无线上网中与安全电子支付.docVIP

无线上网中的安全电子支付 作者： 孙琛 2003-8-26 　 摘要：随着WAP协议的出现，人们现在可以方便的使用手机浏览Internet 的内容。但是无线上网所带来的不仅于此，它可以给人们提供一种新的，更加便捷，使用范围更加广泛的电子支付手段，从而使更多的人，在更广阔的范围内，用更灵活的方式进行电子商务活动。本文将对无线上网环境中安全问题，交易双方认证，信息的保密，以及在这个特殊的环境下做到安全电子支付所需要的技术做进一步的分析，从而提出在无线环境下的可行的安全电子支付模式。一、前言在这篇文章中，我们先对无线上网的运行模式做一个介绍，然后对在这种模式下如何解决系统的安全性问题分为几个方面进行讨论。最后谈一谈手机上网的安全性的一个重要的部分SIM卡。二、无线上网的运行模式用户使用手机浏览网页内容的具体过程如下：· 用户设置手机的ISP号码和网关地址· 用户打开WAP连接· 手机根据用户设置的ISP号码拨打网络服务电话· ISP根据用户设置的网关地址，将用户的UDP包转发给Gateway· Gateway在收到手机发送的UPD包之后进行协议转化。将WAP协议转化为HTTP请求，发送给网络服务器· 网络服务器将WML页面返回给Gateway· Gateway 再将收到的数据转换为WAP协议包的形式转发给ISP· ISP将内容传送给手机· 手机将WML页面显示给在线用户三、无线上网协议无线上网协议是一个分层结构，分为：WDP（无连接协议），WTP（提供了连接管理功能），WTLS（在WDP层之上，WTP层之下，提供了网络安全管理的功能），和高层协议。其中与安全支付相关的是WTLS层。WTLS协议类似于SSL协议，但是与SSL协议不同的是它是建立在WDP之上，所以WTLS协议必须自己实现连接管理（包括帧得重发，排序等）。WTLS协议提供几种不同的安全级别（1通信双方不认证，2只认证Server，3双方互相认证），它的认证是在握手协议中完成的，握手协议除了认证通信的双方之外，还对双方的加密算法，加密初始化信息进行协商。WTLS协议自身也是分层的，它分为 Record Layer , 和高层协议（Change Cipher spec, Handshake Protocol , Alert Protocol , Application Data protocol）。Record Layer 对高层协议的数据进行加密，压缩，计算MAC之后，将得到的结果通过网络传送给通信的另一端。同时将接收到的数据进行解密，解压，完整性检查后传送给高层。WTLS高层协议建立在Record layer之上，完成对传输参数的协商。WTLS协议最核心的内容是握手协议，握手协议主要流程如下图所示：由上图可见握手协议主要是一个通信双方彼此进行认证，协商加密算法，交换加密初始化信息的过程。在握手协议完成之后，通信双方就建立了一条安全的通道。无线上网的安全协议可以保证从用户手机到Gateway之间数据的安全传输。四、通信双方的认证在进行电子商务活动的最初，必须先进行交易双方的身份认证。认证的方式有几种：1、基于Shared Secret 方式的身份认证基于Shared Secret 方式的身份认证必须在交易之前通过某种安全的途径使得交易双方能得到统一的密钥。然后双方产生一些随机的信息，根据这些信息产生过程密钥。整个身份认证，和交易都是在这些过程密钥的保护下完成的。由于在无线上网中的用户很多，如果所有的用户都使用统一的密钥，这样，如果有一个用户的密钥被泄漏，整个系统的安全就将受到威胁。解决这个问题的方法就是将用户的密钥进行分散。分散是在系统的主密钥的保护下进行的。因为每一个用户的ID号都不同，所以用系统主密钥对用户ID号进行分散后得到的每一个用户的密钥也不相同。基于Shared Secret 方式的身份认证的实质就是对商家是否持有系统主密钥，用户是否持有用户密钥的认证。这种认证的方式必须假定如果持有密钥就是一个合法的用户。这样就带来下面的问题：A) 密钥发放过程必须十分的安全B) 必须建立统一的黑名单管理机制2、基于PKI的身份认证体系基于公开密钥的身份认证体制其本质就实现找到一个交易双方都信任的CA,然后根据信任链，一层层的确认交易双方的身份。交易双方的身份是通过证书来保存和发放的。· 证书结构· 认证过程当通信的一方要进行认证时，先得到对方的证书。首先看证书的CA是否在自己的信任链中。如果在 则验证CA对对方公钥的签名。如果不在，则从对方的信任链中找到一个最近的，自己也信任的CA，然后通过信任链一层层的验证下一层CA，最后通过CA验证对方的签名。3、两种认证方式的比较基于Sha