電子商務(wù)環(huán)境下移動(dòng)支付的安全性分析

[摘 要] 移動(dòng)支付是將移動(dòng)網(wǎng)絡(luò)作為實(shí)現(xiàn)移動(dòng)支付的工具和手段，為用戶提供貨幣支付等金融服務(wù)，文章介紹了移動(dòng)支付在電子商務(wù)環(huán)境下的技術(shù)實(shí)現(xiàn)及各支付環(huán)節(jié)所要關(guān)注的安全要求，并介紹了目前應(yīng)用較廣泛的安全標(biāo)準(zhǔn)WPKI。

[關(guān)鍵詞] 電子商務(wù) 移動(dòng)支付 安全認(rèn)證 WPKI

電子商務(wù)環(huán)境下的移動(dòng)支付是指單位或個(gè)人通過(guò)移動(dòng)設(shè)備，直接或間接向銀行業(yè)金融機(jī)構(gòu)發(fā)出支付指令，實(shí)現(xiàn)貨幣支付與資金轉(zhuǎn)移的行為移動(dòng)支付所使用的移動(dòng)設(shè)備可以是手機(jī)、PDA、移動(dòng)PC等。從移動(dòng)支付的實(shí)質(zhì)上講，移動(dòng)支付就是將移動(dòng)網(wǎng)絡(luò)與金融系統(tǒng)結(jié)合，把移動(dòng)網(wǎng)絡(luò)作為實(shí)現(xiàn)移動(dòng)支付的工具和手段，為用戶提供貨幣支付、繳費(fèi)等金融服務(wù)的業(yè)務(wù)。移動(dòng)支付通常有以下幾種實(shí)現(xiàn)方式:(1)短信（SMS）支付，終端用戶通過(guò)發(fā)送短消息的形式請(qǐng)求服務(wù)內(nèi)容，從用戶的話費(fèi)中扣除費(fèi)用，通常只適合于小額支付。(2)WAP（Wireless Application Protocol），終端用戶通過(guò)訪問(wèn)WAP站點(diǎn)，進(jìn)行簡(jiǎn)單的金融業(yè)務(wù)。（3）USSD(Unstructured Supplementary Service Data，非結(jié)構(gòu)化補(bǔ)充數(shù)據(jù)業(yè)務(wù))，是一種基于GSM網(wǎng)絡(luò)的新型交互式數(shù)據(jù)業(yè)務(wù)，如證券交易、移動(dòng)銀行業(yè)務(wù)。（4)NFC（(Near Field Communication），是一種短距離的無(wú)線連接技術(shù)，支付和票務(wù)業(yè)務(wù)是應(yīng)用最早的NFC業(yè)務(wù)。

一、移動(dòng)支付中的安全問(wèn)題

在整個(gè)移動(dòng)支付的過(guò)程中涉及到的支付參與者包括：消費(fèi)用戶、商戶用戶、移動(dòng)運(yùn)營(yíng)商、第三方服務(wù)提供商、銀行。消費(fèi)用戶和商戶用戶是系統(tǒng)的服務(wù)對(duì)象，移動(dòng)運(yùn)營(yíng)商提供網(wǎng)絡(luò)支持，銀行方提供銀行相關(guān)服務(wù)，第三方服務(wù)提供商提供支付平臺(tái)服務(wù)，通過(guò)各方的結(jié)合以實(shí)現(xiàn)業(yè)務(wù)。移動(dòng)支付需要考慮以下安全問(wèn)題：（1)移動(dòng)終端接入支付平臺(tái)的安全，包括用戶注冊(cè)時(shí)，簽約信息的安全傳遞，以及用戶通過(guò)移動(dòng)終端登錄系統(tǒng)，其間傳遞的數(shù)據(jù)如簽約用戶名、簽約密碼等的安全性。(2)支付平臺(tái)內(nèi)部數(shù)據(jù)傳輸?shù)陌踩?，即支付平臺(tái)內(nèi)部各模塊之間數(shù)據(jù)傳輸?shù)陌踩浴?3)支付平臺(tái)數(shù)據(jù)存儲(chǔ)的安全，涉及到簽約用戶的機(jī)密性的銀行卡賬戶、密碼、簽約用戶名、簽約密碼等的安全性。

二、移動(dòng)支付的安全認(rèn)證技術(shù)

當(dāng)前，移動(dòng)設(shè)備的大量普及為移動(dòng)支付的實(shí)現(xiàn)提供了必要的條件，但也存在許多問(wèn)題制約著移動(dòng)支付的實(shí)施，如移動(dòng)終端的計(jì)算環(huán)境和通信環(huán)境都非常有限，這就需要對(duì)相應(yīng)的安全認(rèn)證做一些特殊要求。

1.WPKI 安全標(biāo)準(zhǔn)概況

WPKI (Wireless PKI）是有線PKI的一種擴(kuò)展，它將互聯(lián)網(wǎng)電子商務(wù)中PKI的安全機(jī)制引入到移動(dòng)電子商務(wù)中。WPKI采用公鑰基礎(chǔ)設(shè)施、證書(shū)管理策略、軟件和硬件等技術(shù)，有效地建立了安全和值得信賴的無(wú)線網(wǎng)絡(luò)通信環(huán)境。WPKI以WAP的安全機(jī)制為基礎(chǔ)，通過(guò)管理實(shí)體間關(guān)系、密鑰和證書(shū)來(lái)增強(qiáng)電子商務(wù)安全。WAP安全機(jī)制包括WIM（WAP Identity Module，無(wú)線應(yīng)用協(xié)議識(shí)別模塊）、WMLSCrypt（WML Script Crypto API，WML腳本加密接口）、WTLS（Wireless Transport Layer Security，無(wú)線傳輸安全層）和WPKI四個(gè)部分。以上各部分對(duì)實(shí)現(xiàn)無(wú)線網(wǎng)絡(luò)應(yīng)用的安全分別起著不同的作用。WPKI作為安全基礎(chǔ)設(shè)施平臺(tái)，一切基于身份驗(yàn)證的應(yīng)用都需要WPKI技術(shù)的支持，它可與WTLS、TCP/IP相結(jié)合，實(shí)現(xiàn)身份認(rèn)證、私鑰簽名等功能。WPKI的主要組件包括：終端實(shí)體應(yīng)用程序（EE）、PKI門戶（PKI Portal)、認(rèn)證中心（CA）、目錄服務(wù)(PKI Directory)、WAP網(wǎng)關(guān)，在應(yīng)用模型中還涉及數(shù)據(jù)提供服務(wù)器等設(shè)備，WPKI的基本結(jié)構(gòu)和數(shù)據(jù)流向如圖所示。

在WPKI中，代替RA（Registration Authority）的功能組件是PKI 門戶（PKI Portal ），它是一個(gè)網(wǎng)絡(luò)服務(wù)器，負(fù)責(zé)把WAP客戶的需求轉(zhuǎn)發(fā)給PKI中的RA和CA（Certification Authority）。CA主要負(fù)責(zé)生成證書(shū)、頒發(fā)證書(shū)和刷新證書(shū)等。WAP Gateway負(fù)責(zé)處理客戶與源服務(wù)器之間的協(xié)議轉(zhuǎn)換工作。WTLS 是經(jīng)傳統(tǒng)網(wǎng)絡(luò)的TLS協(xié)議改進(jìn)和優(yōu)化而得來(lái)的，主要保證傳輸層的安全，WPKI也是對(duì)IETF PKIX標(biāo)準(zhǔn)的優(yōu)化，使之更適合無(wú)線環(huán)境。

2.WPKI的加密算法和密鑰

WPKI是通過(guò)管理實(shí)體間關(guān)系、密鑰和證書(shū)來(lái)增強(qiáng)電子商務(wù)安全的，與WAP安全標(biāo)準(zhǔn)相比，WPKI所采用的ECC（Elliptic Curve Cryptography，橢圓曲線密碼）密碼系統(tǒng)更適合在無(wú)線設(shè)備中使用。同樣強(qiáng)度的密鑰，ECC的密鑰長(zhǎng)度（163bit）只是其他方案的六分之一(1024bit），但163bit的密鑰長(zhǎng)度對(duì)窮舉密鑰攻擊幾乎是絕對(duì)安全的，因?yàn)楦F舉163bit的密鑰個(gè)數(shù)有1.156×1049個(gè)，按每秒鐘測(cè)試1億個(gè)密鑰計(jì)算，也要3.6×1032年！

三、 結(jié)論

支付手段的電子化和移動(dòng)化已經(jīng)成為了不可避免的發(fā)展趨勢(shì)，而移動(dòng)支付系統(tǒng)的安全性問(wèn)題又是移動(dòng)電子商務(wù)安全的核心問(wèn)題。從技術(shù)角度上看，需要將無(wú)線通信的安全與其他的安全機(jī)制相結(jié)合才能滿足移動(dòng)電子商務(wù)安全的需要。

參考文獻(xiàn)：

[1]關(guān)振勝:公鑰基礎(chǔ)設(shè)施PKI及其應(yīng)用[M].北京:電子工業(yè)出版社

[2]WAP Forum.Public Key Infrastructure Definition. WAP Forum，Http://www.wapforum.org. 2001