爱华网内容摘要：随着移动电子商务的发展，其安全问题倍受人们的关注。本文对移动电子商务技术的安全现状作了简要讨论，然后对IEEE 802.11标准、WAP技术、WPKI技术等从安全角度进行了分析，并针对不安全的因素提出了改进建议。
关键词：移动电子商务 IEEE 802.11 WAP WPKI
随着无线通信技术的发展，移动电子商务已经成为电子商务研究热点。移动电子商务是将现代信息科学技术和传统商务活动相结合，随时随地为用户提供各种个性化的、定制的在线动态商务服务。但在无线世界里，人们对于进行商务活动安全性的考虑比在有线环境中要多。只有当所有的用户确信，通过无线方式所进行的交易不会发生欺诈或篡改、进行的交易受到法律的承认和隐私信息被适当的保护时，移动电子商务才有可能蓬勃开展。
移动电子商务通信安全的现状 由于无线通讯接入方式非常灵活，所以其对安全的要求更高。实际上，主要的无线通信技术都有各自的措施、协议和方法来保证各自体制下的通信安全。这里我们将从无线网络和电子商务应用两个方面作简要讨论。无线局域网
无线局域网络是以无线连接至局域网络的通讯方式。它采用的是IEEE 802.11系列标准。在该标准中，无线局域网的安全机制采用的是WEP协议（有线对等安全协议)。在数据链路用WEP加密数据，保证了信道上传送数据的安全。另外，无线局域网的网络管理员分配给每个授权用户一个基于WEP算法的密钥，这样就有效阻止了非授权用户的访问。
WAP（无线应用协议）技术
WAP由一系列协议组成，用来标准化无线通信设备，例如：移动电话、移动终端；它负责将Internet和移动通信网连接到一起，客观上已成为移动终端上网的标准。WAP协议可以广泛地运用于GSM、CDMA、TDMA、3G等多种网络。
WAP的安全机制是通过WTLS(无线传输层安全)协议来实现的。WTLS协议类似于互联网传输层安全协议。在无线技术的有限的发送功率、存储容量及带宽的条件下，WTLS能够实现鉴定，保证数据的完整性和提供保密服务的目标。
数字认证技术
对诸如移动电子商务和有重要使命的合作通信等活动，其安全性的一个关键方面是能否对信息发送者的身份进行论证，通常都要利用有线安全的公开密钥基本构架(PKI)。
PKI提供与加密和数字证书有关的一系列技术。但在无线通信环境中，PKI是很难实现的。在只有有限计算能力和低数据流通率的设备上实现PKI中的服务一直是一个有挑战性的难题。同时在PKI的基础上，要将无线设备与有线设备之间进行互通也是有难度的。因此无线PKI(WPKI)协议是要将标准的PKI进行修正和简化，使其在无线通信的环境下达到最优。
移动电子商务安全分析 IEEE 802.11的安全IEEE 802. 11标准规定了MAC层的存取控制规范，也定义了加密机制，即上述的WEP。WEP的目的是通过对信息流加密并利用WEP认证节点，使无线通信传输像有线网络一样安全。
WEP加密使用共享密钥和RC4加密算法。访问点（AP）和连接到该访问点的所有工作站必须使用同样的共享密钥。对于往任一方向发送的数据包，传输程序都将数据包的内容与数据包的检验组合在一起。然后，WEP标准要求传输程序创建一个特定于数据包的初始化向量（IV），后者与密钥k相组合在一起，用于对数据包进行加密。接收器生成自己的匹配数据包密钥并用之对数据包进行解密。在理论上，这种方法优于单独使用共享私钥的显式策略，应该使对方更难于破解。
但是，IEEE802.11中用于安全的WEP算法只是提供相当于有线局域网基本安全的安全级别，根本不是一种全面的安全方案。越来越多的安全专家和研究人员发现IEEE802.11存在安全漏洞，有经验的黑客会利用这些漏洞进行攻击。其缺陷主要有：RC4算法本身就有一个小缺陷。WEP标准允许IV重复使用（平均大约每5小时重复一次）。WEP标准不提供自动修改密钥的方法。
最早的WEP实施只提供40位加密，这使得它抗暴力攻击能力差。现代的系统提供128位的WEP，128位的密钥长度减去24位的IV后，实际上有效的密钥长度为104位。尽管如此，128位的WEP版本也不能保证绝对安全。最好的解决办法是把无线网络放在机构防火墙之外，这种防范措施会强制要求将无线连接当作不受信任的连接来看待，就像看待其他任何来自Internet的连接一样。
所以， WEP应该与其他安全机制一起应用才能提供较强的安全。
WAP的安全
WAP规范的安全特性包括几个部分：WTLS协议、用于存储用户证书的WAP身份模块（WIM）和允许WAP交易签名的SignText功能。
WTLS协议：WTLS基于IETF小组的SSL/TLS协议，提供了实体鉴别、数据加密和保护数据完整性的功能，所以可以确保在WAP装置和WAP网关之间的安全通信。有三种不同级别的WTLS：
1级：执行未经证实的Diffie-Hellman密钥交换以建立会话密钥。
2级：使用与SSL/TLS协议相类似的公开密钥证书机制进行服务器端鉴别。
3级：客户端和服务器端采用X.509格式证书相互进行鉴别。
早期WAP装置仅仅采用了第1级别的WTLS，这种级别的安全不够，所以不能用于电子商务。目前，支持第2和第3级别WTLS的移动装置从市场上可以得到，它们可以确保网上银行交易和购物等应用的机密性。
WIM：为了便于客户端的鉴别，新一代的WAP电话提供了WIM。WIM包含了WTLS 3级的功能，并嵌入了对公开密钥加密技术的支持(RSA是强制的，而ECC是可选的)。生产厂家为WIM配备了两套公私密钥对(一套用于签名，另一套用于鉴别）和两个厂商的证书。用配置在WIM上的公匙把厂商的证书和厂商名字捆绑在一起。这样，通过WIM和WAP网关建立的所有WTLS会话都将使用相同的公匙用作初始会话。每一个会话都将包括与此密钥对应的一个不同的证书。WIM的基本要求是它们要具有抗篡改的能力。
SignText功能：这个功能为WAP用户提供了数字签名。同电子签名功能一样，这个功能可以被应用于其他无线设备，或者是手持设备，或者是内嵌SIM卡。
WAP的安全分析：由WAP提供的最好的安全是WTLS 3级，多数情况下WTLS已足以确保WAP的安全。但是，由于WAP网关在WAP设备和Web服务器之间起着翻译的作用，相应的带来了安全问题：WTLS安全会话建立在手机与WAP网关之间，而与终端服务器无关。这意味着数据只在WAP手机与网关之间加密，网关将数据解密后，利用其他方法将数据再次加密，然后经过TLS连接发送给终端服务器。由于WAP网关可以看见所有的数据明文，而该WAP网关可能并不为服务器所有者所拥有，这样，潜在的第三方可能获得所有的传输数据。
目前，针对上述安全性问题，可以采用这样的措施来提高WAP的安全性：尽力确保WAP网关的安全。如果WAP网关位于WAP服务供应商范围之内，可以通过诸如在内存中对加密和解密过程进行最优化以减少数据明文存在的时间、在释放前覆盖加密解密进程使用的内存以确保数据的安全性。对于安全要求较高的公司可以拥有自己的WAP网关，从而保障数据端到端的安全性。通过WIM实现数据安全性。
WPKI技术
在有线通信中，电子商务交易的一个重要安全保障是PKI。PKI的系统概念、安全操作流程、密钥、证书等同样也适用于解决移动电子商务交易的安全问题，但在应用PKI的同时要考虑到移动通信环境的特点，并据此对PKI技术进行改进。
WPKI技术满足移动电子商务安全的要求：即保密性、完整性、真实性、不可抵赖性，消除了用户在交易中的风险。WPKI技术主要包含以下几个方面：
认证机构(CA) CA系统是PKI的信任基础，负责分发和验证数字证书，规定证书的有效期，发布证书废除列表。
注册机构(RA) RA提供用户和CA之间的一个接口。作为认证机构的校验者，在数字证书分发给请求者之前对证书进行验证。
智能卡 智能卡将具有存储、加密及数据处理能力的集成电路芯片镶嵌于塑料基片中，具有体积小、难于破解等特点，在生产过程、访问控制方面有很强的安全保障。很多种需要客户端认证的应用都可以使用智能卡来实现。并且智能卡也是存储移动电子商务密钥及相关数字证书的最佳选择。
加密算法 加密算法越复杂，密钥越长则安全性越高，但执行运算所需的时间也越长（或需要计算能力更强的芯片）。所以，支持RSA算法的智能卡通常需要高性能的具有协处理器的芯片。而ECC使用较短的密钥就可以达到和RSA算法相同的加密强度。由于智能卡受CPU处理能力和RAM大小的限制，因而采用一种运算量小同时能提供高加密强度的公钥密码体制对在智能卡上实现数字签名应用是至关重要的，ECC在这方面具有很大的优势。
综上所述，在WPKI机制下，数字证书非常重要，但是由于无线信道和移动终端的限制，如何安全、便捷地交换用户的数字证书是WPKI所必须解决的问题。可以采用以下2种办法解决：WTLS证书，WTLS证书的功能与X.509证书相同，但更小、更简化，利于在资源受限的手持终端中处理。但所有证书必须含有与密钥交换算法相一致的密钥，除非特别指定，签名算法必须与证书中密钥的算法相同：移动证书标识，将标准的一个X.509证书与移动证书标识唯一对应，并且在移动终端中嵌入移动证书标识，用户每次只需要将自己的移动证书标识与签名数据一起提交给对方，对方再根据移动证书标识检索相应的数字证书即可。
目前，大多数移动电子商务采用的安全方式是非PKI的方式，这种方式主要采用对称加密算法和单向散列函数来提供安全服务，其密钥的管理是由移动运营商建立一套主密钥管理系统，为不同的服务提供商分配不同的密钥，每次交易过程中，服务提供商与用户协商产生会话加密密钥。显然，采用这种方式构建的系统的安全性主要取决于主密钥的安全。
尽管非PKI方式对于无线终端有限的处理能力来说尤其适合，而且通过黑名单管理等方法可以使系统的安全得到较好的保障，但是从长远来说，移动电子商务有必要逐步过渡到PKI方式。
移动电子商务随着移动互联网技术的成熟发展迅速，其独特的应用领域使得其安全问题倍受关注。从技术角度上看，一方面无线通信的安全处在不断地发展和完善之中，其应用到移动电子商务中时要与其它的安全机制相结合才能满足实际应用的需要；另一方面有线电子商务的安全技术不能解决移动电子商务的安全问题，所以WPKI技术是一个现实的选择。因此，将这两方面进行改进并进行有机整合，才能营造一个安全的移动电子商务环境。
