)見性的美好未來。
