[摘要] 移动电子商务有传统电子商务无法比拟的优点，同时对安全性也提出了更高的要求。本文介绍了基于wap标准的移动电子商务安全模型， 针对移动电子商务的信息安全需求分析了wap的安全机制，给出了由wtls, wim, wmiscrypt和wpki这四种安全机制所组成的安全构架模型，最后分析了基于wap安全架构模型的移动电于商务的安全实现方式及各自的特点。
[关键词] 移动电子商务 wap 安全机制
移动电子商务是利用无线通信手段来完成电子商务,它为电子商务的发展创造了更为广阔的发展空间。移动电子商务相对着传统的电子商务形式具有灵活、简单、方便等特点。通过移动电子商务,用户可以任意时间任意地点,使用手机、无线终端或pda查找、选择及购买商品和服务。安全是移动电子商务的关键，也是移动电子商务的核心技术问题。移动电子商务需要在移动个人终端和有线网络中进行信息通信，这使得整个交易过程承受着无线网和有线网通信中的双重安全风险，因此要求移动电子商务具有特殊的安全机制。其中wap的安全机制是护航移动电子商务的典范，也是当前绝大多数安全移动电子商务的实现基础。
一、wap移动电子商务的网络架构
1.wap简介。wap协议把因特网扩展到了无线环境,由wap客户端、无线网、wap网关、ip网络和web服务器组成。wap客户端和wap网关间通过无线网,使用wml(无线标记语言)来传输数据wap网关在wml数据和html数据之间进行转换,在有线网和无线网之间传递数据并和web服务器通信。WWw.133229.coM
2.基于wap的移动电子商务网络模型。wap在应用上充分借鉴了internet的思想,并加以一定的改进和简化。wap安全标准使通过因特网的电子商务扩展到了无线终端设备上。在移动电子商务中wap的网络模型如图1所示。一个典型的wap应用系统定义了三类实体:(1)具有wap用户代理功能的移动终端:典型的终端为wap手机。在它的显示屏上运行有微浏览器,用户可以采用简单的选择键实现wap服务请求,并以无线方式发送和接收所需的信息。(2)wap网关:wap网关是wap网络中重要的一个环节,它是连接客户端和服务器的桥梁,使得wap终端可以访问其中的资源。从wap终端发送的请求,在网关实现wap协议栈与internet协议栈之间的转换后,再向内容服务器传送;而从内容服务器返回的信息,经网关编码后,转换为较紧凑的二进制格式,返回移动终端,以减少网络数据流量,最大限度地利用无线网络较为缓慢的数据传输速率。(3)web内容服务器:特定资源(内容)存储或生成的地方。旨在为wap应用提供数据服务支持,如支持wap的web网站以及相关的网站服务等。
二、wap移动电子商务安全模型
wap定义了一个开放的全球无线应用框架和网络协议标准，将internet上的应用和服务引入移动电话等无线终端，使移动用户可以不受网络种类、网络结构、运营商的承载业务以及终端设备的限制，通过移动设备方便地访问和获取以统一的内容格式表示的国际互联网或企业内部网的信息和各种服务。基于wap的移动电子商务安全模型如图1所示:
图2 基于wap的移动电子商务安全模型
三、wap的安全机制
wap的安全机制可以实现移动电子商务所需具有的数据保密性、数据完整性、交易方的认证与授权和不可抵赖性四个方面信息安全特征。
1.wtls 协议。wtls协议：wtls基于ietf小组的ssl/tls协议，提供了实体鉴别、数据加密和保护数据完整性的功能，所以可以确保在wap装置和wap网关之间的安全通信。有三种不同级别的wtls：wtls class1：执行未经证实的diffie-hellman密钥交换以建立会话密钥。wtls class2：使用与ssl/tls协议相类似的公开密钥证书机制进行服务器端鉴别。wtls class3：客户端和服务器端采用x.509格式证书相互进行鉴别。
其中，wpki作为安全基础设施平台，是安全协议能有效实行的基础，一切基于身份验证的应用都需要wpki的支持。它可与wtls, tcp/ip,wmlscriptsign相互结合，实现身份认证、私钥签名等功能。网络安全协议平台由wtls协议及有线环境下位于传输层上的安全协议tls, ssl和tcp/ ip协议组成。安全参与实体是底层安全协议的实际应用者，相互之间的关系也由底层的安全协议决定。当该安全构架运用于实际移动电子商务，这些安全参与实体间的关系即体现为交易方(移动终端、web服务器)和其他受信任方(wap网关、代理和无线认证中心)。
五、移动电子商务的安全实现方式分析
基于wap安全构架模型的移动电子商务有不同的实现方式，虽然使用的基本安全协议是一样的，但不同的实现方式之间的安全级别却存在着较大的差异。
1.通过wpki的不同认证方式来实现不同的安全等级。wpki针对wtls的三种不同的安全级别，也定义了三种不同等级和方式的安全通信认证模式:wtls class2,wtls class3和signtext三种功能模式。其中，wtls class2提供了移动终端对无线网关的认证能力，客户端可以匿名访问;wtlsclass3提供双向认证，即wap网关和终端相互认证，移动终端利用自己的私钥进行名;signtext模式与wtls class3过程相同，只是移动终端对一则消息进行数字签名后用wmlscript发送给服务器。
2.利用wap网关来实现不同的安全服务一般安全模式(双区安全模式)。这种模式将wap网关建在无线网的边缘，它将有线网和无线网联接起来，并把使用wtls加密的数据转换成使用tis加密的数据，数据在wti一和tls保护区是安全的。但由于传输的加密数据在wap网关是被解密的，这必然存在着安全间隙，这种模式只能解决数据传输过程中的安全。端到端安全模式。实现端到端的安全可以从两个方面入手:一是把wap网关变成应用服务提供商完全可以控制的(如通过具有wap网关功能的web服务器解决);二是将加密数据在wap网关透明传输(这种模式仍需web服务器有解析wap协议的功能)。另外，对于wap2. 0标准，由于其与有线网络协议的兼容性增强，可以直接使用ip、优化的tcp协议，其安全层协议可以直接使用有线网络的ti一协议来实现端到端的安全连接。
由于移动电子商务相对传统电子商务面临更大的安全威胁，wap作为移动电子商务的实现基础在逐步加强并完善自身的安全机制。移动运营商们也根据wap的基本安全机制开发出了不同安全级别的移动电子商务解决方案。移动电子商务的安全性日益受到人们的广泛关注。
参考文献：
[1]罗蕾王庆谭罗利:wap安全构架研究及wtis的实现[j].电子科技大学学报,2002,(4)
[2]储节旺郭春侠:移动电子商务研究[j].现代情报,2002,(3)
