ＷＰＫＩ技術在移動電子商務中的應用研究

摘要：隨著移動電子設備日益普及，移動電子商務要又好又快發展，其安全性必須得到重視。該文針對移動電子商務的安全問題，闡述了無線公鑰基礎設施技術WPKI的組成及安全框架，其在移動電子商務中的應用情況。

關鍵詞：移動電子商務；安全技術；WPKI；應用

中圖分類號：TP393文獻標識碼：A文章編號：1009-3044(2008)36-2880-02

The Applied Study onWPKI Technology in Mobile E-commerce

YAO Pei-hua

(Nantong Shipping College， Nantong 226010，China)

Abstract: Withthepopular of mobile electronic Equipment， the mobile E-commerce is good develops quickly， its security must obtain takes.This article in view of the mobile E-commerce security problem， elaborated the wireless public key infrastructure technology WPKI composition and the security frame， it in mobile E-commerce application situation.

Key words: Mobile E-commerce; safety technology; WPKI; application

1 引言

公開密鑰基礎設施（Public Key Infrastructure，PKI）技術是目前網絡安全建設的基礎與核心，它采用非對稱密碼算法和數字簽名技術，由第三方權威機構認證中心（Certificate Authority，CA），通過數字簽名，把用戶(或機構)公鑰和身份信息綁定在一起，形成數字證書頒發用戶（或機構），從而保證網絡信息的安全、真實、完整和不可抵賴。PKI 技術可以讓個人或企業安全地從事其商業行為，從而為電子商務的迅速發展奠定了安全技術基礎。

隨著技術的迅速發展，移動電子設備（如手機、個人數字處理PDA）的大量普及，基于個人移動設備的電子商務（移動電子商務）成為可能，但其安全性是影響移動電子商務發展的關鍵。如何提供一個高效的、具備較高安全性的、且能完全適用于現有移動網絡環境的電子商務協議平臺將成為移動電子商務基礎設施的一個關鍵部分。

在無線通信環境中，由于無線網絡設備的存儲容量有限，處理速度慢，帶寬低，決定了它不能像有線網絡那樣依靠高強度的密鑰及算法來保證安全性。WPKI（Wireless PKI）就是為滿足無線通信安全需求，針對無線通信環境的特點，在有線PKI 基礎上進行了優化拓展，有效地實現了移動電子商務密鑰和證書管理、加密等的一系列策略與過程。為移動電子商務的用戶提供身份認證、訪問控制和授權、傳輸機密性和完整性、不可否認性等安全服務。隨著無線網絡技術的發展和 WPKI 標準的不斷完善，WPKI 將被廣泛應用于無線網絡中各種安全通信服務領域。

圖1 WPKI組成

圖2 WPKI 移動電子商務安全框架

2 WPKI 的組成

同PKI 系統相似，WPKI也是通過管理密鑰和證書來執行移動電子商務安全策略的。WPKI 系統是由認證中心 CA、注冊中心 RA、證書目錄數據庫和終端實體組成，如圖1所示。

WPKI 和 PKI 區別僅在于終端實體是無線應用協議（Wireless Application Protocol ，WAP） 手機，RA 功能由 PKI Portal 替代完成類似的功能，而 WAP 網關則是用于連接無線網絡和有線網絡的接口。

WPKI 對PKI進行了優化，主要包括對證書格式進行了簡化，從而減少存儲容量。另外 WPKI 采用了先進的 ECC 公鑰算法，而非傳統的 RSA 算法，這就可以大大提高運算效率，并在相同的安全強度下減少密鑰的長度。由于WPKI證書格式是 PKIX 證書的子集，所以可以在標準 PKI 中保持互操作性。

3 WPKI 移動電子商務安全框架

鑒于目前大部分移動設備處理能力的低下，下面我們提供一種適合目前情況的WPKI 移動交易安全框架，即引入驗證服務器（validation authority， VA）的 WPKI移動交易安全框架，如圖 2 所示。

VA作為所有無線終端的代理，完成各種復雜的證書驗證和加密/解密操作，如多級證書鏈的驗證。此時，手機只需要處理單級證書驗證，即只需對驗證服務器回送的結果進行驗證。

用戶終端數字證書申請過程如下：

1) 移動設備用戶使用生成密鑰對和證書請求，向 PKI Portal申請證書。

2) PKI Portal 在完成審核后向 簽發系統CA申請簽發證書。

3) 簽發系統CA簽發證書并通過證書庫發布。

4) 簽發系統CA將用戶證書回送給 PKI Portal。

5) PKI Portal 將證書回送給手機終端，存放在手機內的智能卡中。

而移動電子商務業務處理流程如下：

1) 用戶傳輸敏感數據時，首先使用私鑰簽名，用于交易防抵賴，然后用對方證書公鑰作數字信封加密。簽名和加密根據需要可以只作其中一項，或全做。終端將數據發送給 VA。

2) VA 將數據轉發給相應的商家。

3) 商家查詢用戶證書黑名單。

4) 商家根據黑名單驗證用戶證書的有效性。

5) 對于有效的用戶進行業務操作，然后回送操作結果。

6) VA 查詢商家證書黑名單。

7) VA 通過黑名單驗證商家證書的有效性以及數據的有效性。

VA 將結果使用自己的私鑰簽名，然后回送給手機終端。手機終端通過驗證 VA 的簽名來確認數據的可靠性。

4 WPKI系統相對于PKI的改進

WPKI是在現行的有線PKI已有機制下做適當的補充和合理的優化，以符合無線通信服務的特點，WPKI對PKI系統的部分優化如下：

1) 采用短期微型證書代替 SSL 服務器證書

WAP 構架中的網關起到了代理服務器的作用，主要實現基于WAP/WTLS的無線環境與基于HTTP/SSL/TCP/IP的有線環境之間的協議和格式轉換。由于移動終端受到其資源限制，所以在攜帶SSL證書和實現SSL證書的頒發、核查、撤銷等功能上具有困難。但是可以通過WAP網關的橋梁功能來實現 SSL 協議。在這個網關中實現短期微型證書與SSL服務器證書的轉換，同時改進客戶終端設備，使其能夠使用短期微型證書。

2) 采用短期證書來簡化對 WAP 服務器和網關的認證

認證中心定期向對移動終端頒發認證 WAP 服務器和網關的短期證書，在需要撤消對它們的認證時，不需要采用任何證書撤銷行為，只要停止頒發下一張證書就可以了。如果客戶定期沒有收到一個當前有效的證書，也就停止同這個服務器繼續對話。

3) 移動客戶身份認證

在電子商務應用中，移動客戶經常需要向一個無線網關或一個應用服務器證明自己的身份。PKI 對于客戶認證的支持方式基本上與（4）中對客戶數字簽名的支持相同。X.509 格式的證書存放在有線基礎設施中，通過WAP網關實現客戶認證。

4) 交易的不可抵賴性

電子商務中通常采用數字簽名的方法來支持交易的不可抵賴性或解決交易的事后糾紛。由于資源的限制，移動終端不可能存儲或處理相應公鑰的證書。所以移動終端只持有自己的私鑰和數字簽名邏輯地址，而將證書以一定的存儲方式存放在有線基礎設施里。當用戶的數字簽名需要被確認時，應用服務器可以到有線基礎設施里提取和使用。因此，應用服務器就不需分別處理兩種不同的數字簽名，而移動終端也不用顧慮該證書的大小。

5) 無線環境中的加密算法

在有線因特網環境中，商用化的公鑰加密技術主要都使用基于RSA的加密系統。在無線環境中，一種新的橢圓曲線加密（ECC）算法具有很大的應用前景。由于移動終端的CPU計算能力，存貯容量，電池壽命的限制，有線因特網中的RSA算法不能很好地滿足其要求，而 ECC 可以完成同 RSA 一樣的基本功能，而且由于 ECC 具有指數級復雜度，正好可以滿足移動終端的特殊要求。

5 基于 WPKI 構架的移動電子商務

在移動電子商務中，如何實現在線、實時、安全的支付是技術實施的核心，尤其在移動環境下，需要準確地識別人員身份、判別帳號真偽，并迅速、安全地實現資金處理。WPKI 技術在移動電子商務中有如下方面的應用：

1) 網上銀行

用戶可以用移動設備通過網上銀行輕松實現電話費繳納、商場購物、繳泊車費、自動售貨機買飲料、公交車付費、投注彩票等手機支付服務。如果在網上銀行系統中采用了WPKI和數字證書認證技術，即使竊取了卡號和密碼。也無法在網上銀行交易中實現詐騙。從世界范圍看，數字證書技術已經被廣泛地應用在國內外網上銀行系統中。網上銀行的應用主要有如下兩種：無線電子支付；無線電子轉賬。

2) 網上證券和網上繳稅同樣，通過移動終端設備進行無線網上證券交易和網上繳稅也給用戶帶來了極大便利，減少了操作時間，提高了辦事效率，但是也面臨著安全性和可靠性的問題。類似于網上銀行系統的實現，采用 WPKI 體系作為安全技術框架，移動用戶可以通過使用個人擁有的數字證書，使信息獲得更有效的、端到端的安全保障。

此外，移動電子商務在網上柜臺、網上學習、網上游戲等方面也有應用。可以想見隨著移動電子商務的發展．基于WPKI技術的應用范圍將逐步拓展。

6 結論

隨著技術的發展，將移動通信工具與因特網連接起來的無線上網技術以及因特網服務商提供的無線上網服務已具備。因此，移動電子商務已不存在技術障礙，所以，移動電子商務具有的方便快捷、節省時間等優點將會帶動傳統電子商務走向一個嶄新的世界，WPKI應用將更普遍化。

參考文獻：

[1] 賀松.新一代的電子商務——移動電子商務[J].計算機應用，2006(4).

[2] 徐曉寧.WPKI的關鍵技術與實現[D].西安電子科技大學，2005.

[3] 賈忠田.WPKI證書撤銷策略及證書漫游研究[D].山東大學，2005.