無線支付中的安全技術(shù)

前 言

無線網(wǎng)絡(luò)自身的發(fā)展和越來越多的移動終端的加入極大的促進了無線支付的發(fā)展。無線支付是指利用手機等手持設(shè)備通過無線網(wǎng)絡(luò)進行貿(mào)易的行為?；谝苿油ㄐ诺?a class="contentlabel" href="http://2s4d.com/news/listbylabel/label/電子商務(wù)">電子商務(wù)因為其便捷、靈活的特點而越來越受到人們的歡迎，然而無線支付尚未得到廣泛普及，其中的一個因素也在于無線支付的安全問題。無線支付網(wǎng)絡(luò)與手持系統(tǒng)的有限處理能力和當前基于復雜性的安全計算也制約了移動電子商務(wù)的快速發(fā)展?；谝苿咏K端的智能卡等無線支付形式，包括基于位置的應(yīng)用、移動交易服務(wù)、移動娛樂、移動多媒體、移動信息點播等各種增值業(yè)務(wù)。

無線支付的流程與框架

用戶通過手持終端等訪問電子商務(wù)提供方構(gòu)造的電子商務(wù)平臺，然后經(jīng)由用戶的ISP對服務(wù)中的安全予以保障。其中可以有銀行和可信第三方的參與，從而確保交易雙方間的權(quán)益與日后的仲裁糾紛?；谶@種方案還可以在自由用戶間進行貿(mào)易行為（虛線所示）。無線支付可以使用微支付、無線電子錢夾和無線電子現(xiàn)金。無線電子錢夾和無線電子現(xiàn)金是對我們?nèi)粘Ｋ褂玫呢泿诺臄?shù)字化，需要用戶預(yù)先儲備一定的現(xiàn)金才可以使用。

無線支付中的安全

無線支付中的安全應(yīng)確保交易雙方的合法權(quán)益所涉及的內(nèi)容不受非法入侵者的侵害。通常，主要涉及以下幾個方面的內(nèi)容：

（1） 數(shù)據(jù)的機密性（Confidentiality）：

防止合法或隱私數(shù)據(jù)為非法用戶所獲得，通常使用加密的手段實現(xiàn)，從而確保在交易過程中只有交易的雙方才能唯一知道交易的內(nèi)容。

（2） 完整性（Integrity）：

確保交易他方或非法入侵者不能對交易的內(nèi)容進行修改。

（3） 可用性：

授權(quán)者（交易的雙方）能隨時且安全使用信息和信息系統(tǒng)的服務(wù)，可用性是在大面積拒絕服務(wù)攻擊發(fā)生后保障交易的一項安全行為。

（4） 鑒別（Authentication）：

交易雙方是可以信任的，即確保服務(wù)間的相互身份認證，防止欺詐行為的產(chǎn)生。

（5） 授權(quán)的安全：

保證在交易過程中對無線（有線）網(wǎng)絡(luò)與計算資源的使用。

（6） 不可否認性（Non－repudiation）：

確保交易行為正確性，交易雙方不能否認交易行為的產(chǎn)生。

無線支付可能受到的攻擊行為

（1） 竊聽：

竊聽是最簡單的獲取非加密網(wǎng)絡(luò)信息的形式，這種方式可以同樣應(yīng)用于無線網(wǎng)絡(luò)，利用具有指定方向功能的天線，讓無線網(wǎng)絡(luò)接口集中接受某個方向的信號，就可以很容易地監(jiān)控局域網(wǎng)。

（2） 病毒：

病毒不但可以影響網(wǎng)絡(luò)，甚至可以對手持終端造成影響。雖然目前國內(nèi)發(fā)現(xiàn)的手機病毒不會對手機造成本質(zhì)的支付損害，但隨著手機功能的完善，這種問題有可能更趨于明顯。同時，蠕蟲與炸彈都會對無線網(wǎng)絡(luò)產(chǎn)生根本的破壞。

（3） 欺騙與木馬：

欺騙可以隱藏信息的來源，或?qū)戏ㄓ脩暨M行欺詐。無線支付中可以使用改進的重放攻擊和中間人攻擊來蒙騙客戶，套取用戶的隱私與保密信息。木馬等服務(wù)程序直接或間接地騙取用戶的信任，從而駐留內(nèi)存，往往會給系統(tǒng)留有后門，對交易雙方的敏感信息進行記錄與跟蹤。

（4） 口令攻擊與協(xié)議安全：

過于簡單的口令和不完善的協(xié)議也會給非法入侵者提供便利，系統(tǒng)的脆弱性也有可能導致系統(tǒng)的崩潰。 （5） 拒絕服務(wù)攻擊（DoS—Denial of Services）： DoS是使無線網(wǎng)絡(luò)或支付系統(tǒng)喪失服務(wù)功能和資源能力的一種攻擊行為。無線支付系統(tǒng)除非單獨建立，否則由于DoS對語音通信的影響遠比對網(wǎng)絡(luò)服務(wù)大的多，無線支付在網(wǎng)絡(luò)中更易于受到各種形式的DoS攻擊。

無線支付的安全手段

基于網(wǎng)絡(luò)的安全行為——處于網(wǎng)絡(luò)通信中的無線網(wǎng)絡(luò)和支付系統(tǒng),其面臨的網(wǎng)絡(luò)威脅可以通過防火墻等安全手段實現(xiàn)。但考慮到無線支付系統(tǒng)本身的特性，除了我們通常使用的關(guān)鍵安全技術(shù)外，還應(yīng)側(cè)重于以下幾個方面：

（1） 防止竊聽

防止竊聽的最好方式是對所有可能的地方進行加密，同時關(guān)閉網(wǎng)絡(luò)身份識別的廣播功能。就目前的技術(shù)而言，不可能從本質(zhì)上防止竊聽，但可以保護機密信息的安全（如果加密不被破譯的話）和禁止非授權(quán)用戶對網(wǎng)絡(luò)的訪問。

（2） 防止數(shù)據(jù)丟失

數(shù)據(jù)丟失就意味著有必要重新傳送數(shù)據(jù)，這樣極有可能產(chǎn)生重傳攻擊和中間人攻擊，從而導致欺詐行為。 （3） 審計追蹤

應(yīng)該在可信第三方的準許或幫助下，追蹤和記錄無線網(wǎng)絡(luò)和支付系統(tǒng)的活動，并且可以把這些活動與具體用戶的帳號或活動發(fā)起者聯(lián)系起來。審計追蹤不但可以確保授權(quán)用戶使用且僅只使用正確的授權(quán)，還能為以后的調(diào)查取證提供依據(jù)和在一定條件下進行數(shù)據(jù)恢復。

（4） 過濾MAC

MAC過濾是一種適合小型網(wǎng)絡(luò)，簡單實用，可以降低攻擊威脅的網(wǎng)絡(luò)安全機制，使用這種機制時應(yīng)該考慮記錄和監(jiān)控MAC過濾，防止更改MAC地址的欺騙行為。

無線支付的展望與挑戰(zhàn)

無線電子貨幣正悄然走進我們的生活，由于無線支付本身具有的省時方便快捷的特性，其必然會有更為廣闊的前景。據(jù)有關(guān)部門統(tǒng)計，我國目前的手機用戶已經(jīng)高達1.2億。據(jù)IE3[3]保守估計，到2005年，全世界將會有3億的用戶通過手機進行簡單的貿(mào)易支付。

當然，在無線支付進入我們的日常生活的同時，我們也面臨一些挑戰(zhàn)。無線支付的交易業(yè)務(wù)通常是是基于移動終端中的智能卡來實現(xiàn)的，就目前的技術(shù)來看，智能卡是處理能力受限的微處理器，在這個環(huán)境中來實現(xiàn)安全不但要增加支付系統(tǒng)的投資，還會大額度增加用戶的成本，那么用戶是否樂于承受尚是未知；其次，安全中尚需對用戶匿名性等問題進行考慮，即用戶可能不想暴露自己的身份與敏感信息；再就是，手機與網(wǎng)絡(luò)之間的安全傳輸?shù)臉藴蕟栴}；最后，還應(yīng)該降低無線支付中的用戶費用，大力開拓無線支付的市場。