移动商务的安全管理剖析.ppt

第10章 移动电子商务的安全管理 移动电子商务安全概述 移动电子商务主要提供的服务有：PIM（个人信息服务）、银行业务、交易、购物等其他行业。 移动电子商务融合了移动通信网络和互联网络而实现，在 终端上与传统电子商务也有很大的区别，因此移动电子商 务的安全既包括了传统Internet电子商务系统的安全问 题，也包括信息在移动通信网络中传输的安全风险和移动 终端本身的安全。 数字签名的作用 若数字签名可用签名者的公开密钥正确地解开，则表示该数字签名是由签名者所产生的； 两者的信息摘要相同表示文件没有被他人篡改过。 数字证书(Digital ID)又叫“网络身份证”、“数字身份证”，其主要内容: 由认证中心发放并经认证中心数字签名的； 包含公开密钥拥有者以及公开密钥相关信息的一种电子文件； 可以用来证明数字证书持有者的真实身份; 是PKI体系中最基本的元素； 证书是一个机构颁发给个体的证明，所以证书的权威性取决于该机构的权威性。 数字证书的作用 思考题 移动电子商务的安全需求是什么？ 分析移动电子商务的安全性能。 从安全角度分析移动商务的安全措施。 举例说明，移动电子商务安全的发展趋势及其存在的问题。 10.2 移动电子商务安全问题 2.管理上面临的主要问题 （5）信息安全管理的标准化问题 目前移动电子商务产业刚刚起步，这个领域还没有国际标准，我国也没有自己的国家标准和统一管理机构。 设备厂商在无线局域网设备安全性能的实现方式上各行其道，使得移动用户既不能获得真正等效于有线互联网的安全保证，也难以在保证通讯安全的基础上实现互通互联和信息共享。由于没有安全标准的评测依据，又缺乏有关信息安全的管理法规，主管部门很难对信息安全标准做出规范要求，这也为移动电子商务信息安全的审查和管理工作带来了很大困难。 10.3 移动电子商务安全解决方案 1.基于WAP的安全解决方案 （1）方案的实现目标 具有身份认证功能，确保Web服务器能够确认消息的来源，使移动终端与Web服务器之间能够互相确认对方的真实身份，防止不法入侵者伪装成他人进行欺骗。 确保数据的必威体育官网网址性，用安全会话密钥进行数据的加解密操作，确保只有信息的发送者和预定的接收者能看到信息，保证用户的帐号、密码以及其他的个人机密信息不会被泄露。 能识别数据的完整性，保证接收方能够判断数据在传输过程中是否被修改，防止不法入侵者利用虚假信息替代合法信息或者肆意篡改信息。 (2) WAP的安全结构体系 10.3 移动电子商务安全解决方案 1.基于WAP的安全解决方案 基于WAP的安全架构模型 主要安全参与实体 网络安全协议平台 安全基础设施平台 （3） WAP应用模型的安全风险分析 10.3 移动电子商务安全解决方案 1.基于WAP的安全解决方案 WAP的安全会话模式 第一阶段：确保了必威体育官网网址性、完整性和服务器认证 第二阶段：WAP网关与移动用户之间的安全通信使用WTLS协议 (4) 现有的端到端安全模型 10.3 移动电子商务安全解决方案 1.基于WAP的安全解决方案 端到端安全模型——WAP服务器模型 该模型将WAP网关安置在Web服务器端，使WAP网关作为最终服务器的一部分，而不是整个过程中的一个环节，这样做使数据在移动终端到服务器端的传输过程中一直处于WTLS加密状态。当数据被安全传送至服务器端之后，WAP网关将数据解密出来直接提交给服务器操作，从而在数据通道上避免了协议转换的过程，实现了端到端的安全。 10.3 移动电子商务安全解决方案 1.基于WAP的安全解决方案 端到端安全模型——透明网关模型 (4) 现有的端到端安全模型 该模型中，WAP网关接收加密的WTLS数据流后，让其直接到达浏览器一方如图所示。 在这种情况下，当网关检测到WTLS数据流时，WAP网关只完成数据的格式转换，而不对数据进行解密处理，只有当数据到达应用提供商一方才进行解密、验证签名等工作。在整个处理过程中，攻击者所能得到的只是密文和数字签名，因而保证了移动电子商务的安全性。 10.3 移动电子商务安全解决方案 1.基于WAP的安全解决方案 (4) 现有的端到端安全模型 端到端安全模型——WTLS隧道（Tunneling）模型 在该模型中，移动终端对要发送的数据应用WTLS加密，网关收到加密消息后，不进行解密而用直接TLS对WTLS加密消息进行再次加密，然后发送给Web服务器。服务器收到消息后，先进行对应网关的TLS的解密，然后进行对应移动终端的WTLS解密。 反之，当数据从服务器端发送到移动终端时，也需要两次加密，先进行WTLS加密，再进行TLS加密。这样在网关出，进行TLS解密，然后传送给移动终端。移动终端接收到的数据是WTLS加密的，这样数据在WAP网关处不再以明文出现，实现了端到端的安全。