移動(dòng)電子商務(wù)范文

移動(dòng)電子商務(wù)范文移動(dòng)電子商務(wù)范文

移動(dòng)電子商務(wù)范文第1篇

隨著無線通信技術(shù)的進(jìn)展,移動(dòng)電子商務(wù)已經(jīng)成為電子商務(wù)討論熱點(diǎn)。移動(dòng)電子商務(wù)是將現(xiàn)代信息科學(xué)技術(shù)和傳統(tǒng)商務(wù)活動(dòng)相結(jié)合,隨時(shí)隨地為用戶供應(yīng)各種共性化的、定制的在線動(dòng)態(tài)商務(wù)服務(wù)。

但在無線世界里,人們對于進(jìn)行商務(wù)活動(dòng)平安性的考慮比在有線環(huán)境中要多。隨著移動(dòng)電子商務(wù)的進(jìn)展,其平安問題倍受人們的關(guān)注。只有當(dāng)全部的用戶確信,通過無線方式所進(jìn)行的交易不會發(fā)生欺詐或篡改、進(jìn)行的交易受到法律的承認(rèn)和隱私信息被適當(dāng)?shù)膼圩o(hù)時(shí),移動(dòng)電子商務(wù)才有可能蓬勃開展。

移動(dòng)電子商務(wù)通信平安的現(xiàn)狀

由于無線通訊接入方式特別敏捷,所以其對平安的要求更高。實(shí)際上,主要的無線通信技術(shù)都有各自的措施、協(xié)議和方法來保證各自體制下的通信平安。這里我們將從無線網(wǎng)絡(luò)和電子商務(wù)應(yīng)用兩個(gè)方面作簡要爭論。

無線局域網(wǎng)

無線局域網(wǎng)絡(luò)是以無線連接至局域網(wǎng)絡(luò)的通訊方式。它采納的是IEEE802.11系列標(biāo)準(zhǔn)。在該標(biāo)準(zhǔn)中,無線局域網(wǎng)的平安機(jī)制采納的是WEP協(xié)議(有線對等平安協(xié)議)。在數(shù)據(jù)鏈路用WEP加密數(shù)據(jù),保證了信道上傳送數(shù)據(jù)的平安。另外,無線局域網(wǎng)的網(wǎng)絡(luò)管理員安排給每個(gè)授權(quán)用戶一個(gè)基于WEP算法的密鑰,這樣就有效阻擋了非授權(quán)用戶的訪問。

WAP(無線應(yīng)用協(xié)議)技術(shù)

WAP由一系列協(xié)議組成,用來標(biāo)準(zhǔn)化無線通信設(shè)備,例如:移動(dòng)電話、移動(dòng)終端;它負(fù)責(zé)將Internet和移動(dòng)通信網(wǎng)連接到一起,客觀上已成為移動(dòng)終端上網(wǎng)的標(biāo)準(zhǔn)。WAP協(xié)議可以廣泛地運(yùn)用于GSM、CDMA、TDMA、3G等多種網(wǎng)絡(luò)。

WAP的平安機(jī)制是通過WTLS(無線傳輸層平安)協(xié)議來實(shí)現(xiàn)的。WTLS協(xié)議類似于互聯(lián)網(wǎng)傳輸層平安協(xié)議。在無線技術(shù)的有限的發(fā)送功率、存儲容量及帶寬的條件下,WTLS能夠?qū)崿F(xiàn)鑒定,保證數(shù)據(jù)的完整性和供應(yīng)保密服務(wù)的目標(biāo)。

數(shù)字認(rèn)證技術(shù)

對諸如移動(dòng)電子商務(wù)和有重要使命的合作通信等活動(dòng),其平安性的一個(gè)關(guān)鍵方面是能否對信息發(fā)送者的身份進(jìn)行論證,通常都要利用有線平安的公開密鑰基本構(gòu)架(PKI)。

PKI供應(yīng)與加密和數(shù)字證書有關(guān)的一系列技術(shù)。但在無線通信環(huán)境中,PKI是很難實(shí)現(xiàn)的。在只有有限計(jì)算力量和低數(shù)據(jù)流通率的設(shè)備上實(shí)現(xiàn)PKI中的服務(wù)始終是一個(gè)有挑戰(zhàn)性的難題。同時(shí)在PKI的基礎(chǔ)上,要將無線設(shè)備與有線設(shè)備之間進(jìn)行互通也是有難度的。因此無線PKI(WPKI)協(xié)議是要將標(biāo)準(zhǔn)的PKI進(jìn)行修正和簡化,使其在無線通信的環(huán)境下達(dá)到最優(yōu)。

移動(dòng)電子商務(wù)平安分析

IEEE802.11的平安

IEEE802.11標(biāo)準(zhǔn)規(guī)定了MAC層的存取掌握規(guī)范,也定義了加密機(jī)制,即上述的WEP。WEP的目的是通過對信息流加密并利用WEP認(rèn)證節(jié)點(diǎn),使無線通信傳輸像有線網(wǎng)絡(luò)一樣平安。

WEP加密使用共享密鑰和RC4加密算法。訪問點(diǎn)(AP)和連接到該訪問點(diǎn)的全部工作站必需使用同樣的共享密鑰。對于往任一方向發(fā)送的數(shù)據(jù)包,傳輸程序都將數(shù)據(jù)包的內(nèi)容與數(shù)據(jù)包的檢驗(yàn)組合在一起。然后,WEP標(biāo)準(zhǔn)要求傳輸程序創(chuàng)建一個(gè)特定于數(shù)據(jù)包的初始化向量(IV),后者與密鑰k相組合在一起,用于對數(shù)據(jù)包進(jìn)行加密。接收器生成自己的匹配數(shù)據(jù)包密鑰并用之對數(shù)據(jù)包進(jìn)行解密。在理論上,這種方法優(yōu)于單獨(dú)使用共享私鑰的顯式策略,應(yīng)當(dāng)使對方更難于破解。

但是,IEEE802.11中用于平安的WEP算法只是供應(yīng)相當(dāng)于有線局域網(wǎng)基本平安的平安級別,根本不是一種全面的平安方案。越來越多的平安專家和討論人員發(fā)覺IEEE802.11存在平安漏洞,有閱歷的黑客會利用這些漏洞進(jìn)行攻擊。其缺陷主要有:RC4算法本身就有一個(gè)小缺陷。WEP標(biāo)準(zhǔn)允許IV重復(fù)使用(平均大約每5小時(shí)重復(fù)一次)。WEP標(biāo)準(zhǔn)不供應(yīng)自動(dòng)修改密鑰的方法。

最早的WEP實(shí)施只供應(yīng)40位加密,這使得它抗暴力攻擊力量差?，F(xiàn)代的系統(tǒng)供應(yīng)128位的WEP,128位的密鑰長度減去24位的IV后,實(shí)際上有效的密鑰長度為104位。盡管如此,128位的WEP版本也不能保證肯定平安。最好的解決方法是把無線網(wǎng)絡(luò)放在機(jī)構(gòu)防火墻之外,這種防范措施會強(qiáng)制要求將無線連接當(dāng)作不受信任的連接來看待,就像看待其他任何來自Internet的連接一樣。

所以,WEP應(yīng)當(dāng)與其他平安機(jī)制一起應(yīng)用才能供應(yīng)較強(qiáng)的平安。

WAP的平安

WAP規(guī)范的平安特性包括幾個(gè)部分:WTLS協(xié)議、用于存儲用戶證書的WAP身份模塊(WIM)和允許WAP交易簽名的SignText功能。

WTLS協(xié)議:WTLS基于IETF小組的SSL/TLS協(xié)議,供應(yīng)了實(shí)體鑒別、數(shù)據(jù)加密和愛護(hù)數(shù)據(jù)完整性的功能,所以可以確保在WAP裝置和WAP網(wǎng)關(guān)之間的平安通信。有三種不同級別的WTLS:

1級:執(zhí)行未經(jīng)證明的Diffie-Hellman密鑰交換以建立會話密鑰。

2級:使用與SSL/TLS協(xié)議相類似的公開密鑰證書機(jī)制進(jìn)行服務(wù)器端鑒別。

3級:客戶端和服務(wù)器端采納X.509格式證書相互進(jìn)行鑒別。

早期WAP裝置僅僅采納了第1級別的WTLS,這種級別的平安不夠,所以不能用于電子商務(wù)。目前,支持第2和第3級別WTLS的移動(dòng)裝置從市場上可以得到,它們可以確保網(wǎng)上銀行交易和購物等應(yīng)用的機(jī)密性。

WIM:為了便于客戶端的鑒別,新一代的WAP電話供應(yīng)了WIM。WIM包含了WTLS3級的功能,并嵌入了對公開密鑰加密技術(shù)的支持(RSA是強(qiáng)制的,而ECC是可選的)。生產(chǎn)廠家為WIM配備了兩套公私密鑰對(一套用于簽名,另一套用于鑒別)和兩個(gè)廠商的證書。用配置在WIM上的公匙把廠商的證書和廠商名字捆綁在一起。這樣,通過WIM和WAP網(wǎng)關(guān)建立的全部WTLS會話都將使用相同的公匙用作初始會話。每一個(gè)會話都將包括與此密鑰對應(yīng)的一個(gè)不同的證書。WIM的基本要求是它們要具有抗篡改的力量。

SignText功能:這個(gè)功能為WAP用戶供應(yīng)了數(shù)字簽名。同電子簽名功能一樣,這個(gè)功能可以被應(yīng)用于其他無線設(shè)備,或者是手持設(shè)備,或者是內(nèi)嵌SIM卡。

WAP的平安分析:由WAP供應(yīng)的最好的平安是WTLS3級,多數(shù)狀況下WTLS已足以確保WAP的平安。但是,由于WAP網(wǎng)關(guān)在WAP設(shè)備和Web服務(wù)器之間起著翻譯的作用,相應(yīng)的帶來了平安問題:WTLS平安會話建立在手機(jī)與WAP網(wǎng)關(guān)之間,而與終端服務(wù)器無關(guān)。這意味著數(shù)據(jù)只在WAP手機(jī)與網(wǎng)關(guān)之間加密,網(wǎng)關(guān)將數(shù)據(jù)解密后,利用其他方法將數(shù)據(jù)再次加密,然后經(jīng)過TLS連接發(fā)送給終端服務(wù)器。由于WAP網(wǎng)關(guān)可以觀察全部的數(shù)據(jù)明文,而該WAP網(wǎng)關(guān)可能并不為服務(wù)器全部者所擁有,這樣,潛在的第三方可能獲得全部的傳輸數(shù)據(jù)。

目前,針對上述平安性問題,可以采納這樣的措施來提高WAP的平安性:盡力確保WAP網(wǎng)關(guān)的平安。假如WAP網(wǎng)關(guān)位于WAP服務(wù)供應(yīng)商范圍之內(nèi),可以通過諸如在內(nèi)存中對加密和解密過程進(jìn)行最優(yōu)化以削減數(shù)據(jù)明文存在的時(shí)間、在釋放前掩蓋加密解密進(jìn)程使用的內(nèi)存以確保數(shù)據(jù)的平安性。對于平安要求較高的公司可以擁有自己的WAP網(wǎng)關(guān),從而保障數(shù)據(jù)端到端的平安性。通過WIM實(shí)現(xiàn)數(shù)據(jù)平安性。

WPKI技術(shù)

在有線通信中,電子商務(wù)交易的一個(gè)重要平安保障是PKI。PKI的系統(tǒng)概念、平安操作流程、密鑰、證書等同樣也適用于解決移動(dòng)電子商務(wù)交易的平安問題,但在應(yīng)用PKI的同時(shí)要考慮到移動(dòng)通信環(huán)境的特點(diǎn),并據(jù)此對PKI技術(shù)進(jìn)行改進(jìn)。

WPKI技術(shù)滿意移動(dòng)電子商務(wù)平安的要求:即保密性、完整性、真實(shí)性、不行抵賴性,消退了用戶在交易中的風(fēng)險(xiǎn)。WPKI技術(shù)主要包含以下幾個(gè)方面:

認(rèn)證機(jī)構(gòu)(CA)CA系統(tǒng)是PKI的信任基礎(chǔ),負(fù)責(zé)分發(fā)和驗(yàn)證數(shù)字證書,規(guī)定證書的有效期,證書廢除列表。

注冊機(jī)構(gòu)(RA)RA供應(yīng)用戶和CA之間的一個(gè)接口。作為認(rèn)證機(jī)構(gòu)的校驗(yàn)者,在數(shù)字證書分發(fā)給懇求者之前對證書進(jìn)行驗(yàn)證。

智能卡智能卡將具有存儲、加密及數(shù)據(jù)處理力量的集成電路芯片鑲嵌于塑料基片中,具有體積小、難于破解等特點(diǎn),在生產(chǎn)過程、訪問掌握方面有很強(qiáng)的平安保障。許多種需要客戶端認(rèn)證的應(yīng)用都可以使用智能卡來實(shí)現(xiàn)。并且智能卡也是存儲移動(dòng)電子商務(wù)密鑰及相關(guān)數(shù)字證書的最佳選擇。

加密算法加密算法越簡單,密鑰越長則平安性越高,但執(zhí)行運(yùn)算所需的時(shí)間也越長(或需要計(jì)算力量更強(qiáng)的芯片)。所以,支持RSA算法的智能卡通常需要高性能的具有協(xié)處理器的芯片。而ECC使用較短的密鑰就可以達(dá)到和RSA算法相同的加密強(qiáng)度。由于智能卡受CPU處理力量和RAM大小的限制,因而采納一種運(yùn)算量小同時(shí)能供應(yīng)高加密強(qiáng)度的公鑰密碼體制對在智能卡上實(shí)現(xiàn)數(shù)字簽名應(yīng)用是至關(guān)重要的,ECC在這方面具有很大的優(yōu)勢。

綜上所述,在WPKI機(jī)制下,數(shù)字證書特別重要,但是由于無線信道和移動(dòng)終端的限制,如何平安、便捷地交換用戶的數(shù)字證書是WPKI所必需解決的問題?？梢圆杉{以下2種方法解決:WTLS證書,WTLS證書的功能與X.509證書相同,但更小、更簡化,利于在資源受限的手持終端中處理。但全部證書必需含有與密鑰交換算法相全都的密鑰,除非特殊指定,簽名算法必需與證書中密鑰的算法相同:移動(dòng)證書標(biāo)識,將標(biāo)準(zhǔn)的一個(gè)X.509證書與移動(dòng)證書標(biāo)識唯一對應(yīng),并且在移動(dòng)終端中嵌入移動(dòng)證書標(biāo)識,用戶每次只需要將自己的移動(dòng)證書標(biāo)識與簽名數(shù)據(jù)一起提交給對方,對方再依據(jù)移動(dòng)證書標(biāo)識檢索相應(yīng)的數(shù)字證書即可。

目前,大多數(shù)移動(dòng)電子商務(wù)采納的平安方式是非PKI的方式,這種方式主要采納對稱加密算法和單向散列函數(shù)來供應(yīng)平安服務(wù),其密鑰的管理是由移動(dòng)運(yùn)營商建立一套主密鑰管理系統(tǒng),為不同的服務(wù)供應(yīng)商安排不同的密鑰,每次交易過程中,服務(wù)供應(yīng)商與用戶協(xié)商產(chǎn)生會話加密密鑰。明顯,采納這種方式構(gòu)建的系統(tǒng)的平安性主要取決于主密鑰的平安。

盡管非PKI方式對于無線終端有限的處理力量來說尤其適合,而且通過黑名單管理等方法可以使系統(tǒng)的平安得到較好的保障,但是從長遠(yuǎn)來說,移動(dòng)電子商務(wù)有必要逐