第三章 移动电子商务安全解决方案
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
低，每笔业务资金额较小的业务。(收费视频点播、 收费电子图书、收费音乐、自动售货机、彩票投 注等)
1.终端发起认证请求 2.服务器处理请求
终端机
服务器
3.终端处理响应 4.认证服务器处理响应
3.动态口令与挑战响应机制相结合的安全实现机制
核心：生成动态口令 优点：充分利用了挑战/响应方式的优点，还利
原理：每次认证时，认证服务器给客户端发送一
个不同的“挑战”文本，客户端程序收到这个文 本后，进行相应的“响应”。
优点：实现简单，用户使用方便，安全性优于口
令机制。
缺点：速度相对于口令模式要慢。
实现：需要服务器保存有共享秘密，同时服务器
和终端上配置有相关的软件，对终端处理能力要 求不高。
应用：应用于移动电子商务中对安全级别要求较
移动终端
SP
4.Hash链安全实现机制
特点：实现相对简单，用户使用需按一定的业务
规则，速度快，具有较高的安全性。提供商家对 用户的身份认证，不提供用户对商家的认证。提 供商务活动中很重要的不可否认性服务。
实现：引入独立的第三方经济人，它负责为终端
用户提供证书以及相应的认证承诺，同时为商家 兑现支付承诺。
WAP是实现移动电子商务的重要技术之一， 目前发布了四个版本：WAP1.0，WAP1.1， WAP1.2，WAP2.0
三、基于非PKI体系的安全实现技术
PKI：（Public Key Infrastructure ） 即 “公钥基础设施”，是一种遵循既定标准 的密钥管理平台,它能够为所有网络应用提 供加密和数字签名等密码服务及所必需的 密钥和证书管理体系 。
特点：实现简单，用户使用方便，速度快，具有
较高的安全性。具有完备的认证、加密和密钥协 商协议标准，能够实现端到端的数据安全传输， 为用户提供安全可靠的通信。
实现：根据选择的安全机制在服务器和终端配置
相应的软件。
应用：集团用户、特殊人群。(安全商务数据传
输、企业内部办公、企业间公文传递、手机证劵、 手机银行等)
优点：实现简单、应用广泛、速度快 缺点：安全性弱，容易被猜测和监听
实现：在服务器端保存用户的账号信息，对终端
处理能力要求不高。
应用：用于移动电子商务中对安全级别要求最低、
每笔业务资金额较小的业务。(收费电子邮箱、收 费游戏、下载铃声、图片、信息查询等)
2.基于挑战响应机制的安全实现机制
应用：主要用于微支付业务。
经纪人
银行和信用卡公司
a.获得授权
c.兑现支付
用户 b.从商家获得购买信息， 进行支付
商家
第三方
SP 移动终端 移动运营 商网络 移动终端 运营商移动 电子商务平 台 (认证服务器) Internet SP
移动终端
SP
5.VPN安全实现机制
Virtual Private Network,虚拟专用网。是 利用开放的公共网络建立私有数据的传输 通道，从而将远程的分支办公室、商业伙 伴、移动办公人员等连接起来，并且提供 安全的端到端的数据通信的一种WAN技 术。
数据机密性需求 信息完整性需求 信息的可认证性需求 防抵赖性需求 用户身份隐秘
2.移动电子商务三类业务的安全需求
交易类 安全商务数据处理类 安全认证类
二、业务安全实现模型
通信安全模型 移动电子商务系统中安全实现模型
1.通信安全模型
点到点安全模型 端到端安全模型
点到点加密的优缺点：
1.基于口令的安全实现机制 2.基于挑战响应机制的安全实现机制 3.动态口令与挑战响应机制相结合的安全实 现机制 4.Hash链安全实现机制 5.VPN安全实现机制
1.基于口令的安全实现机制
采取的方法：身份认证 原理：系统为每一合法用户建立一个用户名/口
令对，当用户登录系统时，提示用户输入自己的 用户名/口令，系统通过核对用户输入的用户名/口 令与系统系统内已有的合法用户的用户名/口令是 否匹配来验证用户的身份。
基于WPKI体系的安全实现技术
特点：实现相对复杂，用户使用相对复杂，速度
慢，安全性最高。
安全性：提供服务器和用户之间的双向认证、机
密性、完整性和不可否认性服务。
实现：需要引入独立的第三方，负责为商务活动
中的各个对象颁发数字证书，进行数字证书的相 关维护和管理操作。
应用：主要用于移动电子商务中对安全级别要求
WPKI的工作模式
审核系统ห้องสมุดไป่ตู้A
PKI Portal
5. 1.申请证书 回 送 证 书
2.向CA申请证书
4.回送证书
签发系统CA 3.
短信 WAP 网关
签 发 证 书
8.签名和加密 11.进行业务操作
银行/商家
9.查询用户证书 10.验证证书
证书/黑名 单库
6.用户确定交易时，查询黑名单库 7.用户终端根据黑名单检查对方证书是否作废
第三章 移动电子商务安全 解决方案
移动电子商务的安全解决方案
移动电子商务的安全需求 业务安全实现模型 基于非PKI体系的安全实现技术 基于WPKI体系的安全实现技术 两种技术的比较
一、移动电子商务的安全需求
移动电子商务系统的安全需求 移动电子商务业务的安全需求
1.移动电子商务系统的安全需求
用了动态口令对挑战的结果进行加密，避免了网 络侦听、重放攻击、口令猜测、字典攻击等攻击 方法，安全性优于前两种机制。
实现：需要服务器保存有共享秘密，同时服务器
和终端上配置有相关的软件(动态口令卡)，对终 端处理能力要求不高。
应用：使用范围和与前述业务一样。
SP
移动终端 移动运营 商网络 移动终端 运营商移动 电子商务平 台 (认证服务器) Internet SP
优： 易操作 每一次链路仅需一组密钥 能提供安全的通信序列 缺： 中间结点间的数据易被暴露
端到端加密的优缺点：
优： 保密级别更高 缺： 需要更复杂的密钥管理系统 可以进行流量分析 加密是离线的
2.移动电子商务系统中安全实现模型
基于短消息(SMS)的移动电子商务安全实现 模型 基于无线应用协议(WAP)的移动电子商务安 全实现模型
高、每笔业务资金额较大的业务。
五、两种安全技术的比较
共同点： 1.使用目的相同 2.适用范围相同
异同点： 1.实现的难易程度不同 2.安全性不同 3.应用对象不同 4.对终端的要求不同 5.运营费用不同 6.可操作性不同 7.速度不同
思考 1.通信安全模型有哪几种？简述每种的优缺 点。 2.移动电子商务系统中安全实现模型有哪几 种？各自采用的安全模型是什么？ 3.简述安全模型中需要用到的两种安全技术。 4.比较两种技术的异同。
结 束
四、基于WPKI体系的安全实现技术
PKI的组成：
1.认证机构(CA) 2.数字证书库 3.密钥备份及恢复系统 4.证书作废系统 5.证书应用管理系统
WPKI体系的构建也围绕以上五个系统进行。
WPKI对PKI的优化扩展： 1.PKI协议 2.数字证书 3.加密算法和密钥
1.终端发起认证请求 2.服务器处理请求
终端机
服务器
3.终端处理响应 4.认证服务器处理响应
3.动态口令与挑战响应机制相结合的安全实现机制
核心：生成动态口令 优点：充分利用了挑战/响应方式的优点，还利
原理：每次认证时，认证服务器给客户端发送一
个不同的“挑战”文本，客户端程序收到这个文 本后，进行相应的“响应”。
优点：实现简单，用户使用方便，安全性优于口
令机制。
缺点：速度相对于口令模式要慢。
实现：需要服务器保存有共享秘密，同时服务器
和终端上配置有相关的软件，对终端处理能力要 求不高。
应用：应用于移动电子商务中对安全级别要求较
移动终端
SP
4.Hash链安全实现机制
特点：实现相对简单，用户使用需按一定的业务
规则，速度快，具有较高的安全性。提供商家对 用户的身份认证，不提供用户对商家的认证。提 供商务活动中很重要的不可否认性服务。
实现：引入独立的第三方经济人，它负责为终端
用户提供证书以及相应的认证承诺，同时为商家 兑现支付承诺。
WAP是实现移动电子商务的重要技术之一， 目前发布了四个版本：WAP1.0，WAP1.1， WAP1.2，WAP2.0
三、基于非PKI体系的安全实现技术
PKI：（Public Key Infrastructure ） 即 “公钥基础设施”，是一种遵循既定标准 的密钥管理平台,它能够为所有网络应用提 供加密和数字签名等密码服务及所必需的 密钥和证书管理体系 。
特点：实现简单，用户使用方便，速度快，具有
较高的安全性。具有完备的认证、加密和密钥协 商协议标准，能够实现端到端的数据安全传输， 为用户提供安全可靠的通信。
实现：根据选择的安全机制在服务器和终端配置
相应的软件。
应用：集团用户、特殊人群。(安全商务数据传
输、企业内部办公、企业间公文传递、手机证劵、 手机银行等)
优点：实现简单、应用广泛、速度快 缺点：安全性弱，容易被猜测和监听
实现：在服务器端保存用户的账号信息，对终端
处理能力要求不高。
应用：用于移动电子商务中对安全级别要求最低、
每笔业务资金额较小的业务。(收费电子邮箱、收 费游戏、下载铃声、图片、信息查询等)
2.基于挑战响应机制的安全实现机制
应用：主要用于微支付业务。
经纪人
银行和信用卡公司
a.获得授权
c.兑现支付
用户 b.从商家获得购买信息， 进行支付
商家
第三方
SP 移动终端 移动运营 商网络 移动终端 运营商移动 电子商务平 台 (认证服务器) Internet SP
移动终端
SP
5.VPN安全实现机制
Virtual Private Network,虚拟专用网。是 利用开放的公共网络建立私有数据的传输 通道，从而将远程的分支办公室、商业伙 伴、移动办公人员等连接起来，并且提供 安全的端到端的数据通信的一种WAN技 术。
数据机密性需求 信息完整性需求 信息的可认证性需求 防抵赖性需求 用户身份隐秘
2.移动电子商务三类业务的安全需求
交易类 安全商务数据处理类 安全认证类
二、业务安全实现模型
通信安全模型 移动电子商务系统中安全实现模型
1.通信安全模型
点到点安全模型 端到端安全模型
点到点加密的优缺点：
1.基于口令的安全实现机制 2.基于挑战响应机制的安全实现机制 3.动态口令与挑战响应机制相结合的安全实 现机制 4.Hash链安全实现机制 5.VPN安全实现机制
1.基于口令的安全实现机制
采取的方法：身份认证 原理：系统为每一合法用户建立一个用户名/口
令对，当用户登录系统时，提示用户输入自己的 用户名/口令，系统通过核对用户输入的用户名/口 令与系统系统内已有的合法用户的用户名/口令是 否匹配来验证用户的身份。
基于WPKI体系的安全实现技术
特点：实现相对复杂，用户使用相对复杂，速度
慢，安全性最高。
安全性：提供服务器和用户之间的双向认证、机
密性、完整性和不可否认性服务。
实现：需要引入独立的第三方，负责为商务活动
中的各个对象颁发数字证书，进行数字证书的相 关维护和管理操作。
应用：主要用于移动电子商务中对安全级别要求
WPKI的工作模式
审核系统ห้องสมุดไป่ตู้A
PKI Portal
5. 1.申请证书 回 送 证 书
2.向CA申请证书
4.回送证书
签发系统CA 3.
短信 WAP 网关
签 发 证 书
8.签名和加密 11.进行业务操作
银行/商家
9.查询用户证书 10.验证证书
证书/黑名 单库
6.用户确定交易时，查询黑名单库 7.用户终端根据黑名单检查对方证书是否作废
第三章 移动电子商务安全 解决方案
移动电子商务的安全解决方案
移动电子商务的安全需求 业务安全实现模型 基于非PKI体系的安全实现技术 基于WPKI体系的安全实现技术 两种技术的比较
一、移动电子商务的安全需求
移动电子商务系统的安全需求 移动电子商务业务的安全需求
1.移动电子商务系统的安全需求
用了动态口令对挑战的结果进行加密，避免了网 络侦听、重放攻击、口令猜测、字典攻击等攻击 方法，安全性优于前两种机制。
实现：需要服务器保存有共享秘密，同时服务器
和终端上配置有相关的软件(动态口令卡)，对终 端处理能力要求不高。
应用：使用范围和与前述业务一样。
SP
移动终端 移动运营 商网络 移动终端 运营商移动 电子商务平 台 (认证服务器) Internet SP
优： 易操作 每一次链路仅需一组密钥 能提供安全的通信序列 缺： 中间结点间的数据易被暴露
端到端加密的优缺点：
优： 保密级别更高 缺： 需要更复杂的密钥管理系统 可以进行流量分析 加密是离线的
2.移动电子商务系统中安全实现模型
基于短消息(SMS)的移动电子商务安全实现 模型 基于无线应用协议(WAP)的移动电子商务安 全实现模型
高、每笔业务资金额较大的业务。
五、两种安全技术的比较
共同点： 1.使用目的相同 2.适用范围相同
异同点： 1.实现的难易程度不同 2.安全性不同 3.应用对象不同 4.对终端的要求不同 5.运营费用不同 6.可操作性不同 7.速度不同
思考 1.通信安全模型有哪几种？简述每种的优缺 点。 2.移动电子商务系统中安全实现模型有哪几 种？各自采用的安全模型是什么？ 3.简述安全模型中需要用到的两种安全技术。 4.比较两种技术的异同。
结 束
四、基于WPKI体系的安全实现技术
PKI的组成：
1.认证机构(CA) 2.数字证书库 3.密钥备份及恢复系统 4.证书作废系统 5.证书应用管理系统
WPKI体系的构建也围绕以上五个系统进行。
WPKI对PKI的优化扩展： 1.PKI协议 2.数字证书 3.加密算法和密钥