移动支付技术概论.pptVIP

* 8.4.1移动终端的安全隐患 移动支付中的终端设备主要包括个人数字助理(PDA)、智能手机(Smart Phone)、便携计算机、GPS导航设备等，他们面临的安全威胁有以下几类。 1）加密和认证问题 2）移动终端设备中机密资料的泄漏问题 手机被盗、丢失后，用户存储于手机中的资料极容易被盗用，如开通手机钱包等移动支付功能手机，则更容易遇到资金效用的问题；PDA的普及，存储信息多，（个人PIN码、银行帐号、社会安全号码甚至密码），一些用户未对PDA设置密码保护 3）通信内容被窃听或偷看 在公共场所，易被人偷听或偷看、在设备上显示的信息和通话内容容易泄露给他人。 4）用户自身的麻痹大意 操作上设置密码降低移动终端的便利性而不设；认为自己保管好，信息不会被泄露；SIM卡可很方便的被完整“克隆”（应避免借手机给他人） 5）安全制度漏洞 * 8.4.2无线网络标准中的漏洞 1. WAP的安全问题 无线通信技术的发展满足了人们随时要求在线的意愿，方便了信息的交互。WAP(Wireless Application Protocol)技术的出现为无线平台上丰富的应用提供了基础。虽然现在基于WAP的应用较少，WAP本身也在与其他的一些标准竞争，如NT的DoCoMo，但是WAP在未来无线应用中的前景仍是十分广阔的。 无线网络环境的应用和传统的网络应用一样，都包括Client和App Server，不同的是 由于WML与HTML协议的不相能，在无线网络环境中还包括一个WAP Gateway。 其作用是执行WML与HTML间的协议转换 * 1. WAP的安全问题 WAP环境的安全机制包括4个安全标准，应用于无线环境中的应用层、传输层和管理层 WIM：是安装在WAP设备（如手机、PDA）里的微处理器芯片，能够保存一些关键信息（如PKI的公钥和用户的私钥信息），WIM通常使用智能卡实现 WMLScrip：是WMLScriptLib库提供的应用编程接口，包含密钥产生、数字签名，及处理一些常用的PKI对象（密钥、证书等）的函数 WTLS：是基于互联网中的TLS的传输层协议。能够实现对通信参与方的认证，对WML数据加（解）密，并能保证WML数据的完整性。 WPKI：无线应用协议的PKI（WPKI）是传统PKI在无线应用环境中的优化扩展 * 在WAP安全机制中，Client与WAP Gateway之间采用WTLS连接保证Client与WAP Gateway之间的双向身份认证和加密传输。WAP Gateway与App Server之间采用SSL连接保证WAP Gateway与App Server自己的双向身份认证和加密传输。这样，Client与App Server之间建立了一个间接的安全连接。WAP环境中的安全模型参见图8-11。电信级和用户级Wap Gateway之间的比较见图8-12所示。 * 图 8?11 WAP安全模型 WTLS与SSL不兼容，两者间需要WAP网关的转换。用户的移动设备与APPServer执行无线应用时，需向AppServer传送一些ID或信用卡号等敏感信息→先通过WTLS加密传送到网关→网关解密后，再通过SSL的加密传送到App Server。 敏感信息在整个传送过程中并不都是加密的，其间会短暂地以明文形式存在于WAP网关上。 * WAP 网关可按照其整个应用系统中位置分两种类型： 电信级的WAP网关 工作在无线风络运营商（如中国电信）的机房中，同时为多个APP Server提供桥梁作用以连接用户的移动设备。多个无线网络应用提供商（如商场、银行）可以共用电信级的WAP网关。在这种应用模式下，无疑网络应用提供商应该信任电信级的WAP网关是安全的 用户级的WAP网关 工作在无线网络应用提供商的内部网络中，即每个App Server都有自己的WAP网关。这样，即使有短暂的敏感信息以明文的形式存在，但也是存在于无线网络App Server受到严格保护的内部网络中，从而避免了敏感信息的泄露。 相对电信级的WAP网关，用户级的WAP 网关能够在安全要求更高的环境下进行使用。 * 图 8?12 电信级和用户级Wap Gateway的比较 * 2. 无限局域网（WLAN）安全问题 WLAN（Wireless Local Area Network）是指应用无线通信技术将计算机设备互联起来，构成可以互相通信和实现资源共享的网络体系。无线局域网本质的特点是不再使用通信电缆将计算机与网络连接起来，而是通过无线的方式连接，从而使网络的构建和终端的移动更加灵活。 * 3. 蓝牙无线个人网络（Bluetooth WPAN）的安全问题 蓝牙网络通信是一种基于邻近组网原则的对等通信，但链路级存在主从关系。一个微微网由一个单独的主控设备(Master)和邻近的从属设备