第 14 章移动商务安全

第 14 章移动商务安全学习目标

1. 了解移动商务面临的安全威胁以及安全需求

2. 掌握 WAP 的安全体系和相关技术

3. 掌握基于 WPKI 的移动商务安全的相关知识

4. 了解移动支付的安全标准及应用协议

电子商务安全本章小结

复习思考题

移动支付应用协议移动支付标准

移动支付安全的基本要求

移动支付的安全移动支付概况

WPKI 的组成WPKI 的提出

基于 WPKI 的移动商务安全

WAP 的安全架构体系WAP2.0 的安全性

WAP 简介WAP 的安全

移动商务安全现状

移动商务的安全需求移动商务隐私问题

移动商务面临的安全威胁移动商务的概念及发展

::Contents::移动商务安全概述

第 14 章移动商务安全


复习思考题











::Contents::移动商务安全概述 14.1 移动商务安全概述

14.1.1 移动商务的概念及发展由于手机、掌上电脑、 PDA （个人数字助理）等移动设备移动设备本身尺寸较小，容易随身携带，人们几乎可以在任何时间、任何地点与任何人进行通话、发送短信，还可以移动上网、移动办公、移动付费、移动游戏、移动聊天、移动定位等。显然，这种新型的沟通和商务模式与传统基于互联网的电子商务模式有所不同。为区别于传统基于互联网的电子商务，人们称这种新型的商务模式为移动商务。



复习思考题











::Contents::移动商务安全概述 14.1.2 移动商务面临的安全威胁

移动商务面临的安全威胁

1. 无线窃听

2. 假冒攻击

3. 信息篡改

4. 服务后抵赖

5. 病毒攻击

6. 拒绝服务等



复习思考题











::Contents::移动商务安全概述 14.1.3 移动商务的安全需求

解决移动商务的安全问题与解决互联网电子商务的安全问题类似，就是要解决下面这些方面的问题：认证（ authentication ）、鉴定（ identification ）、授权（ authorization ）、信任第三方（ trusted third party ）、完整性（ integrity ）、机密性（ confidentiality ）、不可否认性（ non-repudiation ）、资源控制（ resource control ）、数字证书（ digital certificate ）等。



复习思考题











::Contents::移动商务安全概述 14.1.4 移动商务隐私问题

人们普遍都比较担心通过互联网来提供个人电话、地址、信用卡号码等涉及个人隐私的信息，而电子商务要想得以进行和顺利发展就必须要用户通过网络来提供这些信息。移动商务作为电子商务的延续和拓展也同样需要这样的条件才能得以发展，而且由于移动商务的一些独特的特性，隐私问题比传统的电子商务更加显得突出。



复习思考题











::Contents::移动商务安全概述 14.1.5 移动商务安全现状

1 ）国内还没有一部针对移动商务的法律法规。2 ）移动商务虽已逐步开展，但是信用问题仍然悬而未决。3 ）移动商务的安全还受技术发展的制约。因此，减少移动终端的处理和存储负担，降低交易信息的传输量和保障交易安全是移动商务研究中急需解决的问题。



复习思考题












14.2 WAP 的安全

14.2.1 WAP 简介

WAP 是英文“ wireless application protocol” 的缩写，是“无线应用协议”之意。它由一系列协议组成，用来标准化无线通信设备，例如，移动电话、移动终端；它负责将互联网和移动通信网连接到一起，客观上已成为移动终端上网的标准。 WAP将移动网络和互联网以及 Intranet紧密地联系起来，提供一种与网络种类、承运商和终端设备都无关的移动增值业务。移动用户可以像使用他们的台式计算机访问信息一样，用他们的移动设备访问互联网，从而在移动中随时随地在手机屏幕上浏览互联网上的内容，诸如收发电子邮件，查询数据、浏览财经信息等。



复习思考题











::Contents::移动商务安全概述 14.2.2 WAP 的安全架构体系

WAP 安全构架由WTLS （ wireless transport layer security - 无线传输层安全）、 WIM（ wireless identification module - 无线身份识别模块）、 WMLScript （ wireless markup language script - 无线标记语言脚本）和 WPKI （ wireless public key infrastructure - 无线公钥基础设施）四部分组成，各个部分在实现无线网络应用的安全中起着不同的作用。



复习思考题











::Contents::移动商务安全概述 14.2.3 WAP2.0 的安全性

图 14—4 经过代理的 WAP2.0结构图



复习思考题











::Contents::移动商务安全概述 14.3 基于 WPKI 的移动商务安全

14.3.1 WPKI 的提出

在无线通信环境中，由于无线网络设备的存储容量有限，处理速度慢，带宽低，决定了它不能像有线网络那样依靠高强度的密钥及算法来保证安全性。 WPKI 就是为满足无线通信安全需求，针对无线通信环境的特点，在有线 PKI 基础上进行了优化拓展，有效地实现了移动商务密钥和证书管理、加密等的一系列策略与过程。它可应用于手机等无线装置，为用户提供身份认证、访问控制和授权、传输机密性和完整性、不可否认性等安全服务。随着无线网络技术的发展和 WPKI 标准的不断完善，WPKI将被广泛应用于无线网络中各种安全通信服务领域。 WPKI 以 WAP 的安全机制为基础，从传统的 PKI 中发展而来。 WPKI 与 PKI 一样都是通过管理密钥和证书来执行移动商务策略。 WPKI主要解决管理移动商务的策略问题，并为无线应用环境提供安全服务。 WPKI 的优化主要包括对证书格式进行了简化，从而减少存储容量。另外WPKI采用了一种新的椭圆曲线加密 ECC （ elliptic curve cryptography ）算法，而非传统的 RSA算法，这就可以大大提高运算效率，并在相同的安全强度下减少密钥的长度。由于 WPKI 证书格式是 PKIX 证书的子集，所以可以在标准 PKI 中保持互操作性。



复习思考题











::Contents::移动商务安全概述 14.3.2 WPKI 的组成



复习思考题











::Contents::移动商务安全概述 14.4 移动支付的安全

14.4.1 移动支付概况

目前，使用手机进行移动支付已经在很多领域开展，由于移动支付有使用方便、支付及时、手机终端私人性强等优势，因此具有广阔的应用和发展空间。 2004 年 8月，中国移动和中国银联联合各大国有及股份制银行共同推出通过手机管理银行账户的手机钱包业务，由北京联动优势科技有限公司提供运营支持。 2004 年 12月，中国联通与中国建设银行以“ e路通”电子银行平台为依托，推出了基于 CDMA1X 网络和BREW 技术的手机银行服务。到 2005年，国内移动支付用户就已经达到 1 850万。 2006 年 2月，中国银监会颁布了《电子银行业务管理办法》和《电子银行安全评估指引》，首次将手机银行业务纳入监管体系，有助于规范手机银行行业，减小金融风险，保障消费者的合法权益，同时也确保金融机构在手机支付、手机银行产业链上处于核心地位。当前，移动支付及移动商务是传统电子支付、电子商务模式的有益补充，在国内总体上还处于初级阶段，在许多方面还需要与其他电子支付及电子商务模式相结合。移动支付拥有良好的市场前景，被视为 3G 时代的重要应用，其发展潜力将超过电子商务。



复习思考题











::Contents::移动商务安全概述 14.4.2 移动支付安全的基本要求

1 ）移动支付面临的风险（ l ）交易者身份被冒用。（ 2 ）交易资料（如付款卡或账号等私人资料）的传输被窃取或修改。（ 3 ）交易者否认曾经进行过的交易。2 ）安全移动交易系统特征（ l ）交易双方身份的认证。（ 2 ）资料信息的私密性。（ 3 ）资料信息的一致性、完整性。（ 4 ）不可否认性。安全性、经济性、隐私性、方便性是影响移动电子商务发展的重要因素。



复习思考题











::Contents::移动商务安全概述 14.4.3 移动支付标准

目前出现的移动付款的标准化组织中最重要的 3个是：全球移动商务兼容性小组（ global mobile commerce interoperability group ， GMCIG ）、移动电子交易小组（ mobile electronic transaction ， MET ）和Mobey论坛。其中 MET 已经加入了 GMCIG ，参与制定兼容性标准。 Mobey论坛形成于2000 年 5月，旨在鼓励人们使用移动付款、处理金融机构提供的银行业务和无线证券交易。金融机构和手机厂商都可以成为 Mobey 的成员。为这些组织提供资金支持的机构有爱立信、摩托罗拉、诺基亚、德意志银行和 Visa 等公司。



复习思考题











::Contents::移动商务安全概述 14.4.4 移动支付应用协议

在电子交易过程中，支付网关承担着重要的作用，通常的网上交易的流程一般包括如下几个步骤：消费者向商户发送购物请求；商户把消费者的支付指令通过支付网关送往商户收单行；收单行通过银行卡网络从发卡行（消费者开户行）取得授权后，把授权信息通过支付网关送回商户；商户取得授权后，向消费者发送购物回应消息。如果支付获取与支付授权并非同时完成的话，商户还要通过支付网关向收单行发送支付获取请求，以将该笔交易的金额转到商户账户中。整个交易过程中包括两个基本环节：即交易环节和支付结算环节。



复习思考题












支付网关是连接银行专用网络和互联网的一组服务器，是金融专用网与公用网之间的接口。它提供了客户、商家和金融计算机网络之间的通信和协议转换，完成客户支付授权与授权取消、转账与转账取消、交易退款与退款取消等请求。支付网关的主要功能有：将互联网传来的数据包解密；对客户与商家的验证，对支付信息中客户账号的有效性验证，对商家签名认证，对密码 Hash函数进行计算和校验；按照金融系统内部的通信协议（ ISO-8583或特定格式）将数据重新打包，对进入支付网关的信息各字段进行有效性验证，然后上送到金融系统业务主机；接收金融系统返回的响应信息，并对其进行加密后，返回到客户和商户；存储和管理用于解密支付信息和应答签名的私有密钥；提供商户管理、交易管理、业务统计等功能。

14.4.4 移动支付应用协议



复习思考题











::Contents::移动商务安全概述本章小结

本章向读者介绍了电子商务的新型模式——移动商务领域的安全问题。移动商务采用移动通信，而移动通信必须采用无线方式，它在赋予用户通信自由的同时也给移动商务带来一些不安全因素。面对移动商务领域新出现的安全威胁，也出现了相应的技术来保障移动商务的安全。本章介绍了移动商务领域常见的基于 WAP 的安全体系和相关技术以及基于 WPKI 的移动商务安全的相关知识。最后讲述了移动支付相关的内容，包括移动支付的安全标准及应用协议等。



复习思考题











::Contents::移动商务安全概述复习思考题

1. 移动商务有哪些特点？和传统的电子商务比较有哪些区别？2. 移动商务面临哪些安全威胁，又有哪些安全需求？ 3.WAP 安全构架包括哪几个部分，每个部分各起到什么作用？



复习思考题











::Contents::移动商务安全概述技能实训题

1.请从技术上和应用方面比较 WPKI与 PKI 的主要区别。2.图示并说明GMCIG 的移动付款模型？



复习思考题












希望本章的内容对您有所帮助，谢谢。

Documents

第 14 章 移 动 商 务 安 全

第 14 章移动商务安全