淺析移動電子商務(wù)的信息安全
相關(guān)鏈接： 中國安全網(wǎng) 中國質(zhì)量網(wǎng) 中國論文網(wǎng) 中國資訊網(wǎng)
[摘 要] 本文介紹了應(yīng)用于移動電子商務(wù)的新技術(shù)，并分析了其應(yīng)用前景。從移動網(wǎng)絡(luò)本身、移動ad hoc應(yīng)用、漫游，以及物理安全等方面給出了移動商務(wù)所面臨的安全威脅。本文還分析了移動電子商務(wù)的發(fā)展帶來的一些隱私和法律問題。
[關(guān)鍵詞] 移動電子商務(wù) 信息安全 自組網(wǎng) 隱私 法律
移動電子商務(wù)（M-Commerce），是通過手機、PDA（個人數(shù)字助理）、呼機等移動通信設(shè)備與因特網(wǎng)有機結(jié)合所進(jìn)行的電子商務(wù)活動。移動電子商務(wù)能提供以下服務(wù)：PIM（個人信息服務(wù)）、銀行業(yè)務(wù)、交易、購物、基于位置的服務(wù)、娛樂等。
移動電子商務(wù)因其快捷方便、無所不在的特點，已經(jīng)成為電子商務(wù)發(fā)展的新方向。因為只有移動電子商務(wù)才能在任何地方、任何時間，真正解決做生意的問題。
但是對于任何通過無線網(wǎng)路（如:GSM網(wǎng)路）進(jìn)行金融交易的用戶，安全和隱私問題無疑是其關(guān)注的焦點。由于移動電子商務(wù)的特殊性，移動電子商務(wù)的安全問題尤其顯得重要。尤其對于有線電子商務(wù)用戶來說，通常認(rèn)為物理線纜能帶來更好的安全性，從而排斥使用移動電子商務(wù)。移動電子商務(wù)是一個系統(tǒng)工程，本文從技術(shù)、安全、隱私和法制等方面討論了移動商務(wù)的展所面臨的種種問題，并指出這些問題的有效解決是建設(shè)健康、安全的移動電子商務(wù)的重要保證。
一、移動通信新技術(shù)的驅(qū)動
1.無線應(yīng)用協(xié)議（WAP）
無線應(yīng)用協(xié)議WAP是無線通信和互聯(lián)網(wǎng)技術(shù)發(fā)展的產(chǎn)物，它不僅為無線設(shè)備提供豐富的互聯(lián)網(wǎng)資源，也提供了開發(fā)各種無線網(wǎng)路應(yīng)用的途徑。1998年，WAP論壇公布了WAP1.0版本，制定了一套專門為移動互聯(lián)網(wǎng)而設(shè)計的應(yīng)用協(xié)議，具有良好的開放性和互通性。隨著移動通信網(wǎng)傳輸速率的顯著提高，WAP論壇于2001年頒布了WAP2.0版本，該版本增加了對HTTP、TLS和TCP等互聯(lián)網(wǎng)協(xié)議的支持，WAP代理的工作大大簡化。WAP2.0模式有利于實現(xiàn)電子商務(wù)所需的端到端安全性，可以提供TLS隧道。
2.移動IP技術(shù)
移動IP技術(shù)，是指移動用戶可在跨網(wǎng)絡(luò)隨意移動和漫游中，使用基于TCP/IP協(xié)議的網(wǎng)絡(luò)時，不用修改計算機原來的IP地址，同時，也不必中斷正在進(jìn)行的通信。移動IP通過AAA（Authentication, Authorization, Accounting)機制，實現(xiàn)網(wǎng)絡(luò)全方位的安全移動或者漫游功能。移動IP在一定程度上能夠很好地支持移動商務(wù)的應(yīng)用。
3.第三代（3G）移動通信系統(tǒng)
第三代移動通信系統(tǒng)，簡稱3G，是指將無線通信與互聯(lián)網(wǎng)等多媒體通信結(jié)合的移動通信系統(tǒng)。它能夠處理圖像、話音、視頻流等多種媒體形式，提供包括網(wǎng)頁瀏覽、電話會議、電子商務(wù)等多種信息服務(wù)。與2G相比，3G產(chǎn)品可提供數(shù)據(jù)速率高達(dá)2Mbps的多媒體業(yè)務(wù)。在我國，以TD-SCDMA技術(shù)為基礎(chǔ)的3G基礎(chǔ)設(shè)施和產(chǎn)品的建設(shè)和研制發(fā)展迅速，我國發(fā)展3G的條件已經(jīng)基本具備。由于3G帶來的高速率、移動性和高安全性等特點，必然會給移動電子商務(wù)的應(yīng)用帶來巨大商機。
4.無線局域網(wǎng)（WLAN）技術(shù)
美國電子電器工程師協(xié)會IEEE在1991年就啟動了WLAN標(biāo)準(zhǔn)工作組，稱為IEEE802.11，并在1997年產(chǎn)生了WLAN標(biāo)準(zhǔn)－IEEE802.11，后來又相繼推出了IEEE 802.11a, IEEE 802.11b和IEEE802.11g等一系列新的標(biāo)準(zhǔn)。802.11WLAN標(biāo)準(zhǔn)自公布之日起，安全問題一直是其被關(guān)注的焦點問題。802.11b采用了基于RC4算法的有線對等保密（WEP）機制，為網(wǎng)絡(luò)業(yè)務(wù)流提供安全保障，但其加密和認(rèn)證機制都存在安全漏洞。802.11i是2004年6月批準(zhǔn)的WLAN標(biāo)準(zhǔn)，其目的是解決802.11標(biāo)準(zhǔn)中存在的安全問題。802.11i應(yīng)用TKIP（Temporal key integrity protocol）加密算法和基于AES高級加密標(biāo)準(zhǔn)的CBC-MAC Protocol(CCMP)。其中TKIP仍然采用RC4作為其加密算法，可以向后兼容802.11a/b/g等硬件設(shè)備。中國寬帶無線IP標(biāo)準(zhǔn)工作組制訂了WLAN國家標(biāo)準(zhǔn)GB15629.11，定義了無線局域網(wǎng)鑒別與保密基礎(chǔ)結(jié)構(gòu)WAPI，大大減少了WLAN中的安全隱患。
二、移動電子商務(wù)面臨的安全威脅
盡管移動電子商務(wù)給工作效率的提高帶來了諸多優(yōu)勢（如：減少了服務(wù)時間，降低了成本和增加了收入），但安全問題仍是移動商務(wù)推廣應(yīng)用的瓶頸。有線網(wǎng)絡(luò)安全的技術(shù)手段不完全適用于無線設(shè)備，由于無線設(shè)備的內(nèi)存和計算能力有限而不能承載大部分的病毒掃描和入侵檢測的程序。例如：目前還沒有有效抵制手機病毒的防護(hù)軟件。
1.網(wǎng)絡(luò)本身的威脅
無線通信網(wǎng)絡(luò)可以不像有線網(wǎng)絡(luò)那樣受地理環(huán)境和通信電纜的限制就可以實現(xiàn)開放性的通信。無線信道是一個開放性的信道，它給無線用戶帶來通信自由和靈活性的同時，也帶來了諸多不安全因素：如通信內(nèi)容容易被竊聽、通信雙方的身份容易被假冒，以及通信內(nèi)容容易被篡改等。在無線通信過程中，所有通信內(nèi)容（如：通話信息，身份信息，數(shù)據(jù)信息等）都是通過無線信道開放傳送的。任何擁有一定頻率接收設(shè)備的人均可以獲取無線信道上傳輸?shù)膬?nèi)容。這對于無線用戶的信息安全、個人安全和個人隱私都構(gòu)成了潛在的威脅。
2.無線ad hoc應(yīng)用的威脅
除了互聯(lián)網(wǎng)在線應(yīng)用帶來的威脅外，無線裝置給其移動性和通信媒體帶來了新的安全問題�？紤]無線裝置可以組成ad hoc網(wǎng)路。Ad hoc網(wǎng)絡(luò)和傳統(tǒng)的移動網(wǎng)絡(luò)有著許多不同，其中一個主要的區(qū)別就是Ad Hoc網(wǎng)絡(luò)不依賴于任何固定的網(wǎng)絡(luò)設(shè)施，而是通過移動節(jié)點間的相互協(xié)作來進(jìn)行網(wǎng)絡(luò)互聯(lián)。由于其網(wǎng)絡(luò)的結(jié)構(gòu)特點，使得Ad Hoc網(wǎng)絡(luò)的安全問題尤為突出。Ad hoc網(wǎng)路的一個重要特點是網(wǎng)絡(luò)決策是分散的，網(wǎng)絡(luò)協(xié)議依賴于所有參與者之間的協(xié)作。敵手可以基于該種假設(shè)的信任關(guān)系入侵協(xié)作的節(jié)點。
3.網(wǎng)路漫游的威脅
無線網(wǎng)路中的攻擊者不需要尋找攻擊目標(biāo)，攻擊目標(biāo)會漫游到攻擊者所在的小區(qū)。在終端用戶不知情的情況下，信息可能被竊取和篡改。服務(wù)也可被經(jīng)意或不經(jīng)意地拒絕。交易會中途打斷而沒有重新認(rèn)證的機制。由刷新引起連接的重新建立會給系統(tǒng)引入風(fēng)險，沒有再認(rèn)證機制的交易和連接的重新建立是危險的。連接一旦建立，使用SSL和WTLS的多數(shù)站點不需要進(jìn)行重新認(rèn)證和重新檢查證書。攻擊者可以利用該漏洞來獲利。
4.物理安全
無線設(shè)備另一個特有的威脅就是容易丟失和被竊。因為沒有建筑、門鎖和看管保證的物理邊界安全和其小的體積，無線設(shè)備很容易丟失和被盜竊。對個人來說，移動設(shè)備的丟失意味著別人將會看到電話上的數(shù)字證書，以及其他一些重要數(shù)據(jù)。利用存儲的數(shù)據(jù)，拿到無線設(shè)備的人就可以訪問企業(yè)內(nèi)部網(wǎng)絡(luò)，包括Email服務(wù)器和文件系統(tǒng)。目前手持移動設(shè)備最大的問題就是缺少對特定用戶的實體認(rèn)證機制。
三、移動商務(wù)面臨的隱私和法律問題
1.垃圾短信息
在移動通信給人們帶來便利和效率的同時，也帶來了很多煩惱，遍地而來的垃圾短信廣告打擾著我們的生活。在移動用戶進(jìn)行商業(yè)交易時，會把手機號碼留給對方。通過街頭的社會調(diào)查時，也往往需要被調(diào)查者填入手機號碼。甚至有的用戶把手機號碼公布在網(wǎng)上。這些都是公司獲取手機號碼的渠道。垃圾短信使得人們對移動商務(wù)充滿恐懼，而不敢在網(wǎng)絡(luò)上使用自己的移動設(shè)備從事商務(wù)活動。目前，還沒有相關(guān)的法律法規(guī)來規(guī)范短信廣告，運營商還只是在技術(shù)層面來限制垃圾短信的群發(fā)。目前，信息產(chǎn)業(yè)部正在起草手機短信的規(guī)章制度，相信不久的將來會還手機短信一片綠色的空間。
2.定位新業(yè)務(wù)的隱私威脅
定位是移動業(yè)務(wù)的新應(yīng)用，其技術(shù)包括:全球定位系統(tǒng)，該種技術(shù)利用24顆GPS衛(wèi)星來精確（誤差在幾米之內(nèi)）定位地面上的人和車輛；基于手機的定位技術(shù)TOA，該技術(shù)根據(jù)從GPS返回響應(yīng)信號的時間信息定位手機所處的位置。定位在受到歡迎的同時，也暴露了其不利的一面——隱私問題。移動酒吧就是一個典型的例子，當(dāng)你在路上時，這種服務(wù)可以在你的PDA上列出離你最近的5個酒吧的位置和其特色。或者當(dāng)你途經(jīng)一個商店時，會自動向你的手機發(fā)送廣告信息。定位服務(wù)在給我們帶來便利的同時，也影響到了個人隱私。利用這種技術(shù)，執(zhí)法部門和政府可以監(jiān)聽信道上的數(shù)據(jù)，并能夠跟蹤一個人的物理位置。
3.移動商務(wù)的法律保障
電子商務(wù)的迅猛發(fā)展推動了相關(guān)的立法工作。2005年4月1日，中國首部真正意義上的信息化法律《電子簽名法》正式實施，電子簽名與傳統(tǒng)的手寫簽名和蓋章將具有同等的法律效力，標(biāo)志著我國電子商務(wù)向誠信發(fā)展邁出了第一步�！峨娮雍灻ā妨⒎ǖ闹匾康氖菫榱舜龠M(jìn)電子商務(wù)和電子政務(wù)的發(fā)展，增強交易的安全性。
參考文獻(xiàn)：
[1]A.F. Salam L.Lyer:P. Palvia et al. Trust in e-commerce. Communication of The ACM, 48(2), 2005,73-77
[2]戴方虎等:Internet的移動訪問技術(shù)研究.計算機科學(xué)，2000（3）
[3]Y.G Zhang W. Lee:Intrusion Detection in Wireless Ad-Hoc Networks. MOBICOM 2000, ACM, 275-283
